AIエージェントが揺さぶる「人間前提」のセキュリティ 何を見直すべきか

正規の認証情報を使い、許可された権限の範囲内で動いていても、AIエージェントは想定外の処理を実行し得る。人間の利用を前提に設計されたセキュリティは、この新しい「利用者」にどう向き合うべきか。ClouderaのフィールドCTOが見直しのポイントを解説する。

[キャロリン・デュビー（Cloudera），ITmedia]

本稿は、Clouderaのキャロリン・デュビー氏（フィールドCTO 兼 サイバーセキュリティGTM責任者）による寄稿だ。

　AIを巡るサイバーセキュリティの議論では、データ漏えいやモデルの脆弱（ぜいじゃく）性、過剰なアクセス権限といった既知のリスクに注目が集まりがちです。しかし、こうしたリスクの背後には、より根本的な課題が存在します。それは、多くの企業のセキュリティ対策が人間を前提に設計されている一方で、AIエージェントは人間とは本質的に異なる形で動作するという点です。

　AIエージェントは膨大なデータを処理し、複数のシステムを横断しながら、人間には不可能な速度で自律的にタスクを実行します。その過程で、人間の利用者であれば遭遇することも悪用することも少なかった、データセキュリティやガバナンスの構造的な弱点が顕在化する可能性があります。

　こうした懸念は既に、企業のAI導入やITインフラの設計に影響を与えています。Clouderaが2026年6月に実施した調査「AIアーキテクチャの大転換（The Great AI Re-Architecture）」（編注1）によると、AIインフラを見直す要因として最も多かったのはデータセキュリティ、ガバナンス、コンプライアンスへの対応で、アジア太平洋地域の回答者の46％が挙げています。

　AIエージェントの活用が企業全体に広がる中、従来のセキュリティ対策をそのままAIに適用するだけでは十分ではありません。自律的に行動するAIエージェントの特性を踏まえ、セキュリティアーキテクチャそのものを再考する必要があります。

　サイバーセキュリティ啓発月間（編注2）は、こうした課題について改めて考える機会となりました。しかし、AIエージェントの普及に伴うセキュリティの課題は、特定の期間に限られるものではありません。企業は、自社のデータにアクセスする主体が人間だけではなくなったとき、長年当然としてきたセキュリティの前提が今も通用するのかどうかを問い直す必要があります。

アクセス制御だけではリスクを封じ込められない

　従来のID・アクセス管理は、「誰が、何にアクセスできるか」を確認・制御することに重点を置いてきました。しかし、自律型AIの登場により、この仕組みだけでは十分な安全性を確保できなくなっています。

　たとえアクセス先を厳格に制限した環境でAIエージェントを動かしていても、セキュリティ担当者は、そのエージェントが潜在的にどこまで影響を及ぼし得るのかを把握する必要があります。例えば、そのエージェントが、漏えいした認証情報や未修正の脆弱性を悪用したり、別のシステムへ侵入する経路を見つけたりした場合、どのシステムやデータにまで到達できるのかを評価しなければなりません。

　これは、アクセス権限を業務上必要な最小限に制限する「最小権限の原則」の運用にも、新たな視点を求めるものです。今後は、初期アクセス時の権限を制御するだけでなく、AIエージェントが予期しない行動を取った場合でも、その影響を最小限に抑えられる仕組みが重要になります。

　そのためには、ネットワークの分離、サンドボックス化、APIアクセス権限の厳格な制限など、多層的な防御策が必要です。また、AIエージェントには一時的なIDや認証情報を付与し、特定のタスクを実行する間だけ必要な権限を与え、完了後は直ちに取り消すといった運用も求められます。

　ただし、影響範囲を制限するだけでは、全てのリスクに対応できるわけではありません。AIエージェントは、正規の認証情報を使用し、許可された権限の範囲内で動作していても、予期しないリスクを生み出す可能性があります。だからこそ、アクセス時の権限管理に加え、実行中の行動を継続的に検証することが重要なのです。

AI時代のゼロトラストに求められる、より徹底した検証

　ゼロトラストは決して新しい概念ではありません。しかし、自律型AIの普及により、継続的に検証すべき対象は大きく広がっています。

　「決して信用せず、常に検証する（Never Trust, Always Verify）」という原則は、もはやユーザーやデバイス、ネットワークだけに適用されるものではありません。データ、AIモデル、ワークロード、そしてそれらを横断して動作するAIエージェントにも適用する必要があります。

　AIシステムには、同じ条件下でも必ずしも同じ結果が得られるとは限らない「非決定性」という特性があります。そのため、AIエージェントは正規の認証情報を使用し、許可された権限内で動作していても、想定外の処理や、本来意図されていない一連のアクションを実行する可能性があります。

　こうした予測の難しさは、AI導入に伴うデータガバナンスの課題にも通じます。Clouderaの調査では、アジア太平洋地域の回答者の61％が、AIの導入によって効果的なデータガバナンスの維持が大幅に難しくなったと回答しています。

　従って、AI時代のゼロトラストは、アクセス時の認証・認可だけで完結するものではありません。アクセスを許可した後も、AIエージェントの行動をリアルタイムで監視し、想定された目的から逸脱した場合には、自動停止の仕組みや人間による確認・介入を通じて制御できる体制が必要です。

