【ITニュース解説】Your AI Agents Are Logging In With Your Password. Banks Have Noticed.

AIエージェントの利用が急速に広がる中で、そのセキュリティ対策はシステムエンジニアを目指す皆さんにとって非常に重要なテーマとなっている。現在、多くの開発者がAIエージェントに自身のパスワードやそれに準ずる認証情報を直接渡している状況があり、これが大きなセキュリティ上の負債となりつつある。AIエージェントが私たちの代わりに様々なシステムにログインする際、それはまるで私たちがログインしているのと同じように見えてしまうため、多くのリスクが潜んでいるのだ。

特に金融機関は、このAIエージェントの活動に注目し、警戒を強めている。アメリカの銀行では、顧客アカウント上で正体不明のAIエージェントによる活動が検知されており、大手銀行は顧客に対し、第三者のエージェントと認証情報を共有しないよう警告を発している。これは、AIの哲学的な問題ではなく、具体的なセキュリティ上の懸念に基づいている。なぜなら、自動化されたエージェントがユーザーのパスワードを使ってログインした場合、銀行側から見ると、それが正規のユーザーによるものなのか、あるいはパスワードを盗んだ犯罪者によるものなのかを区別することが非常に難しいからだ。正しい認証情報、見慣れないデバイスや場所からのアクセス、不規則な時間帯の活動、速すぎる操作など、これらは不正アクセスを疑う際によく見られるパターンと酷似している。そのため、AIエージェントによる活動は、銀行の不正検知システムにとっては、単なるアカウント乗っ取りのように映ってしまう。

この問題は、銀行のログインに限った話ではない。クラウドサービスの管理画面、決済ダッシュボード、広告アカウント、業務で使うSaaSツールなど、様々な場所で同じパターンが見られる。もし何か問題が発生した場合、例えば不正な取引が行われたり、重要なデータが削除されたり、情報が漏洩したりした場合、その監査ログ（いつ、誰が、何をしたかを記録する履歴）には、あたかもあなたがその行為をしたかのように記録される。なぜなら、システムからすれば、エージェントはあなたの身代わりとして行動しているため、エージェントのすべてのアクションはあなたの名前、あなたのアクセス権限、そしてあなたの責任に紐付けられてしまうからだ。

開発者たちは、AIエージェントの利用を求められるプレッシャーの中で、この問題に直面している。ある調査では、開発者の65%がAIエージェントの利用を期待または推奨されている一方で、安全にログインさせる方法を持っていると答えたのはわずか33%だった。このギャップが、パスワードがそのままエージェントのプログラムコードや設定ファイルに書き込まれてしまう主な原因だ。これは決して不注意からくるものではなく、安全な基盤が不足していたことによるものだ。しかし、最近になってこの問題を解決するための新しいアプローチが登場し始めている。

現在のAIエージェントのログイン方法にはいくつかのパターンがあるが、その安全性は大きく異なる。最も危険なのは、エージェントにあなたの実際のユーザー名とパスワードをそのまま渡す方法だ。エージェントはこれを記憶し、あなたと同じようにログインする。設定が簡単ですぐに使えるという利点はあるが、これ以外にメリットはない。あなたのパスワードが漏洩すれば、エージェントが持つすべての権限が悪用される可能性がある。パスワードが変更されれば、そのパスワードを使っているすべてのエージェントが使えなくなるため、誰もパスワードを更新しなくなるという悪循環も生まれる。これはいつか問題が起こるのを待っているような状態と言える。

次に、長期的に有効なAPIキーを利用する方法がある。これはパスワードよりは良いとされるが、問題も多い。APIキーは通常、あなたのアカウントの下で作成され、しばしば広範なアクセス権限を持ち、削除されるまで有効なことが多い。パスワードとは別に管理できる点は良いが、この「長期的に有効」という点が問題になる。APIキーはプログラムのコード内やログ、チャットの履歴などにコピーされやすく、一度漏洩すると、広範な権限を持ったパスワードのようなものとなってしまう。

セキュリティの観点から理想的とされるのは、スコープが限定され、有効期限が短いトークンを使用する方法だ。エージェントは特定のサービスに対して、特定の権限のみを持ち、数分から数時間といった短い期間だけ有効なトークンを受け取る。有効期限が切れるとトークンは無効になり、新しいトークンが発行される必要がある。これにより、仮にトークンが漏洩しても、悪用できる範囲や期間が大幅に制限されるため、被害を最小限に抑えることができる。しかし、この仕組みをサポートしているツールがまだ少なく、すべてのエージェントとサービスでこれに対応させるには手間がかかるのが現状だ。

