大企業では、重大リスク（ハイグラビティ・リスク）を軽減するため、AIエージェントに対するゼロトラストの採用が進んでいる。Forresterの調査では、企業の86%がAIエージェントを導入済みであることが判明し、McKinseyは売上10億ドル（約1550億円）超の大企業のうち40%が業務全般にわたってAIエージェントを拡大展開していると報告している。
AIエージェントが自律的な意思決定のためにシステムやアカウントへの権限とアクセスを得るようになるにつれ、信頼が重要な課題として浮上している。Forresterの調査によれば、「エージェント的混沌（agentic chaos）」の状態にある組織の77%がそれでも本番稼働に進んでおり、平均210万ドル（約3億2600万円）にのぼるコンプライアンス罰金、顧客離反、業務停止、手直しコストのリスクにさらされているという。サイバーセキュリティの基本原則であるゼロトラストは、費用対効果に優れた最有力の解決策として台頭している。
本レポートでは、Microsoft、Feedzai、0rcus、Altorneyの専門家が、なぜ大企業がゼロトラストを無視できないのか、そしてエージェント型AIの技術スタックにゼロトラストをどう組み込むかを解説する。
大企業がAIエージェントのゼロトラストを無視できない理由
AIエージェントがどれほどの資金を動かしているかを示す公式な報告はないが、Fortune 500企業の80%超がAIエージェントを導入していることから、その総額は数百万ドル規模に達し、さらに増加していると推計されている。
資金の移動に加え、AIエージェントはサプライチェーンの在庫を再配分し、ソフトウェアをコーディングし、ほぼすべての基幹業務部門で稼働しており、企業にサイバーセキュリティの再考を迫っている。監督なしに、行動制約やセキュリティのガードレールなしに放置されれば、大企業にとっての影響は極めて深刻となる。
OpenAI、Meta、Anthropicはいずれも、サイバーセキュリティテストにおいて自律的に行動するAIエージェントが企業をハッキングし、痕跡を隠蔽しようとし、脆弱性を悪用し、クラウドインフラを操作し、認証情報にアクセスしたインシデントを公表しており、エージェントが誤動作した場合に何が起こり得るかを示している。エージェント向けセキュリティのガードレール欠如は、大企業を執拗に狙う極めて活発な脅威アクターにも悪用されている。
Sophosの調査では、組織の71%が過去1年間に少なくとも1件のアイデンティティ侵害を経験している。非人間アイデンティティ（静的な認証情報、コード内に保存されたAPIキー、放置されたサービスアカウント）の管理不備が、アイデンティティ関連の侵害成功事例の41%で根本原因だった。サービスアカウントや非人間アイデンティティを定期的にローテーションまたは監査している組織は3社に1社にとどまり、継続的に実施している組織はわずか11%である。
「エージェントが侵害されれば、攻撃者は複数の攻撃対象領域へのアクセスを獲得し、さらなる脆弱性を悪用できる可能性がある」と、Microsoftのプロダクトマネージャーであり、AIエージェントに関するゼロトラスト業界の専門家であるVijaya Lakshmi Nukala氏（個人としての発言）は筆者に語った。
Nukala氏によれば、新しいAIエージェントへのサイバー攻撃には、プロンプトインジェクション、メモリ悪用、ツールやデータに対する過度に広範な権限、認証情報の窃取、結果を誤った相手に送信することなどが含まれる。
「監視されていない、あるいは権限を過剰に付与されたエージェントは、攻撃者にとって魅力的な標的となり得る」とNukala氏は語った。このリスクが企業全体に拡大すると、企業規模のセキュリティ問題へと発展する。
「AIエージェントは、企業がこれまでセキュリティ対策を講じてきた従来のシステムとは根本的に異なる」と語るのは、世界のトップ銀行や決済ネットワークから10億人超の消費者と9兆ドル（約1400兆円）規模の決済量をカバーし、AIを用いて金融犯罪、詐欺、マネーロンダリングの検知と防止を行うグローバル金融トラスト企業Feedzaiのエンジニアリング担当SVP、Diogo Guerra氏だ。
従来の企業システムは開発者が書いたコードに従うよう設計されているが、エージェントは異なる動きをする。「エージェントには通常、目的が与えられ、それをどのように達成するかを判断するある程度の自律性が与えられる」とGuerra氏は述べる。
「大企業にとって、エージェントが機密情報にアクセスでき、複数のシステムにまたがって行動できる場合、リスクは特に大きくなる」とGuerra氏は語った。
コンプライアンスや法務の観点からも、AIエージェントにおけるゼロトラストの欠如は急速に大きな問題となり得る。「大企業はAIエージェントのゼロトラストを無視する余裕はない」と、リーガルテック企業AltorneyのCEO、Shimmy Messing氏は筆者に語った。