　さらに、ゼロトラストは、AIが稼働する環境を問わず、一貫して適用されなければなりません。企業データは、オンプレミス、プライベートクラウド、パブリッククラウドなど、複数の環境に分散しています。アクセス制御やガバナンスポリシー、監視基準は、こうした環境の違いに左右されることなく、データやモデル、ワークロードが移動しても一貫して適用されるべきです。

　AIをどの環境で稼働させるかによって、直面するリスクの種類や程度は変わります。しかし、インフラの選択だけでセキュリティを確保できるわけではありません。

プライベートAIによるリスク構造の変化とセキュリティ対策の重要性

　機密データをパブリッククラウドの外部サービスに送ることに伴うリスクなどを背景に、AIワークロードを自社で直接管理できるインフラへ移行する企業が増えています。

　Clouderaの調査によると、アジア太平洋地域の回答者の63％が、過去1年間に少なくとも一部のAIワークロードをパブリッククラウドからプライベートクラウド、またはオンプレミスに移行したと回答しています。

　機密データを外部のサービスに送らず、データが存在する環境でAIを活用すれば、そうしたリスクを軽減し、自社データに対する管理・統制を強化できます。また、データの保管場所に近い環境でセキュリティ対策やガバナンスポリシーを適用しやすくなるという利点もあります。

　ただし、保護すべき対象は基盤となるデータだけにとどまりません。AIモデルやプロンプト、出力結果にも機密情報が含まれたり、意図せず機密情報が露出したりする可能性があります。そのため、AIの開発から運用に至るライフサイクル全体を通じて、一貫したガバナンスを確保することが不可欠です。

　インフラを自社で管理できるからといって、セキュリティが完全に確保されるわけではありません。プライベート環境や自社の管理下にある環境でAIを運用する場合でも、内部不正、設定ミス、認証情報の侵害、AIエージェントの予期しない挙動といったリスクは残ります。むしろ、機密性の高い企業データの近くでAIを稼働させることは、その環境の保護、監視、ガバナンスについて、企業自身がより大きな責任を負うことを意味します。

　つまり、プライベートAIはリスクの構図を変えるものであって、リスクそのものをなくすものではありません。企業は、どのリスクを軽減できるのか、どのリスクが残るのか、そして新たにどのような運用責任を担うことになるのかを明確に理解する必要があります。

　AIをどこに導入する場合でも、基盤となるデータの可視性を確保し、一貫したガバナンスを維持することが重要です。

自律型AIエージェントの時代に求められるセキュリティの在り方

　サイバーセキュリティの基本原則は、AI時代になっても変わりません。しかし、企業データにアクセスし、それを利用する主体は大きく変化しています。

　AIエージェントは、単に人間より速く仕事をこなす存在ではありません。膨大なデータを処理し、複数のシステムや環境を横断しながら、自律的に行動するソフトウェアです。

　この新たな仕組みに対応するには、誰が、あるいは何がシステムへのアクセスを許可されるかを管理するだけでは不十分です。企業は、AIエージェントが及ぼし得る影響範囲を制限し、その行動を継続的に検証するとともに、データがどこに存在していても一貫したセキュリティとガバナンスを適用する必要があります。AIがパブリッククラウド、プライベート環境、あるいはその両方で稼働していても、インフラの境界によってセキュリティ対策に抜け穴が生じてはなりません。

　企業がAIエージェントに、より大きな自律性と責任を与えるようになる中、今後のサイバーレジリエンスを左右するのは、「AIエージェントは定められたルールの範囲内で動作するはずだ」という期待ではありません。想定外の行動を可視化・監視し、それが起きたときに影響を抑制するとともに、何が起きたのかを検証できる仕組みを備えているかどうかが重要になるのです。

編注1：「AIアーキテクチャの大転換（The Great AI Re-Architecture）」は米州、欧州・中東・アフリカ、アジア太平洋の9市場で、従業員1000人以上の企業のエンタープライズアーキテクトやクラウドインフラ責任者、データアーキテクト1500人が回答。アジア太平洋地域はシンガポール、インド、日本の300人から回答を得た。

編注2：サイバーセキュリティ啓発月間は、米国発祥の啓発キャンペーン「Cybersecurity Awareness Month」の訳語。毎年10月の1カ月間（2026年は10月1日〜31日）に実施されている。

著者プロフィール：Cloudera キャロリン・デュビー（Carolyn Duby）　フィールドCTO 兼 サイバーセキュリティGTM責任者（Field CTO and Cyber Security GTM Lead）

サイバーセキュリティ、データ、AI分野で30年以上の経験を持つエキスパート。高性能医療機器からサイバーセキュリティ、分散型ビッグデータソリューションまで、幅広い業界でキャリアを積んだ。現在は、顧客が安全かつ効率的なAIアプリケーションを構築できるよう支援するとともに、ブランド価値の向上、サイバーセキュリティ対策の強化、そしてデータ戦略の策定をサポートしている。

2021年にClouderaへ入社する以前は、Pathfinder Solutions、Dell Secureworks、Hortonworksで要職を歴任。Clouderaにはプリンシパル・ソリューションズ・エンジニアとして入社し、現在はフィールドCTOとして、サイバーセキュリティおよびAI分野の戦略をリード。

Cloudera：https://jp.cloudera.com/