AIエージェント量産＝マルウェア量産？約6割が「対策迷子」、押さえるべき6つの防御策(2/2)

まず何を守る？ AIエージェントの「身元と権限」3つの基本

■放置エージェントが“侵入口”に？ 最初に必要なライフサイクル管理
　AIエージェントは、人間の従業員と同様に1つのアイデンティティ、いわゆるマシンアイデンティティとして扱う必要がある。誰が何のために作ったのか分からないエージェントや、使われなくなった古いエージェントが放置されると、攻撃者に乗っ取られるおそれがある。

　さらに、利用者のIDとパスワードを渡して動かすと、エージェントが暴走した際の記録は利用者本人のものになる。身に覚えのない行為を否定できず、コンプライアンス上の問題にもつながる。

　対応はエージェント管理基盤の整備だ。人間のID管理基盤にエージェントも収容する形が、実践例としては主流になりつつある。エージェント1つひとつに固有の識別符を振り、オーナーとなる人間をひも付ける。この枠組みがないまま活用が広がっている場合、まず社内にどれだけのエージェントが存在するか、棚卸しが必要だ。

■人間のIDを渡すのはNG、AIエージェントの「認証」はどうする？
　人間のID・パスワードをAIエージェントに引き渡すことは、以前から禁止されている原則だ。しかし、AIエージェントは2要素認証や生体認証を利用できない。エージェントのオーナーが代理で承認する案もあるが、機械の処理速度や量に人は追いつけない。

　対応策として、同じ鍵を双方が持つ対称鍵方式から、公開鍵と秘密鍵の組み合わせによる非対称鍵方式への移行が挙げられる。秘密鍵の管理は、システム特権を管理する特権アクセス管理（PAM）が得意とする領域で、既存の仕組みをエージェント管理へ広げられる可能性がある。

■「何でもできる権限」が危ない、最小権限をどう実現する？
　AIエージェントに所属部署の権限を与えても、その行動範囲をカバーしきれない。かといって何でもできる権限を与えれば、「最小権限の原則」に反する。自己増殖する再帰的なエージェントでは、誰が権限を付与する責任者なのかも不明確になりやすい。

　権限を都度付与・剥奪する動的な制御が理想だが、エージェントが何をしようとしているのかを読み取る標準的な方法がまだ整っておらず、その都度判断することができない。

　技術が追いついていない以上、自律的・再帰的なエージェントは全社一斉展開を避け、範囲を限定して慎重に展開するのが現実的だ。

残る3つの難所、「データ・挙動・人」をどう守る？

　AIエージェントの時代には、データへのアクセス量が人間とは比較にならないほど増える。人間であれば、ファイル名やフォルダ名から重要そうかどうかをある程度判断できたが、重要なデータが必ずしも重要そうな見た目をしているとは限らず、従来型のDLPによる検出は難しい。

　加えて、AIエージェントが暴走してメールを勝手に送信したり、メールボックスのデータを消去しようとしたりする事例も報告されている。

　「人間を介在させる」ヒューマン・イン・ザ・ループの原則自体は引き続き正しい。ただし、どこに、どう人間を介在させるかを決めるには、業務プロセスをあらかじめ洗い出して再設計しておく必要がある。

　プロセスが明文化されている欧米企業に比べ、業務が暗黙の了解で回りがちな日本企業ではこの設計が難しく、ユーザーと一緒に考えるしかない。もう1つの対応策として、利用者の役割や目的に応じてアクセスの妥当性を判断する「パーパスベースのアクセス制御」という考え方も登場している。

AIの“暴走”をどう見抜く？ 新たな防御技術も登場