本番稼働企業のうち61%が認証情報を一部共有、インフラ層に穴
AIエージェントを本番環境で動かす企業は、モデルの性能や回答の正しさばかりに目を向けがちです。しかし実際には、誰がどの権限でエージェントを動かしているかという「インフラ層」の管理が抜け落ちているケースが少なくありません。認証情報の共有やアクセス権の取り消しといった地味な基盤こそが、事故が起きたときの被害の大きさを左右します。
この記事の要点
何が起きたか
クラウド基盤企業Nebiusでセキュリティ製品部門を率いるNir Chervoni氏が、VentureBeatのインタビューに応じました。テーマはAIエージェントを本番環境で動かす際のインフラ層のセキュリティです。
インタビューの冒頭で紹介されたVentureBeat Intelligenceの調査結果によると、8月の調査では回答者の半数が自社でAIエージェントを本番稼働させていると答えました。さらにそのうちの61%が、複数のエージェント間で認証情報を一部共有していると回答しています。9月の調査では、アクセス権の取り消しについて尋ねた質問に答えた人のうち、名前が特定された担当者が数分以内にエージェントのアクセス権を取り消せると答えたのはわずか14%にとどまりました。
Chervoni氏は、モデルやエージェントを動かす前に必要な基盤として、エージェントごとに人間のユーザーと同様の固有IDを与えること、認証情報を短命かつタスク限定にしてシークレットマネージャーで管理すること、暗号鍵を顧客側が管理すること、SIEMに連携する完全な監査証跡を持つことを挙げました。さらにGPUでの機密コンピューティングの導入状況や、テナント分離を確認するためにCISOが問うべき具体的な質問項目、データの所在地と「ソブリンAI」の違いについても言及しています。
背景・解説
AIエージェントとは、人間の指示を受けて複数の作業を自律的にこなすソフトウェアを指します。社内システムへのログインや外部サービスの呼び出しを自動で行うため、人間の従業員と同じようにIDやアクセス権限が必要になります。Chervoni氏が問題視するのは、この「認証情報」が複数のエージェント間で使い回されている状態です。認証情報を共有すると、どのエージェントが何をしたか追跡できなくなり、一つが乗っ取られたときの被害範囲も絞り込めなくなります。
機密コンピューティングという用語も記事の中心にあります。これは、データが処理されている最中もハードウェアレベルで暗号化し、クラウド事業者の管理者でさえ中身を見られないようにする仕組みです。従来はCPUが対象でしたが、近年はGPUにも拡張されつつあり、CPUとGPU間でやり取りするデータの暗号化や、GPU自体が正しい状態であることを証明する「構成証明アテステーション」が可能になってきています。ただしChervoni氏は、機密コンピューティングはアプリケーションの脆弱性やプロンプトインジェクションを防ぐものではなく、正規のIDが乗っ取られた場合にも無力だと説明しています。
もう一つの重要な概念が「ソブリンAI」です。Chervoni氏は、データが物理的にどこにあるかを示す「レジデンシー」と、誰がアクセスでき、どう処理され、誰が保護の仕組みを管理するかという「ソブリンティ主権」は別の問題だと整理しています。
仕事や業務への影響
AIエージェントを複数の業務で使い始めた会社ほど、権限管理を後回しにするリスクは大きくなります。例えば、従業員80人規模の製造業で、受発注処理と在庫確認に3体のAIエージェントを導入した会社があったとします。担当者が異動や退職をした際、エージェントのアクセス権を誰が何分以内に止められるかが社内で決まっていなければ、退職者のIDに紐づいた権限が数週間放置される事態も起こり得ます。今回紹介された調査では、名前のある担当者が数分以内に取り消せると答えた企業はわずか14%でした。この数字は、多くの企業が「エージェントを動かすこと」には投資していても、「止めること」への備えが追いついていない実情を映しています。
経理や人事など機密性の高いデータを扱う部署でエージェントを使う場合は、エージェントごとに固有のIDを割り当て、アクセス権限を業務範囲に限定する設計を最初から組み込むべきです。逆に、公開情報だけを扱う社内FAQの自動応答のような用途であれば、ここまで厳格な権限管理は不要です。重要なのは、全ての用途に同じレベルの統制をかけるのではなく、扱うデータの機密度に応じて管理の濃淡をつける判断です。
情報システム部門の責任者であれば、ベンダーを選ぶ際に「暗号鍵を自社で管理できるか」「監査ログを自社のSIEMに連携できるか」という2点だけでも確認する価値があります。この2点が曖昧なベンダーは、インフラ層の説明を省略している可能性が高いからです。
不確かな点・注意
記事で紹介された調査は「VentureBeat Intelligence」が8月と9月に実施したものですが、回答者数や調査対象企業の業種・規模といった詳細は明らかにされていません。61%や14%という数字が日本企業にそのまま当てはまるかどうかも分かりません。
また、発言者のNir Chervoni氏はインフラ事業者Nebiusのセキュリティ製品責任者であり、自社サービスの強みを前提にした発言を含んでいる点には注意が必要です。GPUの機密コンピューティングについても「実装によっては保護される」という留保付きの説明にとどまっており、どの程度の性能低下や追加コストが生じるかには触れられていません。テナント分離やソブリンAIの要件についても、具体的な認証機関名や第三者評価の実例は示されていないため、導入を検討する企業は自社の業界規制や契約条件に沿って個別に確認する必要があります。
出典
この記事のつくり方
国内外の情報源（企業の公式発表や、国内外の報道）を巡回して、新しいニュースの候補を集めます。
AIが、選んだ出典だけをもとに記事を書きます。出典に無い数字・日付・発言は作りません。
20を超える決まりの検査と、別のAIによる出典との照らし合わせを通った記事だけを公開します。通らなかった記事は公開しません。
公開した記事には、運営者が目を通しています。誤りに気づいたときは、訂正するか、公開を取り下げます。