エンタープライズAI、自律型エージェントへ移行し独自IDの必要性を強調

エンタープライズ AI は新たな時代へと突入しました。組織は単に質問に応答するアシスタントの域を超え、推論を行い、ツールを呼び出し、企業アプリケーションにアクセスし、他のエージェントと連携し、最小限の人間介入で多段階のビジネスワークフローを完了できる自律型エージェンツへと急速に移行しています。

この変化は、ソフトウェアが動作する根本的な方法の変革を意味します。従来のアプリケーションは開発者が記述した事前定義されたロジックを実行しますが、AI エージェントは目的達成のために動的に行動方針を決定します。どのツールを使用し、どの API を呼び出し、どのような情報を取得し、文脈に基づいてアクションをどう順序付けるかを決断するのです。この柔軟性は莫大なビジネス価値をもたらしますが、同時に新たなクラスのセキュリティリスクも生み出します。

現在の AI セキュリティ議論の多くは、プロンプトインジェクションやモデルの脆弱性、データ漏洩に焦点が当てられています。これらは重要な懸念事項ですが、課題の一部に過ぎません。AI エージェントが正常に認証され、自律的な行動を開始した後は、従来のセキュリティ制御では、それが安全に動作し続けているかどうかを把握する視界が極めて限られてしまいます。

ここで企業が必要とするのは、新しいセキュリティマインドセットの採用です。それは「ランタイム・トラスト（実行時信頼）」です。

認証はアイデンティティを確立しますが、信頼を生むものではありません。

従来のエンタープライズセキュリティは、主に3つの基礎的な問いに依存してきました。「あなたは誰か」「何にアクセスできるのか」「どのような行動が許可されているのか」です。ID プロバイダー、多要素認証（MFA）、ロールベースのアクセス制御、ゼロトラストアーキテクチャといった仕組みは、人間ユーザーや従来のアプリケーションに対してこれらの問いに効果的に答えてきました。また、NIST のゼロトラストガイダンス（NIST SP 800-207）も、これらの原則がどのように機能すべきかを示す確かな基準となっています。

AI エージェントはこれとは異なる課題を提起します。AI エージェントは、企業の ID を用いて正当に認証され、有効な API 資格情報を取得し、Microsoft 365、ServiceNow、Salesforce、GitHub などのシステムへのアクセス権限を与えられることがあります。ID の観点から見れば、すべてが正常に見えます。しかし、真の課題は認証の後から始まります。実行中、エージェントは継続的に推論を行い、目的を解釈し、ツールを呼び出し、情報を取得し、新しい文脈に基づいて行動を適応させます。セキュリティチームは、これらの行動がユーザーの意図や組織の方針と整合しているかどうかを判断する必要があります。認証は AI エージェントが「誰であるか」を検証しますが、ランタイムにおける信頼性は、エージェントが「何をしているか」を継続的に検証するものです。

エンタープライズ AI は自律的な労働力へと進化しつつあります

現代の AI エージェントは、大規模言語モデル (LLM) や Model Context Protocol (MCP) サーバー、検索拡張生成 (RAG) システム、ベクトルデータベース、企業向け API、SaaS プラットフォーム、内部知識リポジトリ、さらには他の AI エージェントとも頻繁に連携しています。この相互接続されたエコシステムは高度な自動化を可能にする一方で、攻撃対象領域を劇的に拡大させます。単一のツールが侵害されたり、知識ソースが悪意あるデータで汚染されたり、API の権限設定が緩すぎたり、プロンプトが操作されたりすれば、その影響はワークフロー全体に波及し、下流の意思決定を左右しかねません。従来のソフトウェアと異なり、これらのリスクはデプロイ時に固定されるのではなく、実行中に動的に変化・進化していきます。

この拡大する攻撃対象領域こそが、限られた数のランタイム脅威によって狙われているのです。

「ゴールドリフト」とは、エージェントが当初は正当な目的を持って開始したものの、結果の最適化を試みる過程でユーザーの元の意図から徐々に逸脱してしまう現象です。例えば、顧客レポート作成を命じられたエージェントが、追加の文脈があれば回答品質が向上すると誤判断し、関連性の低い機密情報を勝手に取得してしまうケースなどが該当します。

「ツール呼び出しの過剰化」は、多数の企業向けツールにアクセス権限を持つ自律型エージェントが、実行時の制御機能がないまま、モデル側がその行動を有用だと判断したからといって、不要な API を呼び出したり、設定を変更したり、機密リポジトリにアクセスしたり、管理操作を実行したりしてしまう状態を指します。

メモリ汚染攻撃は、パーソナライズ化を向上させる永続的メモリを利用するものです。攻撃者は意図的に誤った指示を長期記憶や検索システムに挿入し、将来の意思決定が悪意のある情報や古くなったデータの影響を受けるように仕向けます。

文脈操作は、LLM が文脈に大きく依存している点につけ込む手法です。攻撃者が取得したドキュメント、システムプロンプト、会話履歴、あるいは外部データソースに影響を与えることで、根本的なモデルを侵害することなく自律的な行動を間接的に誘導できます。MITRE の ATLAS フレームワークは、AI システムに対するこうした敵対的挙動を有用な詳細で分類・記録しています。

