AIエージェント、最小権限の継続管理が課題

JumpCloudは2026年10月20日の寄稿記事で、複数システムをまたいで自律的に動くAIエージェントには、権限付与時だけでなく稼働中も最小権限を保つ仕組みが必要だと指摘しました。同社調査では、AIの権限が厳格で確認しやすいと答えた組織は12%、権限を継続的または自動的に見直す組織は14%にとどまります。

監査能力への自信と、実際の準備にも隔たりがあります。IT責任者の99%がAI活動を監査できると考える一方、必要な記録やログ、証拠を完全に用意できているのは37%で、必要最小限の権限だったと完全に証明できる組織も36%でした。

背景には、エージェントの仕事や接続先が変化しやすいことがあります。利用組織の63%は共有サービスアカウントや長期APIキーなど高リスクな方式も使い、59%は人間向けのID・アクセス管理方針へエージェントを完全には統合していません。

同社は、エージェントごとに固有のIDと責任を持つ人間を設定し、範囲や期間を限定した権限を使うよう提案しています。発見、登録、管理、統制を一続きにし、誰が何を許可し、実際に何をしたかという証跡を継続保存することが、監査可能な最小権限の土台になります。