米RSAがAIエージェント管理基盤「Agent ID」、所有者を登録し高リスク操作は人が承認

　米RSAは2026年9月29日、AIエージェントを発見・登録し、権限や操作を統制するID管理基盤「RSA Agent ID」を発表した。金融や政府、重要インフラなど規制の厳しい業界が主な対象で、米サンフランシスコのイベント「The AI Conference」で明らかにした。

　同社は、AIエージェントも権限を持ってシステムを操作する「アイデンティティ」だと位置付ける。ところが多くの組織は、どのエージェントが稼働し、誰が所有しているのかを把握できていないという。同社が引用した米ガートナーの予測では、世界の大企業1社あたりのAIエージェント数は2025年の15未満から2028年には約15万に急増する。一方、適切なエージェントガバナンスがあると考える組織は13％にとどまり、「シャドーAI」が絡むインシデントは通常より平均67万ドル（約1億500万円）コストが高いとする米IBMの調査結果も挙げている。

　新製品は3つのモジュールで構成する。「Discover」は、ID管理やクラウド、エンドポイント、ゲートウェイの情報から、未把握のものも含めてエージェントとMCP（Model Context Protocol）サーバを検出する。検出したエージェントには所有者、リスク区分、ライフサイクルの状態をひも付け、独立したIDとして登録する仕組みだ。

　「Secure」は、AI／MCPゲートウェイで呼び出しごとにポリシーを適用する。高リスクの操作には、フィッシング耐性のある認証手段で本人確認した担当者の承認を別経路で求め、エージェントを廃止すればアクセス権も取り消す。「Govern」は、人間の従業員と同様にアクセス権を継続的に見直す。

　同社CEOのグレッグ・ネルソン氏は「政府、金融サービス、重要インフラにとって、エージェントのセキュリティを誤ることは不便では済まず、壊滅的だ」とコメント。プレジデントのジム・テイラー氏も「エージェントは人間向けのあらゆるプロセスを飛ばしてきた。登録も、所有者も、説明責任もない」と指摘した。DiscoverとSecureは2026年11月16日に一般提供を始め、Governは2027年上半期に提供する予定だ。