現在、企業内で新しいタイプのアクターが稼働するようになりました。そのアクターはパイプラインデータを読み取り、プルリクエストを作成し、チケットを発行し、顧客レコードを照会し、メールを送信します。24時間マシンスピードで動作し、人間が各ステップを確認するようなこともありません。
そして、今日の組織ではほぼ、こうしたアクターがいくつ存在し、何にアクセスでき、どれがどの操作を行ったのかを正確に把握できている人はいません。
AIエージェントは、単なる回答生成からアクション実行へとできることが広がり、進化を遂げてきました。その転換はクラウドへの移行以来、エンタープライズアクセスモデルにおける最大の変革です。
しかし、アクセスモデルはこの変化に追いついていません。
エージェントは人間から権限を継承し、静的APIキー、パーソナルアクセストークン、および共有サービスアカウントを使用して認証を行います。また、動作中であるかどうかにかかわらず持続する常設権限を保有しています。これらはどれも自律的なアクター向けに構築されたものではありません。Rubrik Zero Labsの最新のデータによると、恐ろしいことに、IT・セキュリティ部門のリーダーのうち86％が、今後1年以内にAIエージェントが自社のセキュリティ体制を凌駕すると予想しています。さらに恐ろしいのは、環境内で動作しているエージェントについて、完全に可視化できていると回答したのがわずか23%という点です。
Rubrikは、今週開催のBlack Hat USAにて、Rubrik Agent Cloud向けのアクセスプレーンRubrik Agent Identityを発表します。これにより、エージェントを介して「誰が」「何を」できるかが管理できます。具体的には、どのユーザーやグループがどのエージェントを使用できるか、それらのエージェントがどのMCPサーバーやツールにアクセスできるか、そしてアクション実行の瞬間に個々のツール呼び出しがどのようなスコープのアクセス権限を受けるかを制御します。
自律型AIは企業を変革していますが、その真の可能性を引き出すには、新たなセキュリティ基準が必要です。AIガバナンスの設計図をダウンロードして、AI時代に向けたセキュリティ態勢の更新方法を学びましょう。
The Breach is Not One Permission, It's the Composition（漏洩は単一の権限ではなく、権限の組み合わせによって発生する）
セキュリティのリーダーを夜も眠れないほど悩ませるシナリオを紹介します（認証情報の漏洩とは無関係です）。
あるビジネスユーザーがエージェントに対し、進行中の商談について要約を行い、顧客の経営幹部にフォローアップメールを送信するよう依頼しました。そのユーザーには、Salesforceへのアクセス権があります。メールへのアクセス権もあります。各権限は個別に有効です。しかし、エージェントはそれらを組み合わせます。パイプラインデータを読み取り、収益に関する文脈を踏まえて推論した結果を社外に送信するのです。これは誰も意図しておらず、どのポリシーでも想定されていなかったアクションです。
人間ユーザー向けのアイデンティティシステムは、この問題を阻止するどころか、認識することすらできません。人間ユーザー向けのIAMは、「このユーザーはこのアプリケーションにアクセスできるか？」という問いのみに答えるものです。エージェント型AIの登場により、新たな問いが投げかけられています。つまり、「このユーザーはこのエージェントを通じて、特定のツール呼び出しに対してスコープが限定されたアクセス権を得られるか？」です。
委任チェーン（ユーザー、エージェント、ツール、アクションの順）が、新たなコントロールポイントとなっています。既存のアクセスモデルは、これに対応することを想定して構築されていません。そのため、ほとんどの組織は「何もしない」という状態に陥っています。エージェントが共有サービスアカウントや埋め込みAPIキーで実行され、広範かつ永続的なアクセス権を持ちながらも、実行主体の追跡ができないという状態です。
シャドーAIがさらに問題を深刻化させています。開発者やビジネスユーザーがエージェント、MCPサーバー、プラグイン、スキルをインストールするスピードが、セキュリティチームの把握スピードを上回っているためです。
Agent Identityにできること
Agent Identityは、エージェントのアクセス権限を広範な常設権限から、特定のユーザーや特定のエージェント、特定の操作に紐づく、スコープが限定された一時的なアクセス権限へと移行させます。アイデンティティ運用におけるこの進化を実現するには、ポリシーも進化させる必要があります。
すべてのエージェントとMCPサーバーの監視：把握できていないものは管理できません。Agent Identityは、環境内のすべてのアクティブなエージェント、MCPサーバー、スキル、プラグインを把握し、カタログ化します。これにより、監視されていないシャドーAIを排除し、基盤となるエージェントアイデンティティのインベントリをセキュリティチームに提供します。
ツール呼び出しごとのアクセス制御：アクセス権限は事前に付与されるのではなく、アクションの瞬間に決定されます。Agent Identityは既存のアイデンティティプロバイダー（OktaやMicrosoft Entra ID）と連携できるため、エージェントは特定のユーザーに代わって、共有サービスアカウントや埋め込みキーを一切使用せず、スコープが限定された委任アクセス権を通じて行動します。すべてのMCPツール呼び出しに対し、その呼び出し専用に発行された、スコープが限定された一時的なトークンが付与されます。つまり、監視のために常設権限が残ることはなく、ランタイムに最小権限が確立されるということです。