「自律型システムは機密データにアクセスでき、意思決定を行い、重要なビジネスシステム全体で行動を起こすことができるため、プライバシー、セキュリティ、法的責任の発生において大きなリスクが生じる」とMessing氏は述べた。
大企業は組織全体において、情報漏えいを防ぎ、自社に対して悪用されたりPR上の悪夢となり得たりするようなものが誤った手に渡らないよう、慎重に対処する必要がある、とMessing氏は語った。
技術スタック全体でAIエージェント向けゼロトラストを構築する方法
専門家が推奨するのは、サイバーセキュリティとコンプライアンスの観点から、AIエージェントをオンボーディングからオフボーディングまで従業員と同様に扱うことである。
「従業員が会社に入社し、データやツール、ライセンスへのアクセスを得て、最終的に会社を離れるのと同様に、エージェントも作成とアクセスから廃止に至るまで、完全なライフサイクルを通じて管理されるべきだ」とMicrosoftのNukala氏（個人としての発言）は述べた。
「各エージェントに責任を持つ人間のオーナーを割り当てることで、その行動に対する説明責任を確保すべきだ」とNukala氏は語った。
Nukala氏の説明によれば、企業のセキュリティチームは、企業、組織、チームの各レベルで、時間、行動、ネットワーク、リソースに基づくアクセス制御を適用できるようにすべきであり、エージェントがそれらのリソースを使用する前に、事業課題に近い人々がアクセスを承認できる分散型の承認プロセスを備えることが望ましい。
AIエージェントの目的が達成された場合、またはエージェントが孤立した場合には、適切な人間のオーナーが、従業員の退職時と同じようにそのライフサイクル終了を管理すべきである。これには、ファイルの返却、ライセンスの移管、ログの確認などのプロセスが含まれる。
「エージェントが認証情報、パスワード、決済情報、行政文書などの機密情報にアクセス、変更、削除できる場合、こうした統制はさらに重要になる」とNukala氏は述べた。
予防的なポリシーと統制を適用した後でも、侵害はなお発生し得る。攻撃が起きた場合に備え、企業は強力な可観測性と監査可能性を備えるべきだ。
「企業は、影響を受けたエージェントを特定し、そのアクセスを迅速に取り消せるようにすべきだ。そうすれば、攻撃者が侵害された認証情報を使ってシステムの悪用を続けることを防げる」とNukala氏は述べ、ログにはどのリソースにアクセスがあったか、どのような行動が取られたか、誰が関与したかが明確に示されるべきだと強調した。
「ログはまた、エージェントが独立して行動したのか、それとも人がそのエージェントを使ってシステムを悪用したのかを判断する助けにもなるべきだ」とNukala氏は述べた。
ゼロトラストを構築する第一歩は、AIエージェントを企業セキュリティモデルの中で第一級の主体に引き上げることだ、とFeedzaiのGuerra氏は述べた。
企業はこれまでも、従業員が悪意を持って行動したり、ミスを犯したり、正当なアクセスを悪用したり、認証情報を侵害されたりする可能性を管理する必要があった、とGuerra氏は説明する。「エージェントは同じ根本的リスクの多くをもたらすが、予期せぬ挙動がはるかに高速、大規模、かつ高い確率で発生し得る」とGuerra氏は述べた。
「だからこそ、ゼロトラストの原則はエージェントに非常によく当てはまる」とGuerra氏は語った。
Guerra氏の説明によれば、組織は最小権限を適用し、エージェントにはタスクに必要なデータとツールへのアクセスのみを与え、読み取り権限と行動を起こす権限を分離し、挙動を継続的に監視し、影響の大きい行動には追加認可または人間による承認を求めるべきである。
重要なのは、権限が文脈も考慮すべきだという点である。「問うべきは、単にエージェントがシステムにアクセスできるかではなく、この特定のエージェントが、この特定のリソースに対して、この特定の瞬間に、この特定の行動を実行することを許可されるべきかどうかである」とGuerra氏は付け加えた。
「すでに成熟したゼロトラストアーキテクチャを持つ組織にとって、これは再発明ではなく進化であるべきだ」とGuerra氏は述べた。
マシンが従業員を109対1で圧倒、AIエージェント向けゼロトラスト構築ではすべてのAIエージェントを従業員として扱う
IBMは、AIエージェントが下し得る意思決定の量は、人間によるガバナンスで現実的に監督できる規模を超えていると警告した。企業内では、機械が人間の従業員数を上回っている。
