AIエージェントに渡した権限、誰が回収しますか。非人間IDの棚卸し表

AIエージェントに渡した権限を回収するのは、エージェントを業務で使う部門の長です。情報システム部門（情シス）は、平時の見直しと廃止を決める立場に無いため、責任者には置きません。責任者の欄が空の行の権限は、止めると決める人がおらず、広いまま残ります。最初の作業は、7列の棚卸し表をAIエージェント1件につき1行ずつ埋めることです。責任者の欄が空の行には、部門の長の承諾を得て名前を書きます。

AIエージェントの非人間IDの3つの入口と台帳の欠落

非人間ID（Non-Human Identity、NHI）は、ソフトウェアが認証と認可に使うIDです。サービスアカウントと、APIキー（プログラムがサービスを呼び出す時に示す鍵の文字列）が当たります。OAuthの連携（利用者の許可で別のサービスに権限を渡す仕組み）も当たります。AIエージェント専用に発行したIDは、非人間IDに当たります。担当者のIDを借りる構成では、人のIDがAIエージェントに使われます。AIエージェントの権限は、3つの入口から増えます。

• 担当者のIDの借用（AIの製品が担当者としてログインし、担当者の権限で動く構成）
• 業務のSaaSへのAIの製品の接続（OAuthの連携で、利用者が個別に接続する）
• 専用のサービスアカウントやAPIキーの発行

3つの入口は、管理の場所が別々です。OAuthの連携とサービスアカウントは、人の入社・退職と結びついた台帳には載らないことが多く、見直す人が決まりません。借用した担当者のIDは台帳に載っていますが、AIエージェントが使っていることは記録されません。

OWASPは、Webアプリケーションの安全性を扱う国際的な非営利団体です。OWASP Non-Human Identities Top 10（2025）は、非人間IDの危険を10項目に整理した一覧です。棚卸し表に対応させた項目は6つです。

• 不適切な失効（NHI1 Improper Offboarding）
• 秘密情報の漏えい（NHI2 Secret Leakage）
• 脆弱な第三者の非人間ID（NHI3 Vulnerable Third-Party NHI）
• 過剰な権限（NHI5 Overprivileged NHI）
• 期限の長い秘密情報（NHI7 Long-Lived Secrets）
• IDの使い回し（NHI9 NHI Reuse）

人のIDには入社・異動・退職の手順があります。非人間IDは、発行の後の見直しと失効が人のIDの手順に含まれていないことがあります（NHI1「不適切な失効」）。NHI1は、持ち主が退職した後も残るIDと、用途の終わったサービスに残る休眠のIDの両方を挙げています。図1の破線の2つの箱が、棚卸し表の列7（責任者）と列6（失効の手順）に当たります。

被害の上限を決める権限の範囲と通信の先

被害の上限は、列4（権限と資格情報）と列5（外向き通信の先）で決まります。AIエージェントは、外部から読み込んだ文章を材料に動きます。Webページや受信メールに紛れた指示を本来の指示と取り違えて実行する型を、間接のプロンプトインジェクションと呼びます。

OWASP Top 10 for LLM Applications（2025）は、大規模言語モデル（LLM）を使うアプリケーションの危険の一覧です。一覧の1つはプロンプトインジェクション（LLM01 Prompt Injection）です。もう1つは過剰な権限委譲（LLM06 Excessive Agency）で、根本の原因は機能・権限・自律性の3つの過剰です。

LLM01の項は、確実に防ぐ方法があるかは不明だとしています。LLM06の項が過剰な権限の例に挙げるのは、読み取りだけでよい拡張が、更新や削除もできるIDでデータベースに接続する構成です。

情報処理推進機構（IPA）は、「情報セキュリティ10大脅威2026」を公表しています。組織向けの3位には、「AIの利用をめぐるサイバーリスク」が初めて選ばれました。解説書（組織編）の17ページは、AIの脆弱性の事例を挙げています。事例では、外部から注入された不正なプロンプトが不適切な動作を誘発します。AIにアクセスを許可した社内の秘密データ等が、流出する可能性がありました。20ページのコラムは、間接プロンプトインジェクションへの技術的な対策に完璧な物は知られていないとしています。

指示の取り違え（LLM01）と過剰な権限（LLM06の根本の原因の1つ）は重なります。重なると、取り違えた指示は渡していた権限の範囲で実行されます。列4に書く操作の種類と対象の範囲、列5に書く送信先が、被害の上限になります。

