同社は従来の認証ではAIエージェントを保護できないと述べており、Access Intelligenceを発表しています。
2026年、エンタープライズ開発者は強力で自律性がますます高まるAIエージェントの第1世代を驚異的なスピードで構築・展開しています。今が難しい部分です：それらをどのように保護するかを見つけることです。
この領域のベンダーは複数の課題に直面しています。まず第一に、従来のアイデンティティおよびアクセス管理（IAM）ツールは、AIエージェントほど複雑なものを保護するために設計されたことはありません。さらに、企業が認可したエージェントと、1年前にはほぼ存在しなかった新世代の強力なツールによって作成された文書化されていない「シャドウ」エージェントの両方の数が、前例のない速度で増加しています。そして今、組織は、これが大きなガバナンスとセキュリティギャップを残すリスクがあり、その弱点がいつか作成者を悩ませるかもしれないことに気付き始めています。
Okta、Ping Identity、Microsoft Entra IDなどの大規模クラウドプラットフォームを含む、増加し続ける企業のリストが空白を埋めようとしている一方で、スウェーデンの小さな競争相手であるCurityは、従来のIAMを使用してエージェントを保護することはできないと主張しています。代わりに、問題に対する異なるアプローチを提供しています：今週、既存のAPIアイデンティティおよびアクセス管理（IAM）プラットフォームであるIdentity Serverの拡張であるAccess Intelligenceを発表しました。
それが対処する問題は、従来のIAMツールがアプリケーションが人間のユーザーまたはマシンアイデンティティによってアクセスされ、1回限りの認証プロセスで管理されることを想定していることです。しかし、驚異的な速度で行われるアクションの長いチェーンを想定するエージェントはこのように機能しません。代わりに、アクセスは一時的で複雑で、非決定的になります。つまり、非常に予測不可能になります。ロックダウンが強すぎると機能しなくなり、自由に実行させるとセキュリティが脆弱になります。
ランタイム強制
Curityのアプローチは、エージェントを特殊なタイプのアプリケーションとして扱うことです。アプリケーションと同様に、エージェントはAPI、MCPサーバ、および相互を呼び出し、OAuthトークンを使用して認証されます。Token Intelligenceと呼ばれるフィーチャを通じて、Curityはoauthトークンの役割を、単にアクセスを許可するだけでなく、エージェントの目的と意図に関する情報を保持するように拡張します。Curityのスキームでは、エージェントはその目的に基づいてのみリソースにアクセスできます。
静的で事前に付与されたアクセス許可を使用する代わりに、エージェントアクセスはランタイムで即座に付与されます。要求されたアクションごとに、必要なアクセスを記述する個別のトークンが生成されます。エージェントが新しいタスクを開始する場合、新しいアクセス許可セットを指定する新しいトークンが必要です。必要に応じて、エージェントが資金転送などの高リスクアクションを実行しようとする場合、人間の認可が必要になる場合があります。
「Curityは常にアプリケーション中心であった」と共同創設者兼CTOJacob Ideskogは述べました。「私たちの焦点は常にアクセスをどのように仲介するかについてでした。」
エージェントセキュリティへの複数のアプローチ
今日、エージェントセキュリティは複数のグループのいずれかに分類されます。これには、APIゲートウェイやWebアプリケーションファイアウォール（WAF）などの益々不十分なインラインアプローチ、およびベースラインに対してエージェントの動作を分析することで意図を推測するアウトオブバンド分析システムが含まれます。
一方、CurityのAccess Intelligenceは、すべてのエージェントリクエストが通過する必要がある強化されたIAMレイヤーとして機能する自己ホスト型マイクロサービスです。「今エージェントに何かをさせるからといって、1分後にそれを行うことを許可すべきということではない」とIdeskovは説明しました。
Access Intelligenceはまた、Identity Serverの集中トークン検証を使用して、開発者が登録することなくエージェントまたはAPIを起動できることを保証します。この検証がない場合、エージェントは実世界のアクションから隔離されます。
単一のソリューションでは全体をカバーできない
Access Intelligenceなどのシステムの登場は、エンタープライズにとって良いニュースです。ベンダーがエージェントセキュリティの問題に対処し始めていることを示しており、しばしば既存のAPIセキュリティプラットフォームを拡張することで対処しています。しかし、どのアプローチを採用するかの問題は依然として開かれています。
Ideskovは、異なるアプローチを相互に排他的なものと見なすのは間違いだと考えています。CurityのAccess Intelligenceは、エージェントセキュリティの他のレイヤーと組み合わせて使用できると彼は強調しました。つまり、単一のソリューションでは全体をカバーできません。
「これまでのところ、IAM業界はアイデンティティの部分に焦点を当ててきました。しかし、本当の問題はアクセスです。エンタープライズは、特権アクセス管理（PAM）ベンダーに、彼らがこの[エージェントセキュリティ]にどのように対処するつもりかを尋ねており、PAMベンダーはまだ良い答えを持っていないと思います」と彼は述べました。
