社内でどのAIが何を読んでいるかは、一覧にまとまって初めて、止める判断にも投資の判断にも使えます。ところが担当者が退職してアカウントを止めても、その人が作ったAIエージェントは別のIDを持ったまま、社内の文書や顧客データを読み続けます。人単位で作った台帳には、このエージェントが1件も載りません。棚卸しをやり直せば、部署ごとのヒアリングに同じ工数がもう一度かかります。エージェントを数える単位は、人でなければ何なのでしょうか。

週次のバックアップを動かしているのは誰か

夜間バッチや週次のバックアップを実行しているのは、社員ではありません。クラウド上のロールやサービスアカウントです。誰の入社とも退職とも関係なく、決まった時刻に起動します。

この種のアカウントを、OWASPのNon-Human Identities Top 10（2025）は非人間IDと呼びます。人がパスワードでログインするのと同じように、アプリケーションが資格情報を使って認証するもの、と説明しています。APIキーもサービスアカウントもここに入ります。

非人間IDはAIの登場で生まれた概念ではありません。変わったのは数と作られ方です。IAMロールは情報システム部門が1つずつ作りますが、エージェントは業務部門の担当者が管理画面から数分で作ります。

AIの利用実態を聞いて回ると、回答は人が使うツールの名前で返ってきます。バッチを自分の利用として申告する人はいません。台帳の1列目が「利用者の氏名」から始まっていると、そもそも書く欄がないからです。

エージェントが自分の身元を持たないと何が起きるか

OWASP GenAI Security Projectは2025年12月9日、100名を超える研究者と実務家が参加したOWASP Top 10 for Agentic Applicationsを公開しました。その3番目がIdentity and Privilege Abuse（ASI03）です。原文は、この危険が人を中心に作られたID管理とエージェントの設計との構造的な食い違いから生じると説明しています。

統治された固有の身元を持たないエージェントは帰属の空白の中で動き、最小権限を強制できなくなる、と原文は続けます。例のひとつがIdentity Sharingです。エージェントは作成者の権限でシステムに入り、その後は他の利用者が同じIDを暗黙のうちに使えてしまう、とOWASPは記しています。

ここで壊れるのは、ログの読み方です。誰が何をしたかを人の名前で追うと、操作はすべて作成者の名前で並びます。監査で「この日この時刻に顧客データを読んだのは誰か」と問われて、答えが一人の退職者に収束します。

使わなくなった非人間IDを止め損ねる問題は、OWASPのNon-Human Identities Top 10でも1番目に置かれています。止め損ねた1件が読める範囲は、その作成者が業務で見ていた範囲と同じ広さです。

作成者が辞めたあと、エージェントは誰のものになるか

この穴を製品側でふさいでいるベンダーもあります。Microsoftのドキュメントによると、Copilot StudioでAIエージェントが作られるたびにEntraのテナントに識別子が作られ、作成した利用者がスポンサーとして記録されます。エージェントはそのIDでSharePointやDataverseに接続します。

人のアカウントと、エージェントのIDは別のオブジェクトです。だから退職処理で人のアカウントを無効にしても、エージェントのIDは残ります。Microsoftはここを運用でふさぎ、スポンサーが組織を離れる場合はエージェントIDのスポンサーが自動的に上長へ移る、と説明しています。

ただし、この自動移管が走るのは、Entraにエージェントとして登録されているものだけです。台帳にも載っていないエージェントには、移す先がそもそもありません。

同じ死角はネットワーク監視にもあります。社内の監視は生成AIのAPIへの通信を捉えますが、SaaSの内側でCRMを読むエージェントは、その通信に現れません。

「うちはCopilot StudioもAgentforceも導入していないので関係ない」という読み方もできます。契約中のSaaSにエージェントを作る機能がなければ、この行はまだ発生しません。確かめる先は製品名ではなく、いま契約中の管理画面にエージェントを作成する項目が増えていないかどうかです。

台帳の行を非人間IDに置き換える

棚卸しを検知ツールより先に置くことも、記載項目をNISTの例示に沿って決めることも、行が人単位のままで成立します。行の単位を変えると、埋める相手が変わります。業務部門へのヒアリングだけでは埋まらず、情報システム部門の管理画面を開くことになります。

行を非人間IDにすると、埋める作業は3つです。

1. IdPの非人間IDの一覧を、人のアカウント一覧とは別に出す。サービスアカウント、アプリケーション登録、エージェントIDがここに並びます。
2. 契約中のSaaSの管理画面で、エージェントを作成する機能が有効か、誰が作れる設定かを見る。
3. 各行に、責任を持つ人間の名前と、止める条件、その人が退職したときの移管先を書く。

3つ目が一番時間を食います。1つ目と2つ目は一覧を出すだけですが、責任者の欄は、誰かがその名前を引き受けるまで空欄のままだからです。

非人間IDを数え切っても、そのエージェントの出力が正しいことも、規制に適合していることも保証されません。台帳が示すのは、何が何に触れるかまでです。

社員が個人のブラウザで対話型AIに社内文書を貼る使い方は、非人間IDにはまったく現れません。この経路は従来どおり、人単位の棚卸しと入力ルールで見ることになります。行を置き換えるのではなく、行を2種類持つのが実際の形です。

バッチを動かすロールは、情報システム部門が意図して作るので、作った理由も権限も設定に残ります。追いにくいのは、業務部門の誰かが管理画面から3分で作って、そのまま忘れたほうです。その3分をどこまで自由にしておくかは、いま何件動いているかを数えてからでないと決められません。

参考・一次ソース

• OWASP Top 10 for Agentic Applications 2026（OWASP GenAI Security Project、ASI03 Identity and Privilege Abuse）
• OWASP Non-Human Identities Top 10（2025、NHI1 Improper Offboarding）
• What are agent identities?（Microsoft Learn、Microsoft Entra Agent ID）
• Governing Agent Identities（Microsoft Learn、Microsoft Entra ID Governance）

■お問い合わせ

社内の非人間IDの一覧を出すところや、行ごとに責任者と停止条件、退職時の移管先を決める作業に手が回らないときは、アハクラフトにご相談ください。

お問い合わせ