AIのためのゼロトラスト：自律型エージェントに新たなセキュリティパラダイムが必要な理由

F5 ADSP | 2025年7月09日

ゼロトラストは、人によるアクセスを保護するための標準として長年採用されてきました。しかし、今日のエンタープライズ環境では、その適用範囲をAIへと拡張する「AIのためのゼロトラスト」が求められています。AIエージェントが意思決定を行い、システムと連携し、アクションを開始するようになるにつれ、従来のセキュリティ境界も拡張しなければなりません。もはや問うべきは、AIを信頼すべきかどうかではなく、AIシステムに対して当初からゼロトラストをどのように適用するかです。

「Safe by Design」だけでは安全性が不十分な場合

Model Context Protocol (MCP)のようなプロトコルを使えば、AIエージェントがアクセスできる対象や実行できる操作を制限し、「安全に」導入できるという見方が広がっています。しかし、MCPを安全なプロトコルとする考え方は誤りです。得られるメリットは制限されても、リスクは制限されません。

読み取り専用のSQL文を使用して数百万件の顧客レコードを照会するなど、一見安全に思えるエージェントの操作でも、データベースに過大な負荷をかけ、リソースを占有し、脆弱性を生み出す可能性があります。しかも、ルールには一切違反していません。これはバグではなく、十分な監督なしにエージェントへツールを与えることによる副作用です。

エージェント向けゼロトラストは「何もない」から始まる

だからこそ今、ユーザーだけでなくAIエージェントにもゼロトラストを適用すべきです。単なる比喩ではなく、あらゆるアクションをデフォルトで拒否し、必要に応じて人間の支援を受けながら権限を付与するフレームワークとして適用します。

このフレームワークでは、すべてのエージェントを初期状態では信頼できないものと見なします。アクセス権はロールだけでなくユースケースに基づき、時間、コンテキスト、意図に応じて付与されます。テーブルの読み取りが必要なら、そのテーブルだけにアクセスできます。アクションの実行が必要なら、そのアクションの範囲が限定され、ログに記録され、監視されます。

また、現在、API認証情報の漏えいが懸念されているのと同様に、エージェントキーとモデルの権限についても、クラウドワークロードや特権ユーザーと同等の厳格さで管理する必要があります。

この変化が重要な理由

AIがワークフロー全体に深く組み込まれるにつれ、セキュリティは従来の前提に依存できなくなります。エージェントは忘れません。疲れることもありません。そして、悪用されても許しを請うことはありません。

エージェントにおけるゼロトラストとは、次のことを意味します。

デフォルトで拒否：エージェントには最初からアクセス権を付与せず、必要な条件を満たした場合にのみ付与します
人間を介したエスカレーション：機密性の高い権限には明示的な承認が必要です
ユースケースの範囲設定：アクセス権は状況に応じて付与されるものであり、包括的なものではありません
設計段階からのオブザーバビリティ： すべてのリクエスト、レスポンス、出力が記録・分析され、監査可能です

このアプローチにより、AIの処理速度がリスク要因となることを防ぎます。

新時代に向けた新たなセキュリティレイヤー

そこで重要になるのが、AIランタイムセキュリティソリューションです。AIエージェントがシステム、データ、ユーザーとリアルタイムでやり取りする方法を制御する、動的なガードレールを構築します。かつてクラウドに合わせてネットワーク境界を再定義したように、今度は自律システムの行動境界を再定義する必要があります。つまり、Zero Trustも進化する必要があります。AIエージェントはすでに登場し、強力な能力を備えていますが、適切な判断力を持っているわけではないからです。セキュリティチームは、エージェントとのあらゆるやり取りで問題が発生し得ることを前提としたシステムを構築し、問題を防ぐための監視体制を整える必要があります。

注目のブログ記事

すべてのCISOが知っておくべきAPIセキュリティの3つのポイント

F5、CalypsoAIの買収を完了し、F5 AI GuardrailsとF5 AI Red Teamを発表

F5によるCalypsoAI買収の発表がTRiSMフレームワークの実現を後押し

タグ： AI Inference Security Project