自律型AIエージェント向けIAMの指針が公開、従来の権限管理が抱える課題と対策を提示

要点

• 企業システムで動作するAIエージェントを統制するためのID・アクセス管理（IAM）フレームワークが公開された。

• 従来のIAMは静的な権限設定を中心としており、タスクを動的に連鎖させるエージェントの実動作を捕捉できない課題が指摘された。

• 所有者の不在や長期的なAPIキーの放置、無制限の権限委任など5つのライフサイクルリスクが整理された。

• 対策として個別IDの確立やOAuth 2.0 Token Exchangeの活用、タスク単位での権限付与やツールの許可リスト化が提示された。

• セキュリティ専門メディアのThe Hacker Newsは2026年9月28日、企業システム内でツール呼び出しや権限行使を行うAIエージェントに向けたID・アクセス管理（IAM）フレームワークの解説を公開した。従来のID管理基盤が持つ限界を整理し、エージェントを非人間IDとして安全に統制するための実践的な要件をまとめている。

従来のID管理が直面する設計と実行のギャップ

従来のIAM（Identity and Access Management：IDライフサイクルやアクセス権限を一元管理する仕組み）は、設計時におけるプロビジョニングやポリシー定義、実行時におけるシングルサインオン（SSO）など、境界でのアクセス制御を中心に機能してきた。しかし、これらは設定上のアクセス権を示すのみで、自律型エージェントがアプリケーション内で実際に何を実行したかまでは把握できないという。

人間のユーザーと異なり、AIエージェントはタスクを連鎖させてツールを動的に選択するため、事前の権限審査では想定できない動作を引き起こす可能性がある。国際セキュリティ組織OWASPのLLM向けTop 10でも、広範な権限を持つエージェントが承認範囲を超えて行動する「過剰なエージェンシー（Excessive Agency：LLM06）」が指摘されている。さらに、中央のID管理基盤に記録されないエージェントや資格情報といった「アイデンティティ・ダークマター」の存在が、実態把握をより難しくしていると説明されている。

開発現場で発生しやすい5つのライフサイクルリスク

エージェントのIDは人事起点のイベントではなく、インフラ自動化や開発チームによって生成されることが多いため、通常のガバナンス監視をすり抜けやすい。記事では、頻発するリスクとして以下の5点を挙げている。

• 所有者の不在：エージェントの目的や存続に責任を持つ担当者が定まっていない。
• 長寿命シークレットの放置：静的なAPIキーが更新されず長期間残存する。
• 無制限の委任：タスクに必要な範囲を超えて、ユーザーやサービスの権限を丸ごと継承する。
• 不可視のインスタンス化：生成されたエージェントがIdP（認証基盤）に登録されない。
• 有効期限の欠落：実証実験用のアクセス権が終了後も放置される。

エージェント専用IDと認証情報管理の原則

フレームワークでは、エージェントごとに個別のIDを割り当てることが大前提とされている。共有アカウントや人間の認証情報の流用は禁止され、監査ログ上で人間の活動と明確に区別できるようにする必要がある。

認証情報にはワークロードIDフェデレーションや、短寿命で自動更新されるクレデンシャルの利用が推奨されている。また、エージェントがユーザーの代理で動作する際は「OAuth 2.0 Token Exchange（RFC 8693）」を利用し、エージェント自身のIDと委任された権限の境界を維持することが重要だという。

被害範囲を局所化する認可ポリシーの適用

認証後の認可制御においては、米国立標準技術研究所のセキュリティ基準「NIST SP 800-53 Rev. 5」に定められた最小特権（AC-6）や職務分掌（AC-5）などのアクセス制御が適用可能とされる。これらはログインゲートウェイではなく、エージェントのアクションに近い位置で適用する必要がある。

具体的な制御策として、以下の4点が提示されている。

• タスクスコープの権限付与：恒久的な権限ではなく、特定タスクの実行中のみ有効な権限を発行する。
• ツールの許可リスト化：目的に応じて呼び出し可能なAPIや機能を限定する。
• データの境界設定：取得元データを制限し、改ざんデータによる不正動作を防ぐ。
• アクションの閾値設定：重大な操作には人間の承認や二次認可を求める。