AIエージェント向けタスクスコープ認証情報

AIエージェントに恒久的な広い権限を持つ認証情報を持たせるのではなく、実行中のタスク1つ分だけに絞った、短命な認証情報をその都度発行するアクセス制御パターン。最小権限の原則をAIエージェントという「人間より高速に、人間の承認なしで行動する主体」に対して適用したもので、NHI(Non-Human Identity)の中でも特にAIエージェントカテゴリの課題への具体的な対策にあたる。

背景にある問題意識

従来のサービスアカウント運用では、エージェントに人間ユーザーのOAuthセッションをそのまま継承させたり、共有のサービスアカウントを使い回したりしがちだった。この場合、エージェントは「カレンダー読み取りだけできればよい」タスクを実行するために、実際にはCRMへの書き込みなど不要な権限まで持ってしまう。AI関連の認証情報漏洩は2025年に前年比81.5%増加し、AI周辺インフラの漏洩速度は主要LLMプロバイダ本体より5倍速いという指摘もある。

設計の要点

タスク単位でのスコープ定義: 権限をエージェントという主体に恒久的に割り当てるのではなく、実行するタスクを中心に定義する。例えば顧客対応AIエージェントには読み取り専用権限のみを与え、課金システムへのアクセス自体を許可しない。
Just-in-Time発行: 認証情報はタスクが必要になった瞬間に発行し、タスク完了時に自動失効させる。有効期間は数ヶ月ではなく数分〜十数分単位(目安として5〜15分)で、タスクの想定所要時間に紐付ける。AWS STSのような短命認証情報発行の仕組みを使う実装例がある。
エージェントごとの個別プリンシパル: エージェントを人間ユーザーのセッションやサービスアカウントに相乗りさせず、それぞれ独立した主体として登録し、個別に認証情報を発行する。エージェントに与えるトークンは、operateしている人間ユーザー本人が持つフルの権限より必ず狭くする。
委譲チェーンの保持: OAuth Token Exchangeなどを用いて、「元のユーザーが誰か」「エージェントにどの権限が委譲されているか」「その制約は何か」という情報をサービス境界をまたいでトークンに保持させる。これにより後から監査可能な状態を保つ。
段階的スコープ: エージェント登録時点では最小限の権限から始め、実行時にポリシー層がコンテキストを評価し、要求されたスコープを必要な範囲までしか許可しない。
ランタイム監視: 静的な権限設計だけでは不十分で、普段と異なる挙動・ポリシー違反の兆候をセッション単位でリアルタイムに検知し、リスクのある行動をその場で止められるようにする。

非対話型確認プロトコルとの関係

CLIレベルでのdry-run・確認プロトコルは「エージェントが誤って/幻覚で危険な操作を実行しようとした瞬間」を止める仕組み。一方、タスクスコープ認証情報は「そもそもそのエージェントがその操作を実行する権限自体を持たない」状態を作る、より手前の防御層にあたる。非対話型確認プロトコルのノートでも「CLI側の確認プロトコルは唯一の防衛線ではなくdefense in depthの一層」と書いた通り、両者は排他ではなく積み重ねる関係にある。

#security #identity #ai-agent

出典

🔗 リンクされているノート

作成日時: 2026-08-27 16:49 / 更新日時: 2026-08-27 16:49