OIDFによるクロスボーダーで動作するAIエージェントの脅威モデルの公開

組織は、AIエージェントを識別し、その許可された行動を制御するために必要なシステムを構築するよりも速いペースで、AIエージェントを導入しています。

これが問題となる重要な局面の1つが、エージェントがセキュリティ境界を越えるときです。たとえば、あるプロバイダーでホストされているエージェントが、別のプロバイダーでホストされているツールやサービスを呼び出す必要がある場合があります。それぞれの側が、アイデンティティ、信頼、権限について独自のルールを持っています。

ここにギャップが生じ、エンジニアが近道をとる可能性があります。そして、その近道の中でセキュリティが破綻し得るのです。

この問題への対応を支援するため、OpenID FoundationのArtificial Intelligence Identity Managementコミュニティグループ(AIIM CG)は、新たな論文A Protocol-Agnostic Threat Classification for Cross-Boundary AI Agent Authorizationを公開しました。

SemperisのDirector of Product Managementであり、AI Threat Modeling Group(AIIM CGのサブグループ)の議長を務めるSarah Cecchetti氏は、次のように述べています。「組織は今後も常に、プラットフォームをまたいでAIエージェントを接続する必要があります。本論文は、エージェントがあるプラットフォームから別のプラットフォームへ越境する際に何が問題になり得るかを示しています。これは脅威モデルであり、解決策ではありません。私たちは、アーキテクト、セキュリティチーム、プラットフォームプロバイダー、標準化団体に共通の出発点を提供したいと考えました。これらの脅威を明確に名指しすることで、業界が相互運用性に向けて取り組む共通の理由を提供できればと考えています。本論文はベースラインであり、今後、認証、認可、緩和策のガイダンスに関する取り組みを通じて、これを発展させていく予定です。」

主な脅威

本論文は、すべてのエージェントのトラフィックを単一のゲートウェイが制御することは決してないと主張しています。主要なプロバイダーはそれぞれ独自の前提に基づいて独自のゲートウェイを運用しており、その役割を競合他社に委ねることはありません。本論文が特定する脅威は、どのプロトコルや仕様が使われるかにかかわらず、こうした境界を越えることから生じます。本論文は次の点を取り上げています。

• 実際にどのエージェントが行動しているのかを、どのように把握するか。
• 2つのドメインが、互いの鍵とアサーションを信頼することをどのように決定するか。
• エージェントが境界を越えた後、どのようにして誤ったリソースに対して行動してしまうか。
• あるドメインから別のドメインへ変換される際に、権限がどのように拡大され得るか。
• アクセス権が、付与された目的のタスクよりもどのようにして長く存続し得るか。
• 資格情報がどのように窃取され、再利用され得るか。

これらの脅威の多くはユーザーのフェデレーションでおなじみのものですが、エージェントはそれらをマシンの速度で引き起こします。本論文は、エージェントを人間のユーザーであるかのように扱うことが、これらすべてに共通する根本原因であると主張しています。

明確なアクション

アーキテクトは、自らのエージェントが越えるすべての信頼境界を洗い出すべきです。また、各識別子、スコープ、トークンが両側でどのような意味を持つのかを確認すべきです。セキュリティ責任者は、事後の検知に頼るのではなく、認可時点での制御に投資すべきです。標準化団体とプロバイダーは、相互運用性をセキュリティ制御として扱うべきです。

OpenID Foundationは、本論文に取り組んだAIIM CGのメンバー、とりわけThreat ModellingサブグループとTaxonomyサブグループに感謝します。本論文は、エージェントのアイデンティティと認可に関する次の段階の取り組みに向けて、コミュニティに明確で共通の基盤を提供するものです。

論文の全文はこちらからご覧いただけます。