【ITニュース解説】IBM Put a Name on the Agent. The Revoke Still Has to Be Yours.

現代のITシステムにおいて、AI（人工知能）がますます重要な役割を担うようになり、人間の指示に基づいて自律的に動作する「AIエージェント」の活用が急速に進んでいる。これらのエージェントは、データの収集、分析、あるいは他のシステムとの連携といった様々なタスクを自動で実行する。しかし、この便利なエージェントが増えるにつれて、新たなセキュリティ上の課題が浮上している。それは、エージェントがシステムにアクセスする際に使用する「秘密情報」、例えばパスワードやAPIキーのようなものが、適切な管理なしに放置されると大きなリスクとなり得るという問題だ。

現在の多くのシステムでは、エージェントが一度取得した秘密情報が「誰かが手動で更新するまで」無期限に有効であり続けることが多い。これは、家に一度作った鍵を紛失しても、誰も鍵穴を変えない限り、その鍵がずっと使えるのと同じで、非常に危険な状態と言える。万が一、この秘密情報が漏洩した場合、悪意のある第三者がエージェントになりすましてシステムに不正アクセスし、情報漏洩やシステム破壊を引き起こす可能性がある。さらに、Gartnerの予測によると、2028年までに平均的な大企業は15万以上ものエージェントを運用することになるとされているが、その管理体制に自信を持つ企業はわずか13パーセントにとどまる。これほど膨大な数のエージェントが持つ秘密情報を、すべて手作業で管理し、定期的に更新することは事実上不可能であり、何らかの自動化された、より強固なセキュリティメカニズムが不可欠であることが指摘されている。

このような背景のもと、IBMはAIエージェントのセキュリティとガバナンス（統治）を強化するための新たな技術を発表した。その核心的な考え方は、「秘密情報は短期間だけ有効であるべきだ」という原則に基づいている。つまり、エージェントがシステムにアクセスするための秘密情報を、使用するたびに新しく発行し、それが自動的に期限切れになるように管理することで、リスクを大幅に低減しようとするものだ。

今回、IBMが一般提供を開始した技術の一つに「Agent Identity（エージェント識別）」がある。これは、個々のAIエージェントに明確な「名前（ID）」を与える仕組みである。この名前は、エージェントがシステムにアクセスするための「資格情報（credential）」と結びつけられる。重要なのは、この資格情報が、設定によって短期間で自動的に期限切れになるように設計されている点だ。この仕組みによって、「どのエージェントが」「誰によって所有され」「今もシステムへのアクセスが許可されているか」「どの範囲までアクセスできるか」といった情報を厳密に管理することが可能になる。もしエージェントが、許可されていない操作を行おうとしたり、期限切れの資格情報を使おうとしたりした場合は、連携するシステム（例えばHashiCorp Vaultのような秘密情報管理システム）がそのアクセスを即座に拒否し、セッションを強制的に終了させる。これにより、不正アクセスを未然に防ぎ、被害の拡大を食い止めることができる。

同時に一般提供が開始された「Vault 2.2」も、この秘密情報管理をさらに強化する。エージェントが実際に保持する秘密情報が、従来のように設定ファイルに記載されたまま忘れ去られるのではなく、システムが自動的に定期的に新しいものに更新してくれる機能である。これにより、古い秘密情報がいつまでも有効なまま放置されるリスクがなくなり、常に最新かつ有効期限の短い秘密情報だけが使われるようになるため、セキュリティレベルが向上する。

IBMは、これらの一般提供機能に加え、将来のAIエージェント管理を見据えた「技術プレビュー」段階の機能も発表している。一つは「Discover」と名付けられた機能で、これはIBMのAIプラットフォームであるwatsonx Orchestrateが、Amazon Bedrock、Microsoft Foundry、Google Geminiといった異なるクラウドプラットフォーム上で動作しているエージェントやAIモデル、さらには登録されていないサーバーまでも「発見」するためのものだ。これにより、企業内に存在するあらゆるエージェントを可視化し、管理対象に含めることを目指している。もう一つは「Contain」という機能で、これはエージェントを安全な「サンドボックス」（隔離されたお試し環境）で実行し、万が一問題が発生した場合に即座に強制停止できる「キルスイッチ」と組み合わせたものだ。これにより、エージェントが予期せぬ動作をした際に、本番システムへの影響を最小限に抑えることが可能になる。また、エージェントに「システム内に何が既に存在するか」を伝えるための「コンテキストレイヤー」もプレビュー中だ。しかし、これらの機能はまだ開発段階であり、すぐに企業が導入できるわけではない点に注意が必要である。発表された安全な環境と、現在運用されている本番環境は異なり、既存のセキュリティ問題を直ちに解決するものではないことを理解しておくべきだ。

他社の動向を見ると、SalesforceもIBMと同じ日に、エージェントの停止機能「キルスイッチ」を発表している。しかし、テスト失敗時にエージェントが自動的に停止する機能は、2027年1月まで提供されない予定だ。この事例もまた、新しい制御機能が発表されても、それが完全に自動化され、実用レベルで機能するまでは時間を要することを示している。この二つのベンダーの発表は、セキュリティにおける重要な教訓を共有している。それは、「制御機能は、秘密情報がそれを停止させる担当者のアクションよりも長く有効である限り、見せかけに過ぎない」ということだ。つまり、手動での介入を待たずに、自動的に機能するようなセキュリティ制御こそが、真の保護を提供する。

システムエンジニアを目指す者として、AIエージェントを扱うシステムを設計する際には、特にセキュリティの観点から次の三点を考慮することが重要になる。第一に「そのエージェントの所有者は誰か」、第二に「そのエージェントがシステムにアクセスするための秘密情報は何か」、そして第三に「その秘密情報が、誰かが更新しなくても自動的にいつ期限切れになるか」だ。もし、三つ目の答えが「私たちが更新するまで」であるならば、それはまだ古いセキュリティ管理手法に依存していることになる。また、もし発表されたキルスイッチのような強制停止機能が、実際に自社のシステム環境で利用できないのであれば、その機能をアーキテクチャ図に含めるべきではない。万が一、エージェントが暴走したり不正な動作をしたりした場合に、エージェント自身に「止まってください」と要求するしか方法がないのでは、それは真の停止機能とは言えない。要求は拒否される可能性もあるため、強制的に停止できる仕組みを確保することが極めて重要である。

AIエージェントの利用が広がる中で、そのガバナンスとセキュリティは今後、ますます複雑化し、重要な課題となる。IBMの新しい発表は、AIエージェントのアイデンティティ管理と短命な秘密情報の活用によって、この課題に正面から取り組むものだ。自動的に期限切れになる秘密情報と、厳格なアクセス制御、そして異常時に即座に停止できる機能は、これからのAI主導のシステムにおいて不可欠な要素となるだろう。新しい技術の導入を検討する際には、それが実際にどの程度、そしてどのような形でシステムを制御できるのかを注意深く評価する必要がある。