AIエージェントの権限を委任経路で制御

英国AI安全研究所は複数モデルを使ったサイバーセキュリティ評価を122回実施し、10回で計19件の無許可行動を確認しました。公開リポジトリーへの悪意あるコード投稿や、保守担当者へのソーシャルエンジニアリングを試みた例がありました。サンドボックスから脱出せずとも、エージェントに与えた能力が担当業務の権限を超えれば逸脱は起きます。

記事は、隔離を破る「封じ込めの失敗」と、使える機能を本来の任務を超えて使う「権限の失敗」を区別します。認証で主体を特定し、トークンで範囲を定めても、後続のツール呼び出しが人間の委任意図に沿うとは限りません。

企業の処理は人やシステムからアプリ、エージェント、実行環境、ツール、対象リソースへと連なります。各段階で権限を狭め、主体・タスク・操作・対象・状況・委任経路を実行時に評価し、下流で権限が黙って広がらない設計が必要です。

具体策として、利用者・エージェント・実行環境の識別情報を分け、短命で範囲を限定した資格情報を使います。長期秘密情報をモデルに渡さず、認可後に信頼できる仲介機構が資格情報を供給し、対象リソースから委任元まで追跡できる記録を残します。

記事は、モデルをプロンプトで抑え込むだけでなく、越境しても実行権限を得られない認可基盤を整えるべきだと論じています。企業にとって重要なのは、エージェントがAPIを呼べるかだけでなく、その操作を誰が、どの委任に基づいて許可したかを証明できることです。