AIエージェントのセキュリティ：ITはビジネスアプリへの非人間のアクセスをどのように制御すべきか？

AIエージェントのセキュリティは、自律ソフトウェアがビジネスアプリケーションにアクセスし、機密データを取得し、継続的な人間の関与なしにアクションを実行できるときに重要になります。ITチームにとっての課題は、効率と保護を組み合わせるために、どのようなアイデンティティ、アクセス、範囲を与えるかを確立することです。

組織が日常のワークフローにAIエージェントを導入するにつれて、システム管理者やセキュリティマネージャーは、人間のユーザーや従来のサービスアカウントを超えてアクセスポリシーを拡張する必要があります。このガイドでは、非人間のアイデンティティを管理し、最小特権を適用し、現代のアプリケーションとレガシーアプリケーションの両方を保護する方法を説明します。私は、AIを採用しながら露出を最小限に抑えるために取り組むシステム管理者、ITチーム、MSP向けの実用的な対策を提供します。

AIエージェントアクセスはなぜ新しいセキュリティ問題を引き起こすのか？

従来のアクセス管理は一般的に人間のユーザーとアプリケーションやサービスを区別します。AIエージェントは情報を解釈し、ツールを選択し、変化する状況に基づいて操作を開始できるため、このモデルを複雑にします。

自動化、しかし私たちが知っているものとは異なる：

従来の自動化とは異なり、通常は事前に定義されたアクションがあるのに対し、AIエージェントはより広い目的に向かって作業する際にどのステップを取るかを決定することがあります。これによって導入される変数は広範囲に及び、誤り、参照の欠如、または悪意のある指示によって、AIが許可を超えて行動し、望ましくない結果を引き起こす可能性があります。ITチームにとって、最初のアクションはAIエージェントの目的と強制可能な制限を定義し、運用アクセスを許可する前にそれを実施することです。

ビジネスデータを読み取ることから、それに基づいて行動することまで:

AIエージェントが請求書記録を取得し、支払い情報を比較し、例外レポートを作成するために展開されることを考えてみてください。会計アプリケーション内で不正確な操作を防ぐために、どのような制限や保護策を講じることができますか？

認証は認可に等しくない:

認証はどのアイデンティティがリソースにアクセスしようとしているかを確立しますが、承認はそのアイデンティティが実行できる操作を決定します。AIエージェントにとって、これらの決定は別々に保たれる必要があります。

成功裏に認証されたエージェントは、依然としてそのタスクに関連する権限、必要なリソースを受け取り、行動の潜在的な結果によって制限されるべきです。

その 2026年のソフトウェアとAIエージェントのアイデンティティに関する作業 NISTは、AIエージェントに対するアイデンティティ、権限、監査、および説明責任に対処する必要性を強調しています。

セキュリティの目的は、エージェントがどのアプリケーションを開くことができるかを決定するだけではありません。ITは、アクセスが許可された後にエージェントが何をできるかを制御する必要があります。

AIエージェントはどのアイデンティティを使用すべきですか？

AIエージェントは、管理者が権限を割り当て、活動を監視し、必要に応じてアクセスを取り消すことができるように、識別可能で管理可能なアイデンティティを必要とします。

専用のアイデンティティとワークロードの資格情報

サポートされている場合は、特定の所有者と特定の機能に結びついたワークロードまたはエージェントのアイデンティティを作成し、責任を追跡し、必要なタスクに対する特権を制限します。

さらに、自動化された活動と人間の活動を区別し、専用のセキュリティポリシーを適用し、従業員のアクセスに影響を与えることなくエージェントを無効にするのに役立ちます。たとえば、Microsoft Entra Agent IDのように。AIエージェントは狭く範囲を限定し、十分に文書化され、独立して監査可能であることを目指します。

委任アクセスと自律アクセス

AIエージェントは異なる認可モデルの下で動作できます。

委任されたアクセス 人間のユーザーを代表して行動するエージェントを許可し、それに明示的に委任された厳格な権限内で、潜在的には設定された時間のみで行動します。

自律的アクセス エージェントが自分のアイデンティティと割り当てられた権限を通じて操作できるようにし、アクティブな人間のセッションを必要としません。重要なことに、アクセスポリシーとライフサイクル管理は、自律型AIエージェントと所有権のために設定される必要があります。

MFAに関する注意事項

共有アカウントは、アクションがどこから発生したのかを特定するのを難しくします：従業員、AIエージェント、または他の自動化プロセスからです。AIエージェントは、特にルーチンの自動化のために、従業員の資格情報に依存すべきではありません。

