突破されたゲートを理解する
ギリシャ軍はトロイの城壁を力ずくで突破したわけではありません。彼らは巨大な木馬を作り、あとはトロイの人々自身にやらせたのです。それから何年もたった今も、これは記録に残る歴史上最も効果的なハッキングであり続けています。理由は、現代の多くのハッキングが今なお成功している理由と同じです。城壁の内側にいた誰かが「外にあるあれは問題ない」と判断し、よく調べもせずに門を開けてしまったのです。エージェント型AIをめぐる不都合な真実は、それが新しいリスクの分野を生み出したわけではないという点にあります。既に実証済みのリスクを増幅させたに過ぎないのです。
Cympireは4月にこの点を指摘し、サプライチェーン攻撃があの木馬が開いた門を悪用したのと同じように「信頼」を悪用する仕組みをたどっています。私たちもこの見方に同意しますが、あの木馬には中に隠れる兵士が必要であり、その兵士に与えられたチャンスは一度きりでした。今日版のトロイの木馬には兵士すら不要で、必要なのは午後のうちに立ち上げられ、誰にも十分に監査されないままアクセス権を与えられ、そのまま無期限に稼働し続けるエージェントだけです。オリジナルのトロイの木馬は一度限りの巧妙な欺瞞でしたが、この現代版は誰かが「許可する」をクリックするたびに補充され続けます。
この違いこそが、今日のAIリスクをめぐる議論における本当の断層線を示しています。Forbesは5月に、Mindgard社のCPOであるAaron Portnoy氏の鋭い指摘をもとにした記事を掲載しました。サイバーセキュリティの歴史の大半において、中心的な問いは「アクセス」、すなわち攻撃者が侵入できるかどうかでした。しかし、それだけではもはや不十分です。Portnoy氏が主張するより鋭い問いは「権限」です。つまり、すでに内部にいるものが実際に何をできるのか、という問いです。彼の指摘はまさに的を射ており、サードパーティリスクを扱うチームが長年、別の言葉で問い続けてきたことを、彼は改めて発見しているにすぎません。
正しい問いを立てる
セキュリティ質問票は、アクセスが許可される前にこの「権限」の問いに答えようとするものです。どのデータに触れられるのか。そのデータで何ができるのか。何か問題が起きたとき、誰が責任を負うのか。エージェント型AIはこの区別を新たに生み出したわけではありません。むしろ、契約書に署名することも、レビューに参加することも、通常のペースでオンボーディングされることもできない存在に、この問いを丸ごと引き渡してしまったのです。AIセキュリティの世界が「エージェンシー対オーソリティ(権限)」という論点を改めて発見しつつある様子を見ていると、サードパーティリスクの実務者たちの直感が終始正しかったことが裏付けられます。足りないのは、誰を「サードパーティ」として扱うべきかという範囲を広げようとする意志だけなのです。
この視点の転換こそが、真の戦略の出発点になります。多くの組織は、エージェント型AIのリスクに対処するには、まったく新しい部門や新しいツールのカテゴリー、そしてゼロから構築するガバナンスモデルが必要だと考えがちです。しかし、それは違います。サードパーティリスク管理の分野は、まさにこの問いに答えるための手法をすでに確立しています。誰がアクセス権を持っているのか、彼らに何ができるのか、それをどう把握するのか、失敗したときに何が起きるのか。それをたまたまベンダーに適用してきただけで、エージェントに適用していなかったにすぎません。問題はAIに対する想像力の欠如ではなく、セキュリティがすでに知っていることを忘れてしまっている点にあるのです。
4つの問いから成るフレームワーク
AIエージェントは、多くのセキュリティチームが注視していない、最も急速に拡大している攻撃対象領域になりつつあります。その対策は、あらゆるベンダーリスクプログラムに適用してきたものと変わりません。何が存在するのか、誰がそれを所有しているのか、どのように統治されているのか、そして侵害された当日に何が起きるのかを把握することです。問いはたった4つで、特に目新しいものではありません。目新しいのは、現在自社の環境内で稼働しているエージェントについて、この4つすべてに答えられる組織がほとんど存在しないという事実です。
これこそ、今取るべき戦略的な賭けです。エージェントを新しい種類のベンダーとして扱い、同じ受け入れ審査と説明責任の対象とする組織は、今後数年のうちに、エージェントを単なる生産性向上機能としてしか扱わない組織を静かに引き離していくでしょう。数年もすれば、環境内で稼働しているAIエージェントの数を尋ねない質問票は、SOC 2について一度も尋ねない質問票と同じくらい不完全なものに見えるようになるはずです。さらに時間がたてば、侵害の公表の際に、ベンダー名を挙げるのと同じように、侵害されたエージェントIDが名指しされる時代が来るでしょう。
それでもゲートには番人が必要
ここまでの話は、既にうまく機能している仕組みを捨て去ることを求めているわけではありません。求められているのは、本来自動化に委ねるべきではなかった判断を、自動化が静かに飲み込んでしまうのを許さないことだけです。エージェントはどんな人間よりも速くタスクを実行できます。しかし、そのタスクを本当に自分に与えるべきだったのかどうかを、エージェント自身が判断することはできません。そうではないふりをすることこそ、この物語のあらゆるバージョンが、古代であろうとエージェント時代であろうと、同じ結末を迎える理由なのです。それを公の場で率直に語ることは、本来そうあるべき以上に、奇妙なほど珍しい競争優位性になっています。多くのベンダーは「責任あるAI」を単なる価値表明として語ります。しかし、自分たちが何を自動化し、あえて何を自動化しないのか、そして肝心なところで最終的に承認するのが依然として人間であることを、実際に示せているベンダーは多くありません。
私たちはこうした類似性を指摘する最初の存在でも、最後の存在でもありません。Cympireはこの寓話のパターンを見抜きました。Portnoy氏はそれを権限の問題として見抜きました。私たち自身のサイバーセキュリティ専門家チームも、今年一年、さまざまな形でこれと同じことを言い続けてきました。私たちがそこに付け加えたいのはこうです。この類似性はもはや単なる比喩ではありません。それは、既知の形を持ち、数十年にわたる組織的な知見に裏打ちされたガバナンスの問題であり、それをそのように受け止める意志さえあれば、答えはすでに存在しているということです。