AIサイバーキネティクス企業0rcusの共同創業者兼CEOであるNic Adams氏は筆者に、大企業内のアイデンティティ数はすでに逆転していると語った。Palo Alto Networksが2930人のセキュリティ意思決定者を対象に調査した結果、AIエージェントを含むマシンアイデンティティが人間アイデンティティを109対1で上回っていることが判明した。「その109のうち79がAIエージェントだ」とAdams氏は説明した。
「今日、企業システムに認証しているものの大半はソフトウェアであり、新規採用者が受けるような審査を経たものはごくわずかだ」とAdams氏は述べた。「スタック内のすべてのエージェントは、付与後にほとんど見直されることのない、もう1つの恒常的な認可である」とAdams氏は述べた。
エージェント型ゼロトラストのための7段階の統制フレームワーク
技術的な具体策として、Adams氏は大企業がゼロトラスト構築に活用できる、順序立てた7つの統制を紹介した。
- すべてのエージェントに固有のアイデンティティを付与する：共有サービスアカウントや借用された人間の認証情報は、帰属の特定を不可能にする。「行動を取ったエージェントを名指しできなければ、それを統制することはできない」とAdams氏は述べた。
- 認証情報を単一タスクに限定する：宣言された目的を持つ1つのジョブのために発行し、そのジョブが完了したら失効させる。悪用されるのは恒常的な権限である。
- 指示チャネルとデータチャネルを分離する：エージェントが取得したものは最後までデータとして扱い、指示は自社が管理するチャネルからのみ受け付ける。「これがプロンプトインジェクションに対する設計上の答えだ」とAdams氏は述べた。「出力フィルタリングでは根本的な設計はそのまま残る」
- 影響に上限を設ける：取引上限とレート制限を設定し、しきい値を超える場合は人間の承認を必須にする。Adams氏の説明によれば、カードを持ち上限のないエージェントは無制限の責任を伴うため、エージェント型決済ではこれが急務である。
- 外向き通信を許可リスト化する：エージェントは指定された宛先群にのみ到達でき、それ以外には到達できないようにすべきだ。「今年のSalesforceエージェントの事例は、5ドル（約1万未満円）の期限切れドメインを経由して実行された。許可リストがあれば最初のリクエストで止められたはずだ」とAdams氏は述べた。
- API呼び出しとともに推論過程を記録する：監査人や規制当局は、なぜエージェントがその行動を取ったのかを問うだろう。「その行動に至った経緯を再構成できるだけの意思決定記録を保持すべきだ」とAdams氏は述べた。
- 実運用中の権限を持つデプロイ済みエージェントに対してレッドチーム演習を行う：モデル評価は、システムが何を言うかを示すにすぎない。攻撃者が関心を持つのは、システムが何に到達できるかであるため、テストは稼働中の設定に対して実行しなければならない、とAdams氏は説明した。
重要インフラにおけるAIエージェント向けゼロトラスト:IT-OTのエージェント型セキュリティ
重要サービス、エネルギー、水、輸送、製造など物理インフラを運用する大企業にとって、AIエージェントの保護は国家安全保障上の問題である。
「経営層は、エージェントが物理インフラに近づくにつれ何が起こるかを深く考えるべきだ」とAdams氏は述べた。エージェントセキュリティは現在、データ問題として資金が投じられているが、エージェントが工場コントローラの上流に置かれた瞬間、その枠組みは通用しなくなる。
Adams氏によれば、エネルギー網や輸送インフラのような環境でAIエージェントのトークンのスコープ設定を誤ると、機器に到達し、ミスの結果が機械的なものになり得る。これはIT-OTエージェント型セキュリティに関する話である。
「エージェントアイデンティティを安全制御として構築する企業は、この能力が物理層に到達したときによりよく持ちこたえられるだろう」とAdams氏は述べた。「その変化はすでに進行中であり、それを支えるために書かれたガバナンスよりも速く動いている」
AIエージェント向けゼロトラストに関する最終考察
「AI向けゼロトラストは、まったく新しいセキュリティ分野のように聞こえるかもしれないが、企業はそのように扱うべきではないと思う」とFeedzaiのGuerra氏は述べた。
Guerra氏によれば、原則はすでによく理解されている。明示的に検証し、最小権限を徹底し、侵害を前提とし、継続的に監視し、問題が起きたときの爆発範囲を制限することだ。
AIエージェントによって変わるのは、それらの原則を適用する対象である。
「AIのためにまったく新しいセキュリティモデルを発明する必要はない。エージェントを、すでに持っているセキュリティモデルの内側に取り込むことを確実にする必要がある」とGuerra氏は述べた。したがって、エージェント型AIに最も適した立場にある組織は、おそらくAIエージェント向けゼロトラストにすでに多大な投資をしてきた組織だろう、とGuerra氏は述べた。