多要素認証（MFA）は人間のアクセスにとって価値がありますが、自律的なニーズにはサポートされたワークロードアイデンティティメカニズムが必要です。アプリケーションとアイデンティティインフラストラクチャに応じた例をいくつか挙げます：

• 管理されたアイデンティティ
• フェデレーテッド資格情報、
• 証明書
• または短命のトークン。

ITはAIエージェントがアクセスできるものをどのように制限すべきか？

ここでは、最小特権が不可欠であり、承認された目的に必要なリソースと操作にのみアクセスを与えることが求められます。

アプリケーション、ツール、データ全体での最小特権

• ツールの権限: エージェントはどのAPI、スクリプト、統合および実行ツールを呼び出すことができますか？
• アプリケーションの権限 : どのビジネスアプリケーションと機能にアクセスできますか？
• データ権限: どのレコード、フォルダー、ファイル、またはデータベースを読み取ることができますか？変更できますか？
• システム権限： コマンドを実行したり、オペレーティングシステムにアクセスしたり、管理操作を行ったりできますか？

AIエージェントアクセスはこれらのレベルで考慮されるべきであり、単なるリクエストに対して権限を拡張するべきではありません。これらの層は互いに強化し合うべきです。

アプリケーションの権限は、AIモデルの設定とは独立して強制可能でなければなりません。エージェントに支払い詳細を変更しないように指示するプロンプトは、変更を防ぐ技術的制御と同等ではありません。

既存のアクセスインフラを強化する組織向けの私たちの 中小企業のリモートアクセスのためのゼロトラスト原則 アイデンティティ検証、最小特権、および露出の制限。

時間制限付きアクセスと機密操作

エージェントが必要とするものだけでなく、アクセスが必要な時期や理由も反映するように権限を設定する必要があります。時間制限のある認可は、承認されたタスク間の露出を減らすことができ、追加の制御も同様です。AIのみに依存するのではなく、アイデンティティプロバイダー、ツールゲートウェイ、アプリケーション、または他の信頼できるポリシーメカニズムを通じて特定のアクションを強制することができます。

AIエージェントセキュリティはビジネスアプリケーション間でどのように異なりますか？

すべてのアプリケーションがAIアクセスを制御するための同じメカニズムを提供しているわけではありません。ITチームは、自分たちの環境と要件に合わせてアクセス制御を適応させる必要があります。

SaaSアプリケーションとAPI

現代のSaaSアプリケーションは、スコープ付きアクセストークン、アプリケーションロール、および委任された権限をサポートするAPIを提供することがよくあります。

エージェントの認証をより正確にすることができる一方で、APIの権限は依然として過度に広範である可能性があるため、管理者はスコープを確認し、アクセスを制限し、定期的に権限を削除する必要があります。

ブラウザベースのビジネスアプリケーション

ブラウザベースのアプリケーションは、グラフィカルインターフェースのインタラクションに異なる課題をもたらします。

組織は専用アカウントを使用し、利用可能なアプリケーションを厳しく制限し、ビジネスソフトウェア内での認証を強制する必要があります。私たちの記事では プライベートアプリケーションへの安全なブラウザアクセス アプリケーションの割り当て、認証、およびサーバー側の制御がどのように不要な露出を減らすことができるかを説明します。

レガシーWindowsアプリケーションとリモートデスクトップ

レガシーWindowsアプリケーションは、アクセス制御が一般的に自律プロセスではなく人間のユーザーを中心に設計されているため、特別な課題を提示します。

アクセス

それにもかかわらず、アクセスと実行技術は、ビジネスの役割、権限、Windowsアカウント、ディレクトリグループ、またはより広範なアプリケーションレベルのアクセスに関係なく、別々のままです。グラフィカルアクセスの種類は管理者の決定であり、私たちの記事については AIエージェントとレガシーWindowsアプリケーション 異なる実行環境の技術的およびアーキテクチャ的な影響を探ります。

セキュリティ

セキュリティの問題に関して、アクセスと権限を混同することはできません。特定のWindowsアプリケーションを公開することは、全体の露出を減らすことを意味しますが、これはより広範なアクセス制御戦略の始まりに過ぎません。あなたの管理作業は大変です。

