10月22日、Help Net Securityが「AI agent permissions are outrunning security」と題した記事を公開した。この記事では、AIエージェントへの権限付与が組織のセキュリティ管理を上回っている実態を調査データで示している。

セキュリティ企業Illumioが委託した調査で、ITおよびセキュリティ分野の意思決定者1,100人を対象にしたところ、70%が「1年前なら人間の承認が必要だった判断や行動を、今はAIに任せている」と回答した。そして、その新しい権限はすでに問題を起こしている。

4分の3が過去1年でセキュリティ問題に直面

調査対象組織の4分の3が、過去1年で少なくとも1件のAI関連セキュリティ問題または警告サインを経験している。内訳を見ると、「セキュリティ承認なしに外部システムへ接続した」「アクセス権限外のデータを参照した」「誰も承認していないアクションを実行した」の3項目それぞれで、約4分の1の組織が該当するインシデントを報告している。

ここで押さえておきたいのが、AIエージェントとチャットボットの違いだ。チャットボットはテキストを生成するだけだが、AIエージェントは自律的に判断し、他システムへのAPI呼び出し、設定変更、複数ステップにまたがるタスク実行といった「行動」を取る。約3割の組織では、セキュリティ調査の実施や本番環境の設定変更を、人間のレビューなしにエージェントに許可していた。

「見えている」と「監査できる」の大きな乖離

セキュリティリーダーに「AIが何をしているか把握しているか」と聞くと、84%が「データやシステムへのアクセス状況を把握している」と答える。ところが、より具体的な質問——「エージェントのすべてのアクションをリアルタイムで確認・監査できるか」——に絞ると、YESは49%に落ちる。

この35ポイントの差は、インシデント発生後に致命的になる。追跡できないエージェントは、調査もできないエージェントだ。また、回答者の62%が「適切なセーフガードを整備する前にAIツールをデプロイした」とも認めている。

最も重要と考えている制御手段が、実際には最後回し

調査のなかで最も示唆に富む部分がここだ。回答者の多くは「AIがアクセスできる範囲を限定することが、あらゆる脅威を予測しようとするよりも重要だ」と考えている。にもかかわらず、「主要なAI制御手段は何か」という質問で「エージェントに許可する行動を明示的に定義する」手法——アローリスト（allowlist：許可されたアクション・システム・データを列挙したホワイトリスト方式の制御リスト）——を選んだのはわずか4分の1で、最下位だった。

上位に並んだのはガードレール（AI自身に組み込む指示・制約）と外部からの封じ込め、そして人間による監視だ。

Illumioの業界戦略担当VP、Raghu Nandakumara氏はこのギャップを「摩擦の問題」と指摘する。

「新しいエージェントに何を許可すべきか定義するのは難しく、誰もそのエージェントが持つ利便性を壊したくない。だから組織は『エージェントをよく理解してから制限しよう』と決めるのだが、その日はほとんど来ない」

ガードレールはエージェントが指示に従っている間だけ機能する。アローリストはエージェントが触れてよいシステム、データ、アクションを短く列挙したリストであり、エージェントの外側から強制されるため、エージェントが誤動作しても機能する点が根本的に異なる。Nandakumara氏の発言は、「理解してから制限する」という先送りのサイクルがいかに常態化しているかを端的に示している。

エージェントが問題を起こしたとき、誰が責任を負うか

Nandakumara氏はアカウンタビリティについて明確に述べている。

「規制当局も裁判所も一貫して、AIエージェントを導入しても責任は移転しないという立場を取っている。ベンダーが答えを持つことはなく、スイッチを入れた組織がその行動に責任を持つ。組織内では、そのユースケースを承認したビジネスリーダーが結果を所有すべきだ。誰も指名されないと、セキュリティチームがデフォルトのオーナーになってしまう——これは間違いだ。CISOはガードレールを所有する。エージェントが何にアクセスできるか、何をしてよいか、どう停止するかだ」

規制面では、英国のシニアマネージャー・アンド・サーティフィケーション・レジーム（Senior Managers and Certification Regime：SMCR）やオーストラリアのAPRAが、AIの成果に対して名前を持つ責任者を求め始めている。SMCRは金融サービス業界における個人の説明責任を強化するために英国金融行動監視機構（FCA）が導入した制度であり、AIが関与した意思決定においても責任の所在を個人レベルまで明確化することを求める方向で運用が議論されている。一方で、多くの取締役会はエージェントを本番投入する前にこの問いを立てていない、とNandakumara氏は指摘する。「エージェントの責任者を名指しできないなら、本番稼働させるべきではない」という結論は重い。

すでにエージェントが動いているチームへの処方箋

Nandakumara氏が提示する優先アクションは現実的だ。

• 完全なインベントリ作成から始める必要はない——これは「広いクレデンシャルを持つ新しいIDが現れた」という、AIを除けば見慣れた問題だ
• まず、失ってはいけないデータにアクセスできるエージェントから着手する——今四半期に1つの境界を強制する方が、来年の完璧なポリシーよりも効果が高い
• エージェントがやるべきことを3〜4項目書き出し、そのアクション・システム・データのみに絞る

調査が浮き彫りにするのは、技術的な困難ではなく意思決定の先送りだ。Illumioが委託したこの1,100人規模の調査は、権限管理の遅れが業界横断的な課題であることを裏付けている。

詳細はAI agent permissions are outrunning securityを参照していただきたい。