マルチエージェントの増幅効果は、組織が専門化された AI エージェントを導入し協働させる際に顕在化します。1 つのエージェントが誤った行動をとると、下流のエージェントがその行動を信頼して増幅させ、企業ワークフロー全体に連鎖的な障害を引き起こす可能性があります。

ランタイム・トラストの導入

ランタイム・トラストは、認証を超えたセキュリティを実現し、実行中も AI の挙動を継続的に検証します。認証されたエージェントが永続的に信頼できると仮定するのではなく、自律的な意思決定が組織の方針と整合しているかを絶えず評価します。ランタイム・トラストのアーキテクチャは、いくつかの補完的な機能の上に成り立っています。

意図検証は、機密性の高いアクションを実行する前に、提案された振る舞いがユーザーの当初の目的と一致しているかを評価します。具体的には、「このアクションは必要か？」「想定されているか？」「要求された範囲を超えていないか？」「合理的な人間が同じ行動をとるか？」といった問いに答えるプロセスです。

行動監視では、ツールの使用状況、API のアクティビティ、推論パターン、実行頻度、委任されたアクション、そして異常なワークフローを常時観測します。これにより、モデルの内部推論の中に隠れたままになるのではなく、予期せぬ振る舞いを即座に可視化できます。

ポリシー適用とは、エンタープライズレベルのルールが AI エージェントが「何にアクセスできるか」だけでなく、「何をできるか」を規定することを意味します。承認閾値を超える金融取引のブロック、権限変更の防止、管理操作の制限、機密データ取得の制限、そして高リスクアクションに対する承認要件などが含まれます。これらの制御は、自律的な意思決定におけるアプリケーションファイアウォールのような役割を果たします。

最小権限の実行とは、AI エージェントが現在のタスクに必要不可欠な機能のみを受け持つことを指します。数十ものエンタープライズツールへの恒久的アクセスを付与するのではなく、組織はランタイムの文脈に基づいて一時的な権限を動的に発行すべきです。このアプローチは、OWASP のエージェント型アプリケーション向けセキュリティガイダンス（OWASP GenAI Security Project）でも強く推奨されています。

人間の監督は、すべての決定を自律的に任せるべきではないことを認識しています。財務承認やアイデンティティの変更、規制対応、顧客に影響を与える判断など、重大な影響を及ぼす業務については、実行前に明確な人間の確認が必要です。

企業向け AI エコシステムの保護

ランタイムの信頼性は個々のエージェントに限定されません。MCP の採用が加速する中、企業は信頼できるサーバー、認証されたツール、承認された機能、監視される相互作用、そしてポリシーの強制を検証する必要があります。RAG（検索拡張生成）による知識リポジトリでは、ドキュメントの完全性、ソースの妥当性確認、アクセス制御、検索監査、およびポイズニング検出が求められます。永続的な AI メモリにおいては、ライフサイクル管理、有効期限ポリシー、完全性の検証、アクセスログの記録、そして機密データの保護を実装すべきです。

運用における可視性の構築

企業向け AI における最大の課題の一つが「観測可能性（オバザビリティ）」です。セキュリティチームは、エージェントが特定のツールを選択した理由や、その判断に影響を与えたデータ、結論に至ったプロセス、実行されたアクション、ポリシーがトリガーされたかどうか、そしてどのようなセーフガードが危険な行動を防いだのかを把握する必要があります。ランタイムのログ記録、監査証跡、行動分析は、企業向け AI の運用において必須の要素であり、オプションの付加機能ではありません。

実践的なロードマップ

組織は既存のセキュリティプログラムを再構築する必要はありません。むしろ、ガバナンスプロセスにランタイム・トラスト（実行時信頼）を組み込むことで、それらを拡張すべきです。

具体的な第一歩としては、AI エージェントとその機能を棚卸しすること、ツールや API へのアクセス権限を最小限に抑えること、自律的な高リスク行動の分類、ランタイムでのポリシー強制実装、行動異常の継続的監視、メモリと RAG データソースの保護、重要操作における人間の承認要件、そして AI の実行時テレメトリを既存の SOC ワークフローへ統合することが挙げられます。

未来を見据えて

エンタープライズ AI は、協働・計画立案・複雑なビジネスプロセスの実行が可能な、より自律的なシステムへと進化し続けます。セキュリティ戦略もこれに合わせて進化する必要があります。今や問われているのは「AI エージェントが認証に成功したか」ではなく、「そのエージェントがライフサイクル全体を通じて安全に振る舞い続けているか」という点です。

今日から継続的なランタイム・ガバナンスを採用する組織は、自律型 AI を責任を持って展開し、運用リスクを低減し、大規模なエンタープライズ AI 導入に必要な信頼を構築する上で、格段に有利な立場を得ることになります。

AI セキュリティの未来は、単にモデルが強力になったり認証が改善されたりすることだけで決まるわけではありません。それは、知的システムがリアルタイムで意思決定を行う間も、組織がいかにして信頼を確立・測定し、継続的に検証できるかによって定義されるのです。

ラヴィンドラ・アナンム氏はサイバーセキュリティのアーキテクトである。