医療機関はAIを積極的に採用しており、ITサポートデスクチケットの処理、ソフトウェアワークロードの自動化、データ交換の認証、各種セキュリティタスクの実行など、幅広い機能にAIエージェントを活用している。医療分野におけるAIエージェントの活用には明確なメリットがある一方、新たなAIエージェントが追加されるたびに攻撃者の侵入口が増え、攻撃が成功した場合には壊滅的な被害をもたらす可能性がある。
各AIエージェントには機能を実行するための権限が付与されており、AIエージェントがセキュリティ機能を担う場合、その権限は非常に大きなものになり得る。AIエージェントの侵害に成功した攻撃者は、そのエージェントと同等の権限を取得することになる。たとえば、ローカルマシン上のAIアイデンティティはパスワードマネージャー、ブラウザセッション、セキュアシェル、暗号化キーへのアクセス権を持つ場合がある。AIエージェントが攻撃者に管理者認証情報を漏洩させれば、大規模なデータ窃取を伴う壊滅的な攻撃につながりかねない。
AIの導入・統合状況とアイデンティティセキュリティへの影響を調査するため、サイバーセキュリティ企業のSemperisはCensusWideに委託し、医療分野を含む複数の業界にわたる1,100人のITおよびITセキュリティ専門家を対象にアンケートを実施した。調査の結果、AIエージェントが広く展開されており、アイデンティティインフラに対する重大なリスクをもたらしていることが確認された。医療分野の回答者の4分の3が、アイデンティティインフラへのAI主導の攻撃が発生すると考えており、69%がAI攻撃者がアイデンティティシステムを利用して自組織のインフラを標的にすると考えている。しかし、AIエージェントが管理者認証情報を漏洩させた場合に完全復旧できると考える回答者はわずか4分の1にとどまった。
平均して、医療従事者の3分の1以上が、セキュアシェルや暗号化キーへのアクセス権限を持つAIエージェントをローカルマシンに少なくとも1つインストールしており、医療分野の回答者の3人に1人がセキュリティ関連タスクにAIエージェントを活用していると回答した。また、60%の回答者が今後12か月以内にセキュリティタスク向けAIエージェントを導入する予定だと答えた。
Semperisによると、AIエージェントはアイデンティティファブリック内で非人間アイデンティティ（NHI）として扱われるべきだが、AIアイデンティティが組織内で登録・認証・承認されていると回答したのは66%にとどまり、そのうち約半数（48%）は人間のアイデンティティとは別に登録・認証・承認を行っている。組織が人間のアイデンティティに対しては最小権限の原則などのセキュリティベストプラクティスを適用していても、過剰な権限が付与されがちなAIアイデンティティには必ずしも同様の措置が講じられていないのが現状だ。
「AIサポートエージェントは、意図しない結果を招くような形で過剰な権限を持つことが多い。たとえば、『親切心から』セキュリティ設定を変更したり、チーム全体がアイデンティティシステムからロックアウトされたり、企業VPNに穴を開けたりするようなアクセス権を付与してしまうことがある」とSemperisは説明する。AIエージェントの展開が拡大するにつれてリスクも高まる。AIエージェントはあらゆる操作を行える能力を持つことが多いため、厳格な制御を実装することが不可欠だ。十分な制御がまだ実装されていない可能性はあるものの、回答者の90%がAIアイデンティティのガバナンスを組織の最優先セキュリティ課題として挙げている。
Semperisは、リスク軽減のためにAIアイデンティティへの最小権限の原則の適用、アイデンティティインフラの指定、バックアップおよびリカバリ制御の実装、エージェントと人間のトラスト境界の適切な分離といったセキュリティ制御の実装が必要だと強調している。組織はAIアイデンティティがいずれ侵害されることを前提に対策を講じ、その事態に備えた方針と手順を整備し、迅速かつ完全な復旧を可能にしなければならない。
「驚くべきことは、AIがアイデンティティシステムに統合されるスピードだけでなく、問題が発生した際の復旧に多くの組織が備えられていないという点だ」と、Ten Eleven VenturesのパートナーであるGrace Cassyは説明する。「アイデンティティレイヤーにAIを導入することは運用上の利点をもたらすが、ガードレール、可観測性、そして復旧態勢を伴うものでなければならない。これは古くからある問いの新たな側面に過ぎない。重大な障害が発生した際に、迅速に対応できるだけの回復力が備わっているか、ということだ。」
Semperisの「AI時代のアイデンティティセキュリティの現状」レポートはこちらからダウンロードできます。