棚卸し表7列の意味と空欄の読み方

棚卸し表はAIエージェント1件を1行とし、図2のとおり7列を3つの群に分けて埋めます。欄の書き方は3つに分けます。

• 空欄は、まだ調べていない欄
• 「不明」は、調べたが分からなかった欄
• 「無い」は、手順や設定が存在しない欄

推測で埋めず、3つの区別のまま残した位置が点検の結果です。群と段の対応は、表1の「列（番号・埋める段）」でも読めます。

表1は7列の意味の一覧で、1行が棚卸し表の1列に当たります。括弧のOWASPの番号は、非人間IDの危険の一覧の項目です。

主体の特定（列1〜3）

列1から列3は、動く物と場所と使うIDを特定する群です。用途ごとに行を分けると、IDの使い回しが見えます（NHI9）。担当者のIDを借りる行は、記録が人と混ざるため、専用のIDへの切り替えの候補です。第三者の製品とのOAuthの連携は、一覧にして定期的に見直し、使っていない物を失効させる対象です（NHI3の防止策）。

権限の範囲（列4・5）

列4と列5は、事故の時の被害の上限を決める群です。列4には資格情報だけでなく、IDが行える操作の種類（読み取り・書き込み・削除・送信）と対象の範囲を書きます。空欄と「不明」は、段2の着手点です。

回収の可否（列6・7）

列6と列7は、権限を回収できるかを決める群で、冒頭の問いに直接答える列です。列7が空の行は回収を決める人がいない行で、列6の「無い」とともに段3の着手点です。

列7の責任者には、AIエージェントを業務で使う部門の長を置くことを著者は勧めます。情シスの担当者は、止める操作と運用の窓口を担えます。業務に要る権限の広さと、平時に廃止する時期を決める立場には無いため、責任者には置きません。漏えいの疑いなど緊急の停止は、列6の手順で情シスが先に止め、部門の長へ報告します（著者の手順）。OWASP NHI1の防止策も、全ての非人間IDに持ち主を割り当てることを求めています。

AI事業者ガイドライン（第1.2版）は、経済産業省と総務省が定めた指針です。共通の指針に「アカウンタビリティ（責任を負うこと）」を置き、項目の1つが「責任者の明示」です。項目の文言は「各主体においてアカウンタビリティを果たす責任者を設定する」で、誰を責任者に置くかは定めていません。

記入の例（架空の構成）

表2は、問い合わせメールの一次回答の下書きを作るAIエージェントの1行を、縦に並べ替えた物です。表2の1行が棚卸し表の1列に当たります。

表2の行は列5が「不明」、列6が「無い」で、段2と段3の両方が着手点です。列7が埋まっているため、回収を決める人は決まっています。送信は人が行い、AIエージェントは下書きの作成に留める設計は、LLM06が挙げる自律性の過剰を避ける例です。

段1: 探す場所4つからの行の起こし方

段1では、4つの場所を順に見て、見つけたAIエージェントを1行ずつ起こします。列1〜3を埋め、列4〜7は分かる範囲で書きます。3つの入口との対応は、OAuthの連携が場所1、サービスアカウントが場所2、APIキーと借用した資格情報が場所3と場所4です。

1. 業務のSaaSの管理画面で「連携アプリ」の一覧を開きます。利用者が個別に接続したAIの製品が行になります。
2. クラウドのID管理（IAM）でサービスアカウント・アクセスキー・ロールの一覧を出します。最終利用が古い物は、使われていないIDの候補です。
3. CI/CD（ビルドと配備の自動化）のsecrets（秘密情報の保管の仕組み）を一覧にします。AIのコード修正の道具に渡した鍵が行に結びつきます。
4. 端末とサーバーの設定ファイルと環境変数を、秘密情報の検出の道具で走査します。道具は、設定ファイルやリポジトリから鍵の文字列を探す物です。見つかった鍵が行に結びつきます。

担当者のログインのまま動く製品（ブラウザの拡張・端末のアプリ）は、4つの場所では見つからないことがあります。部門ごとに業務で使うAIの製品を聞き取り、行に足します。IPAの解説書（組織編）の18ページは、AIサービスの利用状況を把握する対策を挙げています。手段は通信ログやCASB（クラウドの利用を監視する仕組み）です。

段1の出力は、4つの場所と聞き取りで見つかった行の数です。見つかった行の数が分からない状態が、最初に直す点です。列ごとの空欄の数え方は「空欄の数え方と社内の説明」の節にまとめます。

段2: 権限の縮小と通信の先の限定（列4・5）

段2は、列4と列5に「不明」か広い範囲が書かれた行から着手します。原則は最小権限で、OWASP NHI5（過剰な権限）の防止策に当たります。縮める範囲を列7の部門の長と合意してから削り、動かなくなった機能だけを戻す順は、著者の手順です。縮め方は4つです。

