1Password（ワンパスワード）は、451 Researchに「エージェント型エンタープライズのための新しいアクセスモデル」と題したVanguardレポートの作成を依頼したと発表した。このレポートは、エージェント型AIが企業全体のIDおよびアクセス制御をどのように変革しているかを明らかにするためのものだ。レポートによると、エージェント型システムは急速に企業環境に浸透し、生産性の向上をもたらす一方で、新たなセキュリティー上の課題も生み出しているという。
調査によると、調査対象企業の69%が既にAIエージェントを導入しており、90%が今後2年以内に導入を計画していることが明らかになった。報告書では、セキュリティーツールとガバナンスの整備が導入に追い付いていないと警告し、エージェント型AIは、エージェントの非決定的な動作が、IDに許可されるべき行動に関する従来の前提を覆すため、これまでの技術革新とは異なると指摘している。
開発者のワークフローと非人間型ID（NHI）は、重大なリスク要因として指摘された。報告書によると、開発者の71%がサービスアカウント、APIキー、その他のNHIの取り扱いに安全でない方法を使っており、その多くはIT部門やセキュリティーチームの監視下に置かれているという。これらの脆弱性は、エージェントがこれらの認証情報を使ってバックエンドシステムを操作する際に、リスクを増大させると説明されている。
この変化に対応するため、報告書はアクセスアーキテクチャーに関する主要な推奨事項を提示した。具体的には、AIエージェントや管理が不十分なNHIの発見と可視化から始めること、静的な認証情報や常時有効な権限からジャストインタイムの認証情報配信に移行すること、開発者のワークフローに合わせたガイド付き修復を実装すること、そして各アクションを特定の人間またはエージェントのIDと認証コンテキストに紐付け、完全な監査可能性と明確な帰属を確保することを推奨している。
この分析では、次世代のアクセス制御は人、機械、エージェントを統一的に管理する必要があると主張し、従来のIAM（アイデンティティーおよびアクセス管理）とPAM（ポリシーおよびアクセス管理）のアプローチは、エージェント中心の世界には構造的に不十分であると指摘した。そして、この移行をアーキテクチャーのリセットと捉え、ガバナンス、ポリシー管理、監査を統合する単一の制御プレーンを構築することを推奨した。
この報告書では、譲れない技術的基本事項として、以下の点を挙げている。構成ファイルやローカルディスクに埋め込まれた平文のシークレット情報を含む、使用されている全てのエージェントと認証情報に対する包括的な可視性。人間ユーザー、サービスアカウント、マシンID、AIエージェントにまたがる認証情報の単一の記録システム。そして、IDの動作を期待されるパラメーターと継続的に比較評価し、エージェントの予測不可能性を抑えるためにアクセス障壁を動的に適用することで、実行時権限に基づくIDセキュリティーを確立すること。
経営幹部向けには、全ての技術チームから部門横断的な賛同を得ること、統合されたワークフローを通じて開発者を支援すること、そしてセキュアなエージェントプロビジョニングが納品プレッシャーへの追加機能ではなくデフォルトとなるようガバナンスを設計することを推奨している。このガイダンスは、組織にとってセキュアな実践をより容易なものにするという1Passwordの重点方針に沿ったものとして提示された。
詳細な調査結果や分析で述べられている経営幹部向けのガイダンスを求める組織向けに、Vanguardレポート全文がダウンロード可能になった。
出典：1Password
この製品の詳細については、1Password製品ページをご覧ください。