このような状況を改善するため、新しいソリューションが登場している。一つは「1Password for Agents」だ。これは、各AIエージェントがあなたから借りるのではなく、自身の独立したデジタルキーでログインできるようにする仕組みである。エージェントはあなたのパスワードを直接知ることはなく、ログインが必要な場合は、あなたのデバイス上であなたが承認する形になる。これにより、エージェントがあなたと区別され、個別に管理できるようになるため、もし特定のエージェントのアクセスを取り消しても、あなたのパスワードを変更したり、他のエージェントに影響を与えたりする必要がない。これは、個人や小規模なチームがパスワード共有という最大のリスクを回避するための有効な手段だ。ただし、すべてのログインを人間が承認する必要があるため、常にバックグラウンドで認証を繰り返すエージェントには向かない可能性もある。

もう一つは「IDENTOS PolicyArc」のようなポリシー・監査エンジンだ。これは、個々のエージェントごとに認証情報を管理するのではなく、アクセスに関するポリシー（誰が、何が、どのリソースに、どのようなタスクで、どれくらいの期間アクセスできるか）を一元的に定義し、強制し、その活動を監査できるシステムである。これにより、組織内のすべての人員やエージェントのアクセス状況をまとめて管理し、万が一の際には詳細な監査記録を提供できる。これは、コンプライアンスやセキュリティが厳しく求められる大規模な組織において、多くのエージェントを管理するために設計されたエンタープライズ向けの解決策だ。ただし、導入には時間とコストがかかり、また、このシステムに接続されていないエージェントがあなたのパスワードを使ってログインしている場合は、そのポリシーの対象外となる点には注意が必要だ。

では、システムエンジニアを目指す皆さんが今すぐできることは何だろうか。まず、特別なツールを購入する必要はない。最も重要なのは、自分が使っているすべてのエージェントを把握し、共有パスワードを使っている箇所を特定し、それを停止する意思を持つことだ。具体的には、次の順序で作業を進めるべきだ。

まず、あなたが利用しているすべてのAIエージェント、アシスタント、スクリプト、自動化ツールをリストアップする。それぞれがどのサービスに、どのような認証情報で、どのような権限でアクセスしているのかを明確にする。意外と忘れ去られたまま稼働しているエージェントが見つかることもある。

次に、エージェントがあなたの個人的なパスワードを使っている場所があれば、今すぐその利用を停止する。該当するパスワードを変更し、新しいパスワードはエージェントには渡さない。もしエージェントが動かなくなったとしても、それはそのワークフローに安全な認証方法がなかったことを示しており、まさに解決すべき問題点がそこにある。

そして、残っているAPIキーやトークンについて、その権限を必要な範囲にまで厳しく制限する。例えば、読み取りだけで十分な場合は読み取り専用の権限にし、アカウント全体ではなく特定のプロジェクトにのみアクセスできるようにする。もしプラットフォームが細かな権限設定を提供していない場合は、それをリスクとして認識し、キーの有効期限を短く設定する。

アクセス権限には必ず有効期限を設ける。短期間のみ有効なトークンが使える場合はそれを優先し、そうでない場合は、長期有効なキーにもカレンダーで期限を設け、定期的に更新する。タスクに特化し、期間を限定したアクセス付与が目標だ。

さらに、エージェントの活動に関する監査ログを定期的に確認する習慣をつける。ログは見て初めて意味がある。週に一度でも構わないので、重要なサービスのログイン履歴やエージェントの活動をチェックし、見慣れない動きがあればその日のうちに調査する。エージェントごとに独立したIDがあればこれが可能になるが、共有パスワードを使っていると、誰が何をしたのか判別できず、監査ログの確認は無意味なものになる。

最後に、もしもの時に備え、各エージェントのアクセスを5分以内に停止できる方法を把握し、一度実際にテストしてみる。特定のエージェントのアクセスを取り消すために、あなた自身のパスワードを変更し、すべてのサービスからログアウトしなければならないような状況であれば、まだ共有パスワードの問題が解決されていない証拠だ。

この分野はまだ発展途上であり、業界標準も定まっていないため、今採用するソリューションが将来的に変更を余儀なくされる可能性もある。また、特定のベンダーのサービスに深く依存すると、後で他のサービスへ移行するのが難しくなる「ベンダーロックイン」のリスクも考慮すべきだ。小規模なチームであれば、大掛かりなポリシーエンジンはまだ必要ないかもしれない。自分たちの規模とニーズに合わせて、適切なツールを選択することが重要である。

AIエージェントは非常に便利であり、今後も私たちの仕事において重要な役割を果たすことは間違いない。しかし、「私のパスワードで、私として、永久にログインする」という方法は、もはや安全な選択肢ではない。今回登場した新しい選択肢を活用し、まずは自分のAIエージェントが何にアクセスしているのかを把握し、あなた自身のパスワードをエージェントから取り戻すという地道な作業から始めることが、システムエンジニアとしてのセキュリティ意識を高める第一歩となるだろう。