AIエージェントのセキュリティはなぜ「権限管理」で守れないのか──Box CISOが語る3段階の承認設計

何が起きたか

VentureBeatに掲載されたBox提供のスポンサード記事で、同社CISOのHeather Ceylan氏が、企業でのAIエージェント運用におけるセキュリティ設計の考え方を示しました。中心にあるのは「アクセス制御と権限は土台だが、それは人間向けに設計されたものだ」という指摘です。IDと権限が決めるのは「エージェントが何に到達できるか」であって、「自律的に動き出したあとにどう振る舞うか」ではありません。

人間の権限設計がエージェントで壊れる理由

分かりやすいのは、忘れられた権限の扱いです。10年前のフォルダへのアクセス権が残っている社員がいても、その人がわざわざ中を漁ることはほとんどありません。ところがエージェントは、与えられた権限の全域を人間には不可能な速度と規模で走査します。結果として、放置された設定ミスや古い権限が一気に表面化します。実際に、想定していたサンドボックスを抜け出したり、スコープ外のシステムに到達したり、許可されていないコンテンツを読み出したりする事例が報告されています。いずれも共通するのは、到達可能なデータの中に経路が存在し、エージェントがそれを見つけて実行したという構図です。

Ceylan氏は、権限をタスク単位で動的に絞るべきだと述べます。「1ステップで2つのツールしか必要ないなら、その2つだけにスコープすべきだ」──広い権限を広いワークフローに紐づけると、1ステップの失敗が及ぼす被害範囲がそのまま膨らみます。同氏が挙げる例は明快です。財務フォルダへの正当な権限を持つエージェントが、4000ファイルを新しい場所に書き出す必然性はない。たとえそう指示されたとしても、です。アクセスチェックはすべて通っているのに、振る舞いとしては壊滅的、という状態が成立してしまいます。

プロンプトでは守れない、統制はツール呼び出しとコンテンツ層へ

もう一つの論点は、統制の置き場所です。指示文は変わりますし、エージェントは注入された命令を取り込むこともあれば、読み込んだファイルに誘導されることもあります。だからプロンプトだけでは振る舞いを統制できず、持続する制御はツール呼び出しと、その呼び出しが操作するコンテンツの層に置くしかない、というのがCeylan氏の主張です。

ここで効いてくるのが、企業内でエージェントが触れる対象の大半が契約書・規程・顧客記録といった非構造化コンテンツだという事実です。それらは往々にして、ファイルサーバーや老朽化したECM、人間のファイリング習慣に合わせて作られたSaaSに散在しています。こうした基盤は「この人に権限があるか」しか答えられず、フォルダ単位のアクセス権は何年も監査されていない。エージェントが推論するためのメタデータもなければ、強制執行層が使う分類もなく、ログはエージェントが何を読んだかを示せるほどの粒度がありません。そこにAIコネクタを足せば、同じ死角がマシンスピードで拡大するだけです。「すべてのエージェント操作は最終的にコンテンツに帰着する」という同氏の言葉は、投資判断の順序を示しています。

3階層と、時間をかけて積み上げる信頼

Boxはエージェントの操作を3層に分けています。完全自律に任せるのは、可逆で範囲が限定され、ログが残り、信頼できない入力を含まず、間違っても損失が小さい操作。監視付きは、チームがそのエージェントに一定の確信を持ち、アラートとロールバックを組み合わせた段階。そして大量ファイルの削除や主要フォルダの消去といった不可逆な高リスク操作は、常に人を経由させます。境界線をどこに引くかは各チームのリスク許容度に応じた調整が前提です。

注目すべきは、統制をワークフローではなくプラットフォーム側に置くという設計思想です。データ分類・ラベリング・有効期限をプラットフォームが強制することで、すべての操作に人間のチェックポイントを挟まずに済む。「正しい構成は最初に強制されるべきで、最後にアクションをブロックするのではない」わけです。さらに「認められた経路が最速の経路でなければならない。安全に試せる方法を与えられなければ、チームは統制を迂回する」という指摘は、セキュリティ部門の役割定義そのものです。

検知の側にも課題が残ります。UEBA（ユーザー・エンティティ行動分析）のベースラインは人間の活動に合わせて較正されているため、エージェントの不審な挙動は人間のそれに似ているとは限りません。ベースライン確立はログから始まりますが、多くのエージェントは実験として始まり、その操作はログ基盤に届かないまま消えます。重要なシグナルは単発の操作ではなく、あるエージェント��出力が別のエージェントの入力になる、システムをまたいだ連鎖である場合が多い──その検知手法はまだ設計途上です。Ceylan氏は、2年前は「セキュリティとは常に人間をループに入れることだ」と誰もが考えていたが、実際にエージェントを作り、共に運用する中でその前提が変わったと振り返ります。アクセスは一度決めれば済むが、振る舞いへの信頼は、稼働の様子を観察しながら時間をかけて積み上げるものだ、と。

💼 事業会社視点：これは自社にどう効くか

日本企業にとって痛いのは、この記事が指す「老朽化したECMとファイルサーバーに非構造化データが散在する」状態が、まさに国内大企業の標準形だという点です。部署共有フォルダの権限は数年監査されておらず、退職者・異動者の残存権限も棚卸しされていない。ここにAIコネクタを繋げば、人事・財務・法務の死蔵ファイルを最初に発見するのはエージェントになります。役員が今週やるべきは、PoCの承認ではなく「エージェントに接続予定のリポジトリの権限監査とログ粒度の確認」を情報システム部門に指示することです。

SaaS事業者は、顧客企業のCISOから「エージェントが何を読んだかログで示せるか」「操作をロールバックできるか」を必ず問われます。Boxの3階層（完全自律／監視付き／人間承認必須）は、そのまま自社プロダクトの機能要件として読み替えられます。受託開発・SIerにとっては逆に商機で、エージェント導入案件の前工程に「権限棚卸しとメタデータ・分類付与」を必須フェーズとして提案できる。ECでは顧客記録の一括書き出しが最大の事故リスクで、4000ファイル移動の例はそのまま自社の危険操作リストの雛形になります。

共通する経営判断は一つ。統制を業務フローに埋めるとPoCごとに再実装が必要になり、現場は必ず迂回します。プラットフォーム側に分類とラベリングを寄せる投資を先に決めることが、結果的に導入速度を上げます。