アイデンティティ管理、監査ログ、巻き戻し機能によるリスクの高い操作の修復： すべてのツール呼び出しは特定のアイデンティティに紐付けられ、完全なセッション監査証跡とSIEM統合が提供されます。したがって、操作を取り消す必要がある場合、 Agent Rewindが正確に取り消します。レジリエンスは重要です。エージェント型の脅威が拡大する中、IT・セキュリティ部門のリーダーの88%が、目標復旧時間を達成できるか懸念しています。
実行前に確認される3つのチェックポイント
すべてのMCPツール呼び出しが、実行前に内部で3つのチェックポイントで確認されます。
1. 行動：Rubrik Agent CloudのSemantic AI Governance Engine（SAGE）は、呼び出しの意図、パラメータ、値を分析し、アクションが既定のポリシーに違反していないかを判断します。
2. アクセス：MCPゲートウェイは、意図やリスクレベルといったSAGEのコンテキストで強化されたインフラストラクチャレイヤーにおいてアクセスポリシーを適用し、リクエストを許可すべきかを判断します。
3. アイデンティティ：エージェントセッションは認証が必要とされ、特定のツール呼び出しに対して、当該アクションが必要とする最小限のアクセス権を確立するため、スコープが限定された一時的なトークンが発行されます。
実際の運用では以下のようになります。企業がAIクライアントを社内のMCPサーバーに接続します。Agent Identityがない場合、エージェントはサーバーが公開するすべてのツールを認識し、呼び出すことができます。Agent Identityがある場合は、アクセスポリシーによって、ユーザーやグループが当該エージェントを通じてどのツールにアクセスできるかが指定されます。
読み取りは最小権限で行われます。書き込みおよび変更を行うには、ポリシーに範囲が明示されている必要があります。 明示されていない場合、実行後にフラグが立てられるのではなく、実行前にブロックされます。
アイデンティティスタックを置き換えるのではなく、拡張する設計
Agent Identityは、お使いのアイデンティティインフラを拡張します。OktaやMicrosoft Entra IDと連携し、アクセスに関するあらゆる決定にユーザーやグループのコンテキストを取り込み、MCPおよびAPIベースのリソースに対する統合チェックポイントを備えたRubrik Agent Cloudデータプレーンに展開されます。
ほとんどのアイデンティティシステムが人間ユーザー向けに構築されています。ほとんどのゲートウェイがトラフィックをルーティングします。ほとんどのAIガバナンスツールがプロンプトやログを検査します。Agent Identityは、最も重要な瞬間、すなわちエージェントがツールにアクセスして行動しようとする瞬間に焦点を当てます。その瞬間には、アイデンティティ、ポリシー、ランタイムコンテキスト、スコープが限定された承認、帰属情報のすべてを扱う必要があります。
Rubrik Agent Identityは、Rubrik Agent Cloudガバナンスモデルを完成させるものでもあり、 エージェントのライフサイクル全体にわたって、統一された管理、制御、証明のアプローチを提供します。
SAGEは、エージェントの動作を管理します。
Agent Identityは、誰がエージェントに対して何を行えるかを制御します。
可観測性、監査ログ、エージェントの巻き戻しにより、何が起こったかを証明し、必要に応じて操作を取り消すことができます。
これは Rubrikの核心的な約束である「サイバーレジリエンス」に沿った機能です。ここでは、その約束 をエージェントAIにまで広げます。
エージェント型サイバーレジリエンスとは、常に可視化できるとは限らないワークフォースに対して回復力を実証できるレジリエンスのことです。
始め方：エージェント型アイデンティティを3つのステップで迅速に強化する
エージェントアイデンティティに関するすべての問題を一日で解決する必要はありません。しかし、最もリスクの高いギャップについては、時間の経過とともに強化されるフレームワークを基盤として直ちに埋める必要があります。
1. エージェントアイデンティティのインベントリの作成：すべてのエージェント、MCPサーバー、スキル、プラグインを把握し、シャドーAIを排除します
2. On-Behalf-Ofを通じたアクセスの委任：エージェントは、共有アカウントや埋め込みキーを一切使用せず、スコープが限定された委任アクセス権を用いて、特定のユーザーの代理として動作する必要があります
3. ジャストインタイムトークンによる適用：ツール呼び出しごとにスコープが限定された一時的なトークンを使用することで、実行時に最小権限を実現します（常設権限は付与されません）
Rubrik Agent Identityは、Rubrik Agent Cloud上で利用可能です。Agent Identityがエージェントが行動する瞬間にどのようにセキュリティを確保するか、Black Hat USAの会場で直接ご覧いただくか、デモをリクエストしてご確認ください。