アクセスメカニズム	主要なセキュリティ制御	主な懸念
SaaS API	OAuthスコープ、トークン、APIロール	過剰な権限、トークンの誤用
ブラウザアプリケーション	セッション、アプリケーションロール	有効なセッション内の不正な操作
公開されたWindowsアプリケーション	Windows ID、アプリの割り当て、権限	意図されたタスクを超えたアクセス
フルリモートデスクトップ	OS権限、セッション制限、ハードニング	システムの広範な露出と横移動

追加のコントロールが必要なサイバーセキュリティリスクはどれですか？

AIエージェントは、サポートチケット、ウェブページ、文書、またはツールの応答において悪意のある指示に遭遇する可能性があります。これ プロンプトインジェクション エージェントを正当なタスクから逸らすことができる、攻撃者が直接サインインできない場合でも。 エージェントアプリケーション向けOWASPトップ10 2026 関連する脅威を概説します。

他のリスクには、プロンプトやログに露出した資格情報、無許可のツール使用、特権の昇格、意図しない宛先に送信された機密データが含まれます。マルチエージェントワークフローは別の懸念を追加します：委任されたタスクは、あるエージェントから別のエージェントへの無制限のアクセスを自動的に持ってはいけません。

データの流出やそれに類する事態を避けるために、外部コンテンツを信頼できないものとして扱い、サポートされている資格情報サービスを通じて秘密を保護し、外部接続を制限し、AIモデルとは独立して権限を強制する必要があります。敏感な操作には、単にエージェントに安全に行動するよう指示する解釈可能な指示だけでなく、アプリケーションまたはツールレベルでの制御が必要です。

ITはAIエージェントのアクセスをどのように監視、取り消し、監査できますか？

アクセスガバナンスは、管理者がエージェントが何をしたかを判断できない場合や、その行動が予期しないものになったときにそれを止めることができない場合、不完全です。

アイデンティティ、決定、行動の追跡

有用な監査記録：エージェントの身元 + 責任者 + 要求された操作 + 承認 + ツールの呼び出し + 結果のアクション + 結果。

使用されるツールによって、記録は異なります。単一の情報源では全体のストーリーを伝えることはできないため、認証イベント、アクセストークンの発行、API呼び出し、アプリケーションのアクティビティ、承認、ファイルの変更、セッションのアクティビティの組み合わせが証拠として必要です。例えば、アイデンティティログとセッション録画を組み合わせ、可能な場合は記録を相関させます。

さらに、可能な限り機密情報を保護してください。たとえば、MSPである場合は、顧客ごとに監査記録を分けてデータを保護します。

アクセスの取り消しとインシデントへの対応

AIエージェントの展開ごとに、運用前にシャットダウン手順を事前に定義してください。

環境によっては、AIエージェントのアイデンティティを無効にし、資格情報を取り消し、シークレットをローテーションし、アクティブなセッションを終了し、スケジュールされたジョブを停止する必要があります。完了したら、以前に発行されたトークンや確立されたセッションを評価します：1つの資格情報を取り消すだけでは、すでにアクティブなプロセスを停止するには不十分な場合があります。

実用的な「不適切な行動」対応手順に以下を含めることができます：

• アクセスを含む、
• ログを保持する、
• 変更を調査する、
• 資格情報を置き換える
• 不正なインシデントが終了したことを確認してください。

ITチームのための実用的なAIエージェントセキュリティチェックリストとは何ですか？

AIエージェントのセキュリティに段階的にアプローチしてみませんか？まずは狭い、できれば読み取り専用のワークフローから始め、その後、コントロールを検証した後にのみ拡張します。エージェントに本番環境へのアクセスを与える前に：

1. 所有権を特定します。 目的、運営者/所有者、実行環境、ツールおよびデータフローを文書化します。
2. 独自のアイデンティティを割り当てます。 共有の人間の資格情報を避けてください。別々の責任を確立してください。
3. 許可されたリソースをマップし、制限します。 アプリケーション、記録、データ、システム、必要なAPI権限、期間を指定してください。
4. 敏感なアクションを制限します。 承認要件を定義し、高影響の変更や不必要な特権を禁止します。
5. 資格情報を保護します。 サポートされているワークロード認証と管理されたシークレットを使用してください。
6. 実行環境を検証してください。 レビューセッションの隔離、ネットワークアクセス、および関連するWindowsセキュリティ設定。
7. 証拠と回復を有効にする: 認証、ツールの実行、アプリケーションの活動および重要な変更の記録を保持します。
8. テスト失敗シナリオ: アクセスが取り消され、セッションが終了され、予期しない活動が調査される可能性があることを確認してください。

