AWSは、AIエージェントを通じてユーザーの認可コンテキストを伝播させる手法について詳細を公表しました。この手法により、アクセス制御をエージェント自身に依存させるのではなく、インフラや下流のサービス側で強制できるようになります。
Amazon Bedrock AgentCoreを利用する顧客は、Amazon DynamoDBテーブル、ドキュメントリポジトリ、SaaSプラットフォーム、社内ナレッジベースから情報を取得して質問に回答したりワークフローを自動化したりするAIエージェントを構築できます。しかし、リクエストを行っているユーザーが誰であるかをエージェントが認識していない場合、そのユーザーが本来閲覧を許可されていない情報まで返してしまう恐れがあります。
以下の図は、今回のデモンストレーションで使用されたアーキテクチャを示しています。（出典：AWS）
「エージェントはオーケストレーター（調整役）であり、ゲートキーパー（門番）ではありません」とAWSは説明しています。「認可は下流のサービス側で強制されます」
CRMアクセス制御のユースケース
AWSは、営業部門と財務部門の従業員が同一のAIエージェントを介して顧客情報にアクセスするCRMアプリケーションを例に、この手法を説明しています。
営業部門の従業員は顧客契約書、価格戦略、営業パイプラインのデータへのアクセスを必要とする一方、財務部門の従業員は請求書、支払い記録、財務報告書へのアクセスを必要とします。
このエージェントは、Amazon DynamoDB、Amazon Bedrock Knowledge Basesに保存されたドキュメント、Salesforceなどの外部サービスから情報を取得できます。
例えば、営業部門の従業員が顧客契約書の閲覧を求めた場合、エージェントは営業部門が利用可能な情報のみを取得できるべきであり、財務部門のデータにはアクセスできないようにする必要があります。
AWSによれば、こうした制限をエージェントの外部で強制することで、たとえプロンプトインジェクションによってエージェントが操作されたり、アプリケーションのバグの影響を受けたりした場合でも保護が確保されるといいます。
ユーザーIDと認可
従業員はまず企業の認証情報でログインします。AWSは今回の例でAmazon Cognitoをアイデンティティプロバイダーとして使用していますが、Microsoft Entra IDやOktaも利用可能です。
従業員の所属部門などの情報は認証トークンに付加され、エージェントへのリクエストとともに送信されます。
Amazon Bedrock AgentCore Runtimeはユーザーのトークンを検証し、リクエストがエージェントに到達する前に認可情報を確認します。設定された要件を満たさないユーザーからのリクエストは、エージェントが実行される前に拒否できます。
その後、エージェントが他のサービスにアクセスする際にこの認可コンテキストを引き継ぐことで、各サービス側でそのユーザーがアクセスを許可されている情報を判断できるようになります。
アクセス制御はエージェントの外部にとどまる
AWSは、DynamoDB、Amazon Bedrock Knowledge Bases、Salesforceの各サービスにわたってこの手法を実演しています。
DynamoDBの場合、アクセスをユーザーの所属部門に関連付けられたレコードのみに制限できます。Salesforceでも同様に独自の共有ルールを適用することで、エージェントが個々のユーザーが利用可能なレコードのみを受け取るようにできます。
Amazon Bedrock Knowledge Basesはメタデータフィルタリングを使用し、取得するドキュメントを適切な部門のものに限定します。AWSは、この制御がアプリケーション層で機能するものであることに触れ、より厳格な分離が求められる場合はIAMポリシーを用いた個別のナレッジベースを設けることを推奨しています。
より大きな狙いは、AIエージェントに広範なアクセス権を与え、機微な情報を正しくフィルタリングしてくれると信頼することを避ける点にあります。その代わりにAWSは、「エージェントが何を要求してきたかにかかわらず」、基盤となる各サービス側で許可されていないリクエストを拒否するよう設定することを推奨しています。
「こうすることで、エージェントの認証情報はリクエストを行ったユーザーの権限に本質的に限定され、どれほどプロンプトを操作されても、その境界を突破することはできなくなります」と、著者であるAnshu Bathla氏、Prafful Gupta氏、Rohit Verma氏は結論付けています。
翻訳元: https://www.helpnetsecurity.com/2026/08/20/aws-ai-agents-access-controls/