• 読み取りだけで済む作業は読み取りだけの権限にし、列4の操作の種類を埋めます。
• 対象の範囲を特定の受信箱や特定のリポジトリに限定し、列4の対象の範囲を埋めます。
• OpenID Connect（OIDC）で短命の資格情報を受け取れる製品では静的な鍵を無くし、列4の期限を埋めます。
• 送信先の一覧と許可の判断者を決め、列5を「不明」から一覧に変えます。

短命の資格情報は、OWASP NHI7（期限の長い秘密情報）の防止策に当たります。OIDCでは、受け取れる条件（資格情報を受け取れるリポジトリとブランチ）を絞ります。条件が緩いと、資格情報を不正に取得される弱点になります（OWASP NHI6の説明）。SaaSの製品の送信先は、提供元の開示に依ります（「すぐ埋められない欄の扱い」の節を参照）。

段3: 失効の手順と責任者の決定（列6・7）

段3は、列6が「無い」か列7が空の行から着手します。段3の手順は6つです。

1. 部門の長へ、責任者の役（権限の付与と見直しを決め、事故の時に説明する）を示します。
2. 承諾を得た名前を列7に書きます。回収を決める人が決まります。
3. 失効の手順の型を列6に書きます。回収の操作が決まります。
4. 四半期を目安に表を見直します。間隔は著者の目安で、NHI1は定期的な再確認を求め、頻度は定めていません。
5. 最終利用が古いIDと用途が終わったIDを失効させます。
6. 人の退職と担当替えの手順に1項目を足します。項目の中身は、担当していたAIエージェントのIDの持ち主の移管と、見ていた資格情報の差し替えです。

手順3で選ぶ型は4つです。

• 連携アプリの接続の解除
• トークンの無効化と再発行
• サービスアカウントの無効化から削除への2段
• 鍵の差し替え

段3の手順の1・2・4・5・6は、OWASP NHI1の防止策に当たります。防止策は、持ち主の割り当てと、定期的な再確認による不要なIDの廃止です。退職の手順では、見直しと持ち主の移管と資格情報の差し替えを求めています。連携アプリの接続の解除は、NHI3の防止策（使っていないOAuthのトークンの失効）に当たります。段3の手順1〜6を終えると、図1の破線の2つが人の手順に入ります。

空欄の数え方と社内の説明

数え方は3つです。

• 行の数（見つかったAIエージェントの数）
• 列ごとの空欄と「不明」「無い」の数
• 空欄か「不明」「無い」が2つ以上ある行の数

空欄の多い表は、点検ができていない証拠ではなく、点検を始めた最初の記録です。社内でAIの権限の点検を求める根拠には、公的資料を2件引けます。1件はIPAの「情報セキュリティ10大脅威2026」の組織向け3位と、解説書（組織編）の17〜18ページです。もう1件はAI事業者ガイドライン（第1.2版）の「責任者の明示」です。

導入の要望の承認の条件

導入の要望を承認する側は、申請者に棚卸し表の1行を添えてもらいます。承認の条件は、列7に申請部門の長の名前が入り、列4と列5が空欄でも「不明」でもない状態です。列5が提供元の非開示で「不明」の時は、提供元へ照会した日付を添え、承認するかを列7の部門の長と決めます。審査の問いと運用の記録が、同じ7列に揃います。

すぐ埋められない欄の扱い

既に動いているAIエージェントの棚卸しでは、製品の仕様や契約の都合で、すぐには埋められない欄があります。推測で埋めず「不明」と書き、見直しの日付を添えます。導入前の承認の扱いは「導入の要望の承認の条件」の節で定め、棚卸しの扱いとは区別します。

• 列5が製品の仕様で分からない時は「不明」と書き、提供元へ送信先の一覧を求めた日付を添えます。
• 担当者のIDの借用を変えられない時は、列6に「担当者のIDの停止で止まる」と書き、列7に担当者の上長を置きます。
• 列7は、承諾を得るまで「依頼中（依頼した日付・依頼先の部門）」と書き、空欄にしません。

権限を回収する人、業務で使う部門の長

AIエージェントに渡した権限を回収するのは、エージェントを業務で使う部門の長です。責任者の欄が空の行の権限は、止める操作はできても止めると決める人がおらず、広いまま残ります。今週着手できる作業は3つです。

• 探す場所4つと聞き取りから行を起こす
• 列ごとの空欄と「不明」「無い」を数える
• 列7の空欄に、承諾を得た部門の長の名前を書く

導入の要望には表の1行を添えてもらい、列7に申請部門の長の名前が入り、列4と列5が埋まってから承認します。段3の手順6（人の退職と担当替えの手順に1項目を足す）は、既存の手順の改定で着手できます。