エージェント型AIのID管理

エージェントは、使用時に検証を行わずに、既存の認証情報に基づいて動作します。行動が変化したり、認証情報が危険にさらされたりしても、アクセス権は持続し、どのチームも検知できないほど早くリスクが悪化します。

エージェントはアクセスを要求し、ツールを呼び出し、役割を動的に引き受けることで、明示的に付与または承認されていない権限を蓄積していきます。時間が経つにつれて、これはどのチームも完全に把握できないアクセス経路を生み出すことになります。

エージェントはユーザーに代わって行動するため、監査記録上では人間の行動と区別がつかなくなります。インシデントが発生した場合、人間の行動とエージェントの自律的な行動を区別するための信頼できる記録がなく、コンプライアンスとフォレンジックによって明確な解決策がないままとなります。

ほとんどの組織は、相互接続されていないツール全体で非人間アイデンティティー（NHI）の認証情報、アクセス、およびIDガバナンスを管理しています。それらの間の隙間こそが、情報漏洩のリスクが蓄積される場所です。パイプラインにハードコードされた機密情報、密かに過剰にプロビジョニングされたIAMロール、そして統一されたガードレールなしで動作するAIエージェントなどがその例です。

共有キーを排除し、初日から追跡可能なガバナンスを実現するために、すべてのエージェントを一意で検証可能なIDで登録します。

ガバナンスに基づく委任、スコープを限定したトークン、承認によってエージェントのアクションをユーザーの意図に関連付け、誰が何を承認したのかを明確に示します。

特定の各タスクに合わせて範囲が限定され、必要な時に必要なだけ発行される有効期限の短い認証情報。AI認証はAPIやツールの呼び出しごとに行われ、エージェントのリスクが発生する最終段階のギャップを解消します。

エージェントのすべてのアクションを人間のIDにリンクする署名付き監査証跡により、エンドツーエンドの説明責任を確保し、エージェント型AIのコンプライアンスを即座に取り消し、制御の証明を提供します。