9月11日、Shift Magazineが「AI agents need their own identity and least-privilege access」と題した記事を公開した。AIエージェントを急いで動かすため「とりあえずネットワーク全体へのアクセスを与える」——多くのチームが無意識に踏んでいるこの判断が、かつてVPNで繰り返された失敗の再演だと、Tailscaleのエンジニアは警告する。記事はIPアドレスではなくアイデンティティを軸にしたアクセス制御、すなわちゼロトラストネットワークの考え方をAIエージェント時代に適用するための具体的な設計論を論じている。

記事はTailscaleのRoss Kukulinskiへのインタビューをもとに構成されている。TailscaleはWireGuardをベースにしたゼロトラストネットワーキングプラットフォームを提供する企業で、「IPアドレスやサブネットではなくアイデンティティで通信を制御する」設計を製品コンセプトの核心に置く。WAD Berlinカンファレンスでの対談でKukulinskiが一貫して指摘したのは、「伝統的なネットワークはIPアドレスとサブネットを過剰に信頼している」という問題だ。

「ネットワーク内にいる＝信頼できる」という前提の崩壊

従来の設計では、ファイアウォール・ゲートウェイ・プロキシ・ネットワークセグメンテーションを組み合わせて内部ネットワークを守る。しかしKubernetesのような環境では、Podが再起動するたびにIPアドレスが変わる。

IPアドレスはいつでも変わるし、あちこちで重複している。Kubernetesクラスタ内では、Podが削除・再作成されるたびにIPが変わる。だからIPアドレスを、あるいはサブネットすら信頼するのは、実際には機能しない。

この問題意識はNIST SP 800-207「Zero Trust Architecture」が定義するゼロトラストの原則とも一致する。同文書は「ネットワーク上の位置をそれ自体では信頼の根拠にしない」ことをゼロトラストの基本原則の一つとして掲げている。Kukulinskiはここで「ネットワーク上の位置ではなく、アイデンティティで接続を制御する」設計を提唱する。具体的には次のモデルだ。

• ポリシーは中央で管理するが、エンフォースメント（強制適用）はエッジで実行する
• ゲートウェイやプロキシを経由させるのではなく、機器同士が直接暗号化通信する
• 「同じネットワーク内にいる」ことを権限の根拠にしない。アイデンティティが一致したときだけ通信できる

この設計では、開発環境が複数のクラウド・オンプレ・リモートワークステーション・エッジデバイスにまたがっていても、同じ原則が一貫して適用できる。

アイデンティティ連携でインフラ管理の手間が減る

アイデンティティベースのアクセスは、運用負荷の軽減という実用的なメリットもある。SSH鍵・Kubernetesの管理者クレデンシャル・データベースアクセス情報などは、現状では「作成→共有→更新→失効」のサイクルを手動で管理することが多い。

アイデンティティプロバイダ（例：OktaやMicrosoft Entra ID（旧Azure AD））のグループ情報とアクセス権限を連動させれば、役割変更時に権限が自動で更新される。

私がプロダクトマネジメントからエンジニアリングに異動して、アイデンティティプロバイダ上のグループが変われば、デバイスからアクセスできる範囲が自動的に更新される。

古いVPNアクセスの手動削除や、長期有効な鍵の棚卸しが不要になる、という話だ。

さらに、同じゲートウェイがAIツールと大規模言語モデルプロバイダの間に立つことで、「誰がどのモデルを呼んでいるか」の制御と認証を一元管理できる。開発者はモデルやサービスごとに個別のクレデンシャルを持たずに済む。

AIエージェントこそ最小権限が必要

記事の核心はここだ。AIエージェントは「非人間ユーザー」として内部システムにアクセスする。しかし多くのチームは「とりあえず動かすためにネットワーク全体へのアクセスを与える」という判断をしがちだ。

歴史的なパターンはこうだ。「とにかくこのAIを動かさなければならないから、ネットワーク全体へのアクセスを与えよう」。これが最も怖いことで、過去に多くの人にVPNを広く開放しすぎたのと同じ失敗を繰り返している。

最小権限の原則（Principle of Least Privilege）とは、あるエンティティが正当な目的を果たすために必要最小限のアクセス権のみを付与するという設計原則だ。人間のユーザーに対してすら徹底が難しいこの原則を、AIエージェントという新たなアクターにも一貫して適用すべきだとKukulinskiは主張する。

彼が推奨するのは、エージェントを独自のアイデンティティを持つ別ワークロードとして扱い、最初から最小権限でアクセスポリシーを設定することだ。エージェント（またはエージェントのグループ）は、必要なノード・サービス・データにのみアクセスできるよう、より広いネットワークから隔離できる。

彼はこう警告する。「エージェントが信頼されたネットワーク内にいるだけで本番データベースにアクセスできるなら、それははるかに高性能なアクターを相手に古いネットワーク設計の失敗を繰り返しているのと同じだ」

Kubernetesを使ったアーキテクチャでいえば、クラスタ内部の通信はまだ整理しやすい。問題はクラスタ境界を越えて、別クラウドや外部システムと安全に通信しなければならない場面で、ここが最も複雑になると彼は指摘する。この問題に対してもKukulinskiはリレーインフラへの依存を最小化し、可能な限り直接暗号化通信を優先する立場をとる。接続方式は、セキュリティだけでなく速度・信頼性・クラウドコストにも直結するからだ。

詳細はAI agents need their own identity and least-privilege accessを参照していただきたい。