AIエージェントを安全に使うための権限と確認

自社の「基盤とセキュリティ」の準備度は？10問・約3分で確かめる（無料・登録不要）

AIエージェントは、指示を受けてメールの下書き、表の更新、社内システムの検索などを自分で進める仕組みです。便利な一方で、AIが誤った判断をしたときに、実際の操作まで進んでしまうおそれがあります。この記事では、海外の専門団体と国内の公的機関の資料をもとに、権限と確認の決め方を整理します。

AIエージェントでは、何が起きやすいのですか？

アプリケーションのセキュリティの専門団体OWASPは、大規模言語モデル（LLM）を使う仕組みの主なリスクの一つに「過剰な権限（Excessive Agency）」を挙げています。AIが予想外の出力や、あいまいな出力、細工された出力を返したときに、それをもとに害のある操作をしてしまう問題です。

原因は、AIの事実と異なる出力（ハルシネーション）でも、細工した文章で指示を上書きする攻撃（プロンプトインジェクション）でもかまいません。影響の大きさは、AIがどのシステムに手を伸ばせるかで決まります。

OWASPは、この問題の原因を次の3つに分けています。

IPAの「情報セキュリティ10大脅威 2026」でも、組織向けの3位に「AIの利用をめぐるサイバーリスク」が入っています。AIエージェントは、こうしたリスクが実際の操作につながりやすい使い方といえます。

権限は、どのように絞ればよいですか？

OWASPと総務省の資料が挙げる対策をもとに、権限を絞る手順をまとめます。

① つなぐ道具を必要なものだけにします。 業務に使わない機能や連携先は外します。何でもできる汎用の道具（コマンドを自由に実行できる機能など）より、目的を絞った道具を選びます。

② 連携先での権限を最小限にします。 データベースを参照するだけなら、読み取り専用の権限で接続します。総務省のガイドラインの別添も、AIと連携して操作を実行する仕組み（オーケストレーター）を管理者の権限ではなく最小の権限で動かすことや、データベースの権限を必要な操作に限ることを挙げています。

③ 利用者本人の権限の範囲で動かします。 AIエージェントが誰の代わりに動いているかをはっきりさせ、その人に許された範囲を超えないようにします。共用の強い権限のアカウントは避けます。

④ 権限の判断を、連携先のシステムで行います。 OWASPは、操作を許すかどうかの判断をAIに任せず、連携先のシステムの側で行うこと（完全な仲介）を挙げています。「この操作はしないで」とAIに指示するだけでは、止める仕組みになりません。

IPAの「AIセキュリティ短信 2026年9月号」も、統制はプロンプトではなく道具を呼び出す層で強制すべきとする指針や、道具の呼び出しを原則として拒否し、必要なものだけを許す設計を紹介しています。同じ号では、MCP（AIと外部のシステムをつなぐ共通の仕組み）による接続を無制限に許可している企業が約14%あるとする海外の調査も紹介されています。接続先は必要なものだけに絞っておくと安心です。

人の承認は、どこに入れればよいですか？

OWASPは、影響の大きい操作の前に人の承認を求めること（ヒューマン・イン・ザ・ループ）を対策に挙げています。総務省のガイドラインの別添も、実行のたびに利用者の承認を求める方法に触れています。

すべてに承認を入れると、使う意味が薄れます。次のように、操作の影響で分けて決めるのが目安です。

承認する人が内容を確かめられるように、AIが何をしようとしているのか（宛先、金額、対象のデータ）を承認の画面に示す設定にしておくと安心です。

AIに読ませる情報には、何を気をつければよいですか？

AIエージェントは、メールやWebページ、共有フォルダの文書を読みながら作業を進めます。その中に細工した指示が隠されていると、AIが意図しない操作をすることがあります（間接プロンプトインジェクション）。

IPAの「AIセキュリティ短信」は、読み込んだ内容に由来する値を使う道具の呼び出しを制限することや、一つの入力ではなく一連の流れで不審な動きを見つけることを挙げる報告を紹介しています。社外から届く情報を読ませる使い方では、読ませた後にできる操作を少なくしておくと、被害を抑えやすくなります。

記録と見直しは、どのように続ければよいですか？

OWASPは、記録（ログ）、監視、回数の上限は過剰な権限の問題そのものを防ぐものではないものの、被害を抑えられるとしています。次の点を運用に組み込みます。

① 記録を残します。 AIエージェントが、いつ、誰の依頼で、どの道具を使い、何をしたかを残します。

② つないでいる先の一覧をつくります。 コネクタ（接続先）や、AIに渡したAPIキー（システムにつなぐための鍵）を一覧にし、使っていないものは外します。IPAの「AIセキュリティ短信」も、接続の棚卸しや、事故の際に資格情報を無効にすることを挙げる報告を紹介しています。

③ 止め方を決めておきます。 おかしな動きを見つけたときに、誰がどの手順でAIエージェントを止め、鍵を無効にするかを決めておきます。

④ 定期的に見直します。 記録を見て、使われていない権限は外し、承認が形だけになっていないかを確かめます。

チェックリスト

• AIエージェントにつないでいる道具と接続先を一覧にしている
• 業務に使わない機能・接続先は外している
• 連携先の権限を必要最小限にし、読むだけなら読み取り専用にしている
• 誰の代わりに動くのかをはっきりさせ、共用の強い権限のアカウントを使わせていない
• 操作を許すかどうかの判断を、AIへの指示ではなく連携先のシステムで行っている
• 送金・削除・社外への送信など取り消しにくい操作の前に、人の承認を入れている
• 社外から届く情報を読ませる場合、その後にできる操作を絞っている
• いつ・誰の依頼で・何をしたかの記録を残している
• おかしな動きがあったときの止め方と、鍵の無効化の手順を決めている
• 記録をもとに、権限と承認の範囲を定期的に見直している