AI エージェントにも認証情報が要る。
誰が預かっていますか

エージェントの認証情報は、いまどこにあるのか

AI を業務に取り入れ始めたチームを調べると、どこでも同じ光景が見つかります。システムプロンプトやノートブックに貼られた API キー、自動化スクリプトに直書きされたトークン、深夜に連携を動かした人が報告したチャットスレッドの中のサービスアカウントのパスワード。その複製の一つひとつはセキュリティレビューから見えず、保持期間のかぎり残り続け、誰のものでもありません。機械の認証情報は、重要なあらゆる軸で人のものより厄介です。寿命が長く、めったに変更されず、往々にして広い権限を持ち、漏れても誰も気づきません。

機械の認証情報のための四つの原則

1. 一つの認証情報に、一人の持ち主。 すべての API キーには、それが何のためのもので、どこまでの権限を持ち、最後に変更したのがいつかを言える、名前のついた人がいます。「チームの鍵」は、鍵が不死になる道筋です。
2. 読むこと自体が記録に残る場所へ。 プロンプトやリポジトリの中の鍵は、いつまでも黙って読まれます。追記のみの監査ログを持つ保管庫の中の鍵は、見える形で読まれます。「本番の鍵を誰がいつ持ち出したか」に、記録から答えられます。事故のあとの変更も、発掘作業ではなくチェックリストになります。
3. 権限を絞り、期限を書く。 エージェントに必要な最小の権限だけを発行し、期限または見直しの日付を秘密そのものの隣に記録してください。そうすれば、古い鍵は溜まらずに表に出てきます。
4. 一か所で取り消せるように。 エージェントを廃止するとき、あるいは想定外の動きをしたとき、それがどの認証情報を持っていたかを正確に把握し、数分で無効化できる状態にしてください。

当社があえて主張しないこと

現在の Keyvaci は、組織が所有する認証情報のための保管庫であり、機械の鍵もそこに含まれます。持ち主、権限、監査される表示、取り消し時の再暗号化を備えた項目として扱えます。一方で、短命なトークンをエージェントのプロセスに注入するランタイムのシークレットブローカーではありません。それは別の層のための別のツールであり、本格的にエージェント群を運用するチームは、いずれ両方を必要とするでしょう。保管庫がいま解決するのは、実際に多くの流出が始まる層です。つまり、鍵を作り、共有し、そして忘れていく人間の側です。長く使う秘密はベンダーにも読めない場所に置き、エージェントにはそれが開ける最小の権限だけを渡し、チャット履歴を掘り返さずに変更できるようにしてください。