AIエージェントに何を任せるか？｜権限設計のテンプレートと判断基準

従来のAIは、人間が入力した問いかけに対して結果を返すだけの仕組みでした。一方でAIエージェントは、自ら計画を立て、複数のデータソースにアクセスし、環境からのフィードバックに応じて行動を修正しながら、今までのAIよりも長い時間継続して活動することができます。つまり、人間が常に監視していなくても独立して動作する点が、既存のAIとは決定的に異なります（参照*1）。

初期の大規模言語モデル（LLM）は人間との自然な会話が主な役割でしたが、現在はLLMが自ら考えて行動するAIエージェントへ進化し、ソフトウェアエンジニアリングのあり方を根本から変えつつあります（参照*2）。この自律性の高まりこそが、従来のアクセス管理では対処しきれない新たな権限設計の必要性を生んでいます。

AIエージェントの自律性が拡大するほど、権限の枠組みが追いつかないリスクも増大します。AIエージェントのタスク完了能力は7か月ごとに倍増しているという報告があり、企業のAIガバナンス体制はこの急速な自律性の拡大を織り込んで考える必要があります（参照*1）。

「エージェントに許可する範囲」と「セキュリティを考慮した認可制御の厳格化」は常にトレードオフの関係にあります。権限設計は「便利さ」と「安全性」の折り合いをどこで付けるかという経営判断でもあるため、技術部門だけでなく事業部門も交えた検討が求められます。

AIエージェントに「どこまで任せるか」を決めるには、操作ごとのリスクレベルを事前に分類しておくことが不可欠です。OWASPのAI Agent Security Cheat Sheetでは、操作とリスクレベルの対応付けが例によって示されています。具体的には、文書検索やファイル読み取りは閲覧中心で比較的小さいリスクレベルであるLOW、ファイル書き込みは内容変更を伴うため注意が必要なMEDIUM、メール送信やコード実行は対外影響や重大な誤作動につながる可能性があるHIGH、データベース削除や資金移動のような取り消しが難しく重大な影響を及ぼし得る操作はCRITICALと分類されています（参照*5）。

この分類をもとに、LOWは自動実行を許可、MEDIUMは事後通知つきで許可、HIGHは事前承認を必須、CRITICALはすべて人間の業務とするなど、権限を設定できます。自社のAIエージェントが扱う操作を棚卸しし、上記4段階のどこに当てはまるかを一覧化する作業が、権限設計の最初のステップです。

リスクレベルの分類をさらに精緻にするためには、「不可逆性」「影響範囲」「機密度」の3つの軸で操作を評価するとよいでしょう。OWASPは、影響が大きい操作や、取り消しの利かない不可逆的な操作については、人間による明確な承認のもと実行するために、操作前にプレビューを表示する仕組みの実装や、ユーザーが操作を中断・ロールバックできる手段を確保すべきと指摘しています（参照*5）。

たとえば、データベースのDELETE操作は不可逆性が高く、全社のマスターデータである場合は影響範囲も広く、さらに個人情報を含むと機密度も高いため、3軸すべてで最高ランクのリスクと判定されます。一方、社内ナレッジの検索は不可逆性がなく影響範囲も本人に限られるため、自動実行を許容しやすい操作です。権限設計テンプレートを作る際には、操作一覧に対してこの3軸でスコアリングし、合計スコアで承認フローの要否を決める方法が有効です。

ヒューマンインザループは、業務効率とリスク統制の両方を成り立たせるための配置基準です。

すべての操作に人間の承認を挟むと業務効率が大幅に下がり、逆に承認をまったく挟まなければリスクが制御不能になります。このバランスを取る手法が「ヒューマンインザループ（人間による確認工程の組み込み）」です。OWASPは、操作のリスクレベルに基づいて自律性の境界を設定し、エージェントの判断と行動について明確な監査証跡を残すべきだと指摘しています（参照*5）。

たとえば、金融業界では資金移動のようにCRITICALな操作が多いため、ヒューマンインザループの配置比率は自ずと高くなります。

権限設計の失敗は、大きく3つのパターンに分けられます。過剰な機能性・過剰な権限・過剰な自律性の3点です（参照*7）。

「過剰な機能性」とは、エージェントがシステムの意図した操作に不要な機能にアクセスできる状態です。次に、「過剰な権限」とは、エージェントに必要最小限以上の権限が付与されている状態です。最後に「過剰な自律性」とは、大きな影響を及ぼすアクションを人間の確認なしに実行できる状態です（参照*2）。

実際に起こりうる事故として、エージェントが誤ってUPDATEやDELETEといったデータ変更クエリを生成・実行し重要なデータを破壊するケースや、本来アクセスが許可されていない機密データ（個人情報など）にアクセスしてユーザーに回答してしまうケースなどが報告されています（参照*6）。これらはいずれも、最小権限の原則が徹底されていないことが原因となっています。

動的な権限制御は、柔軟さを生む一方で、見落としが増えるリスクを抱えています。

AIエージェントは社内データベースへのアクセス権限を持っているが、ユーザーである一般の従業員にはその権限が与えられていない、というケースを考えてみましょう。認可制御を緩い方向に設定すると、タスクは想定通りに進みやすくなりますが、本来従業員が知り得なかった情報をエージェント経由で取得されるおそれがあります（参照*2）。

対策としては、エージェントが返す情報にも、ユーザー側の権限フィルタを適用することが求められます。製造業の品質管理データや金融業界の顧客口座情報など、部門間で閲覧権限が厳密に分かれている業務では、この落とし穴の影響が特に大きくなります。動的制御を導入する際は、エージェント権限とユーザー権限のどちらを優先するか、ルールをテンプレートに明記しましょう。