新たなNIST・CISAトークンセキュリティ指針、AIエージェントの認可リスクは依然として空白のまま

AIエージェントの行動は、米当局が新たに示したID・アクセストークンのセキュリティ確保に関する指針の対象外です。それでも、悪意ある人間とAIエージェントの双方からシステムを守るために、企業が取り組める対策は数多く残されています。

米国立標準技術研究所(NIST)がサイバーセキュリティ・インフラセキュリティ庁(CISA)の協力を得てまとめた新たな報告書「Protecting Tokens and Assertions from Forgery, Theft, and Misuse」は、シングルサインオンやAPIアクセスなど、デジタル署名付きトークンを用いてアクセス判断を行うシステムの運用者向けに指針を示しています。

この指針は「NIST IR 8587」としても知られ、認証後に何が起こるかに焦点を当てています。トークンやアサーションはシステム間で認証・認可の証明を運ぶ役割を果たしますが、それらが侵害されると、攻撃者はすでに付与されたアクセス権を悪用できてしまいます。NISTは、継続的な監視に加え、トークンのライフサイクル全体を通じたより厳格な統制を推奨しています。

この問題は、CISAにとって特に重大な意味を持ちます。5月には、CISAの契約業者が管理していたとみられる公開GitHubリポジトリから、AWSトークンやGitHubアクセストークンを含む機密性の高い政府認証情報が発見されました。CISAは当時、機密データが侵害された兆候はないとしていました。

未解決のままのエージェント権限問題

NISTは、AIエージェントが使用する署名付きトークンのセキュリティ確保にも、人間が使用するトークンと同じ指針を適用するよう推奨しています。ただし、AIおよびAIエージェントがもたらすアクセスリスクは「さらなる指針、場合によっては新規または拡張された標準・プロトコルを必要とする、追加のIAM上の課題を生む」と指摘しています。

NISTとCISAはこれらの課題に現在も取り組んでいますが、それを待つ間にもITチームがエージェント型システムを保護するためにできることはあります。

エージェントのIDのライフサイクルを管理することも、この課題の一部だとIDC Asia/Pacificのセキュリティサービス担当シニアリサーチマネージャー、Yih Khai Wong氏は述べています。

Wong氏によれば、企業は誰がエージェントの認証情報を発行したのか、そしてその認証情報が何を許可しているのかを可視化する必要があります。また、エージェントのタスクが終了した時点でアクセス権を取り消すべきだとしています。

「トークンのハードニングは、トークン保持者が既知で範囲の定まった主体であることを前提としています」とWong氏は述べます。「エージェント型システムは、その前提を崩してしまうのです」

委任(デリゲーション)によって、その境界線を定めることがさらに難しくなると、Kanerikaでai開発責任者を務めるAmit Kumar Jena氏は指摘します。エージェントはユーザーに代わって行動し、ツールを呼び出し、さらに別のサービスへとアクセスすることがあり、この連鎖が長くなるほど、誰の権限が行使されているのかを判断するのが難しくなっていきます。

Jena氏は、プロンプトインジェクションによって、有効なトークンを保持するエージェントがユーザーの要求していなかった行動へと誘導される可能性もあると述べています。トークン検証だけでは、こうした悪用を検知できるとは限りません。トークン自体は依然として正当なものである可能性があるためです。

Jena氏は、CISOはAIエージェントを信頼度の低い非人間IDとして扱い、タスクに必要な最小限のアクセス権のみを付与すべきだと主張します。リスクの高い操作については、人間による承認を必須とすべきだとも付け加えました。

Wong氏はまた、エージェントの一覧(インベントリ)を維持し、それらのIDを人間のアカウントとは分離しておくことも推奨しています。認証情報はタスク完了時に失効させるべきだと同氏は述べています。

有効なトークンがなお危険でありうる理由

よくある弱点は、トークンが有効であるという理由だけで、それに紐づく操作も正当だと思い込んでしまうことだと、Omdiaのマネージドセキュリティサービス担当シニアアナリストJonathan Ong氏は指摘します。

Ong氏によれば、組織はトークンが提示される文脈、たとえばユーザーが普段とは異なる場所や予期しない時間帯に機密システムへアクセスしていないかどうかを考慮すべきです。また、検知においては、単独では無害に見える行動を見抜くために、複数のセキュリティ領域にまたがる活動を相関分析することも必要だとしています。

トークンが一度侵害されると、封じ込めもまた別の課題となります。「アーキテクチャ上の制約により、トークンの失効が常に可能とは限りません」とOng氏は述べます。

侵害されたトークンの有用性を制限する他の統制手段もあります。Counterpoint Researchのリサーチ・パートナー担当バイスプレジデント、Neil Shah氏は、NISTの推奨事項がトークン侵害の継続時間と影響範囲の両方を縮小できると述べています。

オーディエンス制限を設けることで、盗まれたトークンが受け入れられる範囲を限定できます。また、対応する秘密鍵を保持するクライアントにトークンを暗号学的に紐づけることで、攻撃者によるリプレイ(再送)攻撃がより困難になります。

Shah氏によれば、この報告書はさらに、Continuous Access Evaluation Profile(CAEP)やRisk Incident Sharing and Coordination(RISC)といった共有シグナルの仕組みも組織に示しています。これらは、トークンに関連するセキュリティ状況が変化した際に、接続されたシステムが対応する助けとなります。

トークンセキュリティはIAMの枠を超える

今回のCISAの認証情報漏えいはまた、アクセスポリシー自体が健全であっても、従来型のIAM統制の枠外でトークンセキュリティがいかに破綻しうるかを浮き彫りにしていると、Jena氏は述べています。認証情報は、ソースコードやCI/CDパイプライン、ログ、契約業者の環境などに表出することがあります。

「契約業者がクラウドの認証情報を自分のローカルマシンにコピーできてしまうのであれば、その時点でID統治(アイデンティティガバナンス)はすでに破綻しています」とShah氏は述べます。

Shah氏によれば、こうしたリスクをポリシーだけで管理するのは、開発者のマシンに認証情報がコピーされたり、自動化されたパイプラインを通じて露出したりしうるDevOps環境では難しいとのことです。同氏は、企業は可能な限り静的トークンを廃止し、有効期限の短い認証情報に置き換えるべきだと主張します。

Jena氏によれば、今回のCISAのインシデントは、NISTの指針の適用範囲の境界も露呈させています。IR 8587は非対称署名されたトークンに焦点を当てており、APIキーのような仕組みは明示的に統制の対象外としています。それでもNISTは、対象となるトークンについては、ログやCI/CDパイプライン、ビルド成果物の中に残さないよう求めています。