AI ワークフォースの IT 管理者 — Sarthak Aggarwal

AI エージェントは「ツール」から「従業員」へ：IT 管理者が直面する新たなセキュリティの壁

企業は今、人間と AI エージェントからなる第二のワークフォースを運用し始めています。しかし、この変化は単に「賢いツール」を導入する話ではありません。AI エージェントは文脈を読み、判断を下す「アクター」として扱われるべきであり、従来のプロンプト管理ではなく、アイデンティティや権限委譲、監査機能を備えたインフラ基盤の構築が不可欠となります。

エージェントを「デジタル従業員」として扱う

これからのエンタープライズ環境では、AI エージェントは単なる API キーやプロンプトの出力結果ではありません。彼らは文脈を読み取り、判断を下し、実際のツールを呼び出す「アクター」です。NVIDIA のジェンソン・フアン氏が指摘したように、未来の企業は人間とデジタル従業員が混在する場所になります。IT チームの役割も、ソフトウェアを購入して導入することから、これらのエージェントという「従業員」のオンボーディング（採用）やライフサイクル管理を行う HR 部門へとシフトします。

「エージェントを『賢いツール』として扱うのではなく、『管理可能な従業員』として扱うための新しい IT 基盤が必要です。」

重要な点は、この変化が単なる技術的なアップデートではないということです。目標を持ち、プライベートデータにアクセスし、委任された権限を持って行動するエージェントは、状態を変更したりデータを露出させたりする力を持っています。そのため、重要なのは「このエージェントは何ができるか」ではなく、「誰が所有しているのか」「何を触れることができるのか」「誰に代わって行動するのか」「どう停止させるのか」という問いです。

アイデンティティ管理と権限委譲の再定義

エージェントを従業員として扱う上で最も重要なのが、明確なアイデンティティと権限委譲モデルの確立です。既存の OAuth トークン交換などは一部のアプローチを提供しますが、エージェントが「誰に代わって」行動するかという文脈（デレゲーション・コンテキスト）を完全に捉える標準的なアイデンティティ管理はまだ不足しています。

「エージェントが誰に代わって行動するかを明確にする『主体・アクター・委譲』モデルの確立と、OAuth を超えた標準的なアイデンティティ管理がセキュリティの要となります。」

人間の場合、組織内ではバッジ、ロール、管理者、監査証跡といった仕組みで管理されています。エージェントも同様に、登録、プロビジョニング、権限付与、監視、調査、権限剥奪というライフサイクルを歩む必要があります。唯一の違いは、そのスピード、スケール、そして不確実性の高さです。企業はすでに人間に対して適用しているこれらの制御を、推論と行動能力を持つソフトウェア労働者にも継続的に適用する必要があります。

特権分離アーキテクチャ：信頼と実行の壁

エージェントが信頼できないコンテンツ（メール、ドキュメント、ウェブページなど）を読み込み、その文脈に基づいて判断を下す際、セキュリティリスクは劇的に高まります。これは「致命的な三つ組（レサルト・トリオ）」と呼ばれる問題です。

「有用なエンタープライズ・エージェントは、プライベートデータ、信頼できない入力、そして外部通信のすべてを必要とします。これが仕様であり、バグではありません。」

このため、セキュリティ設計は「コンテンツが敵対的である可能性」を前提とする必要があります。Microsoft 365 Copilot の「Echo Leak」や Replit の事例のように、攻撃者がコード実行権限を持たなくても、単にテキストを入力するだけで信頼されるアクションを引き起こすリスクがあります。

これを防ぐには、「特権分離（Privilege Separation）」アーキテクチャの採用が不可欠です。これは、プランナー（計画立案者）とエグゼキューター（実行役）を物理的・論理的に分離する二重の権限モデルです。

• プランナー: 文脈を読み、計画を立てることはできるが、実際のツール呼び出しや権限行使はできない。
• エグゼキューター: プランナーが立てた許可されたアクションのみを実行できるが、新しいアクションを作成したり、元の文脈に直接アクセスしたりすることはできない。

このように、「提案」と「決定」を分離し、モデルの判断が直接権限行使に結びつかないようにすることで、エージェントは権限を持ちつつも、その影響範囲を限定した状態で運用できます。

監査と即時停止機能：失敗を許容しない運用

最終的に、どんなに堅牢な設計でもミスは起こり得ます。重要なのは、問題が発生した際に即座に対応できる仕組みです。すべての行動には受領証（レセプト）を発行し、ポリシーゲートによる強制力のある制御を行う必要があります。

「モデルが完璧であることを期待するのではなく、モデルの境界の外側で権限が生き残るかどうかを問うべきです。」

問題が発生した際、即座に権限を剥奪（リボーク）できる機能は必須要件です。フィルタやガードレールは有用な監視ツールですが、高リスクなアクションに対するセキュリティの最終的な境界線にはなり得ません。モデルが誤った判断を下した場合でも、その影響が組織全体に広がらないよう、制御された「ブレーキ」を備えたインフラが必要です。

まとめ

生成 AI の実装フェーズからエンタープライズ運用フェーズへの転換において、セキュリティとガバナンスの設計思想は根本的に変わる必要があります。企業は AI エージェントを単なるツールとして扱うのをやめ、アイデンティティ管理、特権分離、監査機能を備えた「デジタル従業員」として扱うための基盤を即座に構築・導入すべきです。