CONTENTS — 目次
AIエージェントは、メールを読んで返信の下書きを作る、チケットを起票する、社内データベースを検索してレポートにまとめる――といった複数の手順からなる仕事を自律的にこなす仕組みです。業務効率は大きく上がりますが、エージェントが持つ権限は、そのまま攻撃者が悪用できる権限にもなります。
この記事では、AIエージェントを業務に入れる前に確認したい7つの観点を整理します。
前提：エージェントは「新しい種類の利用者」
エージェントは、人間の従業員でも、従来のバッチ処理でもありません。外部から読み込んだ文章によって振る舞いが変わりうる、新しい種類の利用者（主体）です。ゼロトラストの考え方と同じく、エージェントの操作も毎回、検証と最小権限の対象として扱うのが出発点になります。
観点1：任せる仕事と、任せない仕事を決める
最初に決めるべきなのは技術ではなく業務の範囲です。
- エージェントに任せる仕事（例：情報収集、下書き作成、分類）
- 人が確認してから実行する仕事（例：社外へのメール送信、発注、設定変更）
- エージェントにはさせない仕事（例：権限付与、支払い、本番データの削除）
この線引きが、後に続くすべての設計の土台になります。
観点2：ツールと権限を最小にする
| 確認項目 | 望ましい状態 |
|---|---|
| 使えるツール | 業務に必要なものだけ。汎用シェルや任意のHTTPリクエストは原則渡さない |
| 権限の範囲 | 読み取りで足りるなら読み取りのみ。対象のフォルダや案件に限る |
| 認証情報 | エージェント専用のアカウント・短命なトークンを使う。人の管理者権限を流用しない |
| 有効期限 | タスク単位で権限を発行し、終わったら失効させる |
観点3：信頼できない入力の通り道を把握する
Webページ、受信メール、アップロードされたファイル、外部APIの応答――。こうした外部から来る文章には、エージェントへの「指示」が紛れ込んでいる可能性があります（間接プロンプトインジェクション）。
データの流れを図にして、信頼できない入力が、強い権限を持つ操作に届く経路がないかを確認しましょう。そうした経路があるなら、その間に人の承認や権限の切り替えを挟みます。
観点4：影響の大きい操作は人が承認する
「外部へ送る」「お金が動く」「元に戻せない」の3つのどれかに当たる操作は、実行内容を人が確認してから動くようにします。承認画面では、エージェントの要約ではなく**実際に実行される内容（宛先、金額、対象）**を見せるのがポイントです。
観点5：情報の持ち出し経路をふさぐ
乗っ取られたエージェントは、読み取った機密情報を外へ送ろうとすることがあります。
- 外部への通信先を許可リストで絞る
- 出力に含まれるURLや画像リンクの自動展開を無効にする
- 機密ラベルの付いたデータを扱うタスクでは、外部送信のツールを使えなくする
観点6：記録を残し、異常に気づけるようにする
エージェントが「何を読み、何を考え、どのツールをどんな引数で呼んだか」を記録します。インシデントが起きたときの調査だけでなく、普段と違う動き（深夜の大量アクセス、初めて使うツール、想定外の宛先など）を検知するのにも役立ちます。
観点7：止める手段と、元に戻す手段を用意する
- エージェントをすぐに止められる仕組み（キルスイッチ）
- 実行回数・利用額・処理時間の上限
- 誤った操作を取り消せる仕組み（下書き止まりにする、変更履歴を残すなど）
導入前チェックリスト
- 任せる／承認制にする／任せない、の3つで業務を分けた
- ツールと権限を業務に必要な最小限に絞った
- エージェント専用の認証情報を使い、有効期限を設けた
- 信頼できない入力から強い権限の操作に届く経路を洗い出した
- 影響の大きい操作に人の承認を入れた
- 外部への通信先を制限した
- 操作ログを保存し、監視の仕組みを決めた
- 停止手段と上限値を設定した
まとめ
AIエージェントのセキュリティは、「モデルが正しく振る舞うこと」に期待するのではなく、誤った振る舞いをしても被害が広がらない設計によって確保するものです。最小権限、人による承認、記録と停止手段という、セキュリティの基本原則をエージェントにもきちんと当てはめることが、安全に使いこなすための近道になります。