例えば、MSPはエージェントを使用して選択したERP請求書の記録を読み取り、報告書を作成することができますが、財務データを編集する権限を与えることはありません。信頼性が証明され、実行可能な権限のみが、より広範な権限を正当化すべきです。

TSplusはWindowsアプリケーションアクセスのセキュリティをどのように支援できますか？

Windowsベースのビジネスソフトウェアを運営する組織にとって、基盤となるリモートアクセスインフラストラクチャもそのようなセキュリティプロセスの一部です。TSplusのアプリケーション配信とサーバー保護機能は、システム管理者が中央ホストされたWindowsアプリケーションへのアクセスを制御するのに役立ちます。

TSplus Remote Access: アプリケーション配信と割り当て

TSplus リモートアクセス Windowsアプリケーションを公開および割り当て、リモート接続を通じて利用可能にします。ウェブベースのアクセスを含む。全体のデスクトップではなく割り当てられたアプリケーションを提供することで、特に既存のビジネスソフトウェアやレガシーソフトウェアを含むAIワークフロー内での不必要なインターフェースの露出を減らすことに寄与できます。

TSplus Advanced Security: Windowsサーバーとセッションを保護する

TSplus Advanced Security Windowsサーバーとセッション保護を追加し、ブルートフォース保護、地理的制限、勤務時間管理、権限管理、ランサムウェア保護、アラートおよびセキュリティイベントログを通じて提供します。

これらのコントロールは、アプリケーションホスト周辺の露出を減少させることができ、AIエージェントに必要な専用のアイデンティティ、認証、およびランタイムの保護を補完します。

関連するTSplusの機能は、実用的な原則をサポートします：ビジネスアプリケーションへの制御されたアクセスを維持し、それらの背後にあるWindows環境を保護しつつ、管理者に新しいワークロードが必要とする場合にAI特有のセキュリティコントロールとオーケストレーションを導入する余地を残します。

結論

AIエージェントのセキュリティは、単純な区別から始まります：アプリケーションにアクセスする権限があることは、その中であらゆるアクションを実行する権限があることを意味しません。

システム管理者やMSPにとって、AIを管理可能にすることは、明確に特定されたAIエージェント、狭く定義されたタスク、強制可能な権限、保護された実行環境、および信頼できる監査証跡を組み合わせることを意味します。このようなステップにより、組織は攻撃面を不必要に拡大することなくAI自動化を探求することができます。

よくある質問

AIエージェントセキュリティにおける非人間のアイデンティティとは何ですか？

非人間のアイデンティティは、人物ではなくソフトウェア、自動化されたワークロード、またはAIエージェントを識別します。これにより、管理者はワークロードを認証し、権限を割り当て、その活動を追跡することができます。専用のエージェントアイデンティティは、共有された人間のアカウントと比較して、説明責任を向上させることができます。

AIエージェントのアイデンティティはサービスアカウントとどのように異なりますか？

従来のサービスアカウントは一般的に事前定義されたアプリケーションと自動化されたプロセスをサポートします。AIエージェントのアイデンティティには、エージェントが独立してアクションを選択できるため、追加のライフサイクル、委任、および認証制御が必要になる場合があります。利用可能なアイデンティティメカニズムは、プラットフォームとアプリケーション環境によって異なります。

AIエージェントはレガシーWindowsアプリケーションに安全にアクセスできますか？

はい、適切な実行技術とアクセス制御が利用可能であれば。組織はWindowsアカウント、アプリケーションの権限、およびリモートセッションを制限する必要があります。個々のアプリケーションを公開することで露出を減らすことができますが、オペレーティングシステムのセキュリティやアプリケーションレベルの認可を置き換えるものではありません。

AIエージェントがリモートデバイスのトラブルシューティングを行う際に必要なセキュリティコントロールは何ですか？

リモートトラブルシューティングエージェントには、制限された実行権限、敏感なアクションの承認、ログ記録、および信頼できる停止条件が必要です。ITサポートにおけるAIエージェントに関する当社のガイドでは、自動修復を監視し、結果を確認し、失敗した介入をエスカレーションする方法について説明しています。

IT管理者はどのようにAIエージェントのアクセスを取り消すことができますか？

管理者はエージェントのアイデンティティを無効にし、適用可能なトークンと資格情報を取り消し、アクティブなセッションを終了し、関連するプロセスやスケジュールされたタスクを停止する必要があります。その後、アクセスが終了したことを確認し、不正な活動を調査する必要があります。