AIエージェントのセキュリティは？権限を持たせる前に決める5つの事

AIエージェントのセキュリティは、権限を渡す前に、任せる範囲、専用のIDと権限、人の承認、記録、止め方の5つ⁠を決めることです。AIエージェントとは、AI事業者ガイドライン第1.2⁠版の定義で、特定の目標を達成するために、環境を感知し自律的に行動するAIシステムのことです。

今日やることは、任せたい業務を1つ選び、含まれる操作を「読む・書く・送る・消す・支払う⁠」⁠に分けて書き出すことです。この表が、下の5つ⁠を決める材料になります。

この記事は公開情報を整理したもので、私たちが各製品を検証したものではありません。AIの守り全体はAIセキュリティのカテゴリから見られます。

なぜチャットのAIと分けて考える？

チャットのAIの失敗は、多くの場合、人が読む文章の誤りです。AIエージェントの失敗は、送ったメール、書き換えたデータ、消したファイルとして残ります。

OWASPは2025年12月に、自律的に動くAI向けのTop 10 for Agentic Applications 2026⁠を公開しました。米国NISTも2026年8月⁠と10月に、AIエージェントのIDと認可について基礎の重要性と10の設計方針⁠を示しています。

国内では、AI事業者ガイドラインが第1.2版でAIエージェントの定義を置きました。一方、総務省のAIセキュリティのガイドラインは、技術が発展の途上で脅威や対策を安定して確定しにくいとして、AIエージェントを対象外にしました。決まった答えを待つより、自社で決めておく部分を先に押さえます。

1. 何を任せ、何を任せないか

任せる範囲は、「発注業務を効率化する」のような目的では決まりません。操作の単位で書きます。

NISTの設計方針には、依頼する側が目的と制約を明示して、AIエージェントの行動をそれに沿わせる考え方があります。中小企業なら、まず文書で足ります。

たとえば、消耗品の在庫を確かめて補充の発注まで任せたい場合は、次のように書けます。

「任せない」⁠と書いた操作は、依頼の文章で禁止するだけでなく、権限そのものを与えません。

2. 専用のIDと、必要最小限の権限

ここが5つ⁠の中で一番の土台です。NISTは、資格情報の共有はどの場面でも良くないと明言し、個人や企業の資格情報をAIエージェントに渡す形が広まっていることを問題にしています。誰の操作かが分からなくなるからです。

決めることは4つです。

• 担当者のIDを渡さない。 AIエージェント専用のIDを作り、依頼した人や組織と結び付ける
• 普段は権限を持たせない。NISTはアイドル時に権限を持たない形と、作業に必要な範囲への限定を挙げている
• 権限は作業ごとに短時間で発行し、途中で取り消せるようにする
• 長期間使えるAPIキーを置きっぱなしにしない。NISTは、キーを持つ者なら誰でも呼び出せる点を指摘している

中小企業がすべてを最初からそろえるのは簡単ではありません。使うSaaSがAIエージェント用のIDや細かな権限に対応しているかを確かめ、足りなければ任せる範囲のほうを狭めます。

管理者権限に触れる業務を任せるなら、特権ID管理（PAM）⁠の比較で、貸し出しの時間制限や操作の記録を確かめます。AIエージェント用のIDにどこまで対応するかは製品で違うので、問い合わせの段階で聞いてください。

判定をAIの外に置くことも、この項目に入ります。NISTは、AIが何をしようとするかを考える部分と、何を許すかを決める部分を分け、許可の判断は確率に頼らない仕組みで行うよう示しています。AIが読む外部の文章にだまされる問題はプロンプトインジェクション対策の記事⁠で扱っています。

3. 人⁠が承認する場面

全部を承認制にすれば安全、とはなりません。NISTは、依頼が多すぎるAIエージェントでは、利用者が流れを止めないために条件反射で許可するようになると指摘しています。そうなると承認は説明責任の役に立ちません。

一方でNISTは、組織がリスクの基準を定め、それに達したら人の確認に回すことも設計方針に挙げています。絞り方の問題です。

承認を入れる基準の例は次のとおりです。

• 取り消せない：外部への送信、削除、支払い
• 金額や件数が基準を超える：発注の上限、一度に送るメールの数
• いつもと違う：新しい宛先、新しい口座、初めて触るデータ

承認の画面には、「実行してよいですか」だけでなく、宛先、金額、変更前後の内容を出します。中身が分からない承認は、押す人の責任だけを増やします。支払い先の口座の変更のように、AIを介さず別の手段で確かめる決まりの業務は、その手順を残します。

4. 何を記録するか

あとから「なぜこのメールが送られたのか」⁠に答えられるかが基準です。残す項目は次のものです。

• 依頼した人と、AIエージェントのID
• 与えた指示と、読んだデータや外部の文章
• 使ったツールと、実行した操作、その結果
• 承認した人と時刻

NISTは、AIエージェントから独立した記録の基盤に、改ざんを検知できる形で残す考え方を示しています。AIが自分の記録を書き換えられる場所に置かない、と読めば、中小企業でも実行できます。

記録は残すだけでは足りません。NISTは継続的な監視も挙げ、AIエージェントごとの指標で異常な動きを検知するよう述べています。操作数の急増や、普段触らないデータへのアクセスが見ておきたい例です。集めて検索する仕組みは統合ログ管理ツールの比較で確かめられます。使うSaaS側でどの操作が記録されるかも、先に見ておきます。

5. どう止め、誰が責任を持つか

止める手順は、動かす前に試します。

• 止める判断をする人と、その代理を決める（夜間と休日も）
• 権限を取り消す操作の手順を1枚に書く
• 止めたあとの業務を決める。人が手で回す範囲を書いておく
• 進行中の作業がどこまで終わったかを、記録から確かめる

NISTの方針にも、取り消せる認可と、実行中の検証が入っています。実行中に問題があれば介入できる状態を作るためです。

責任者も名前で決めます。依頼した部署、IDを管理する情シス担当、停止の判断者が別なら、それぞれの役割を書きます。AIが判断して動いたという説明は、取引先にとって答えになりません。

小さく始める順番

最初から送信や支払いまで任せる必要はありません。

1. 読むだけ。社内のデータを読み、案を人に見せる
2. 下書きまで。システムに書くが、確定は人が行う
3. 基準内だけ実行。金額や宛先の範囲を決めて任せる

段階を上げる前に、記録を見て、想定外の動きがなかったかを確かめます。製品で入出力を監視したい場合はAIセキュリティ製品の比較を見ます。

社員が使う外部のAIへの入力は別の論点です。図面や現場写真の判断基準と、生成AI全体を見渡す社長が確かめる7点⁠もあわせて確かめてください。