ブログ

なぜ「マスターキー」という近道がエージェントAIを危険にさらすのか、そしてKNIMEが安全でスケーラブルなエージェントAIの構築をどう支援するのか。

エージェントAI（Agentic AI）は、データサイエンスの話題を独占しています。従来のソリューションとは異なり、これらのエージェントは環境と対話し、メールの起草、データベースのクエリ実行、レコードの更新などを自律的に行います。

しかし、この機能には死角があります。CodeWallによるMcKinseyの「Lilli」プラットフォームへの自律的な侵害が証明したように、AIシステムのセキュリティはバックエンドの安全性に依存します。完璧なLLMエージェントであっても、無制限のデータベースアクセスを持つべきではありません。AIが使用する認証情報（クレデンシャル）を保護しなければ、組織を危険にさらすことになります。

その一方で、これらのエージェントを機能させるには、内部システムへのアクセスが必要です。ここで摩擦が生じます。データサイエンスチームは多くの場合、「スピード（エージェントにすべてのアクセス権を与える）」か「セキュリティ（制限された認証情報を管理する）」のどちらかを選択しなければなりません。

この罠、広範なアクセスが非決定論的モデルにとって特に危険である理由、そしてAIエージェントの認証情報を安全に管理する方法について探ってみましょう。

AIエージェントのアクセス制御における「マスターキー」の罠

LLMのプロンプトやエージェントのツールを反復して開発する際、必要となるアクセス権限や「スコープ」は頻繁に変更されます。新しいトークンを生成するために開発の手を止めると進行の妨げになるため、開発者はしばしば、より狭く安全で特定のスコープを持つキーのセットの代わりに、単一の管理者APIキーやルートデータベース認証情報を使用することで、この手順を省略します。このように過剰なアクセス権を与えるとセキュリティに穴が開き、それが本番環境へのデプロイ後も残ってしまうことがあります。

これを「マスターキー」の罠と呼びましょう。

AIエージェントは非決定論的（結果が一定ではない）であり、プロンプトインジェクションの影響を受けやすい性質があります。マスターキーに依存している場合、1つの操作されたプロンプトがシステム全体を危険にさらします。攻撃者は機密の顧客記録を漏洩させるだけでなく、重要な本番テーブルを削除したり、不正な通信を送信したり、エージェントのコア指示を密かに書き換えて有害な戦略的アドバイスを提供させたりすることができます。

これらのアクションは「正当な認証情報」を使用するため、標準的なセキュリティアラートを引き起こすことなく実行されます。すべてが1つのアクセストークンを共有している場合、標的となった接続だけを無効にする方法はありません。脅威をシャットダウンするには、システム全体をシャットダウンするしかありません。

このアクセスを適切に制御することこそが、リスクを制御する唯一の方法です。

安全なAI開発における細かな権限設定（グラニュラー・パーミッション）の課題

「最小権限の原則」は、システムには必要な権限のみを正確に与えるべきであると定めています。しかし、使用するツールが頻繁に変更されるエージェントを構築する場合、これを管理するのは困難です。

開発中にツールやAPIを入れ替えるたびに新しい認証情報を生成する必要があるため、開発時間は何倍にも膨れ上がります。この時間のロスを避けるため、開発者はしばしばマスターキーを使った回避策に頼ってしまいます。これが起きると、組織のリスクは劇的に高まります。

役割ごとに実際どのような状況になるのか、以下の表で見てみましょう。

セキュリティがボトルネックになると、チームは作業を遅らせるか、安全でない回避策を見つけるかのどちらかになります。

KNIME Secret StoreによるAIのシークレット管理

マスターキーの罠から抜け出すために、組織には一元化された安全なVault（保管庫）が必要です。キーをハードコードしたり手動でファイルを共有したりする代わりに、Vaultを使用することで、管理者は一箇所で認証情報を更新できます。それらのトークンが変更またはローテーションされると、必要なツールやエージェントに自動的に渡され、厳格なガバナンスと包括的なログ記録が保証されます。

KNIME Business Hubの「Secret Store」は、Vaultとビジュアル実行環境を組み合わせることでこの問題を解決します。IT部門が求めるセキュリティと、開発部門が求めるスピードとのギャップを埋めるのです。

• 統制されたイテレーション： チーム管理者が一元化されたストアで認証情報を更新すると、ワークフローは即座にそれを引き継ぎます。IT部門を待ったり、ローカル環境変数を管理したりすることなく、エージェントのツールの反復開発を進めることができます。
• 視覚的な監査可能性： ワークフローが視覚的であるため、IT部門は認証情報がどこに渡されているか（例えば、特定のデータベースに渡された後、OpenAIノードに渡されるなど）を正確に把握でき、カスタムコードのブラックボックス化を排除できます。
• ハードコーディング・ゼロ： データベースにクエリを実行するには、「KNIME Hub Authenticator」ノードを「Secrets Retriever」ノードに接続します。実行時に暗号化されたフロー変数として認証情報を動的に取得し、実行後にそれらをクリアします。

安全なエージェントAIワークフローの構築を始めましょう

エージェントAIは引き続きビジネスの運営方法を変革していきますが、AIエージェントの安全性は、それが保持する認証情報の安全性に依存します。迅速な反復開発と厳格なセキュリティのどちらかを選ぶ必要はありません。

シークレット管理をビジュアル開発環境に直接持ち込むことで、マスターキーの罠から抜け出し、シークレットを一元化し、細かな権限設定の手間を省くことができます。データサイエンスチームがフルスピードで開発できるようにしながら、IT部門が必要とするガバナンスを提供しましょう。

KNIME Business Hub および セキュリティに関するお問い合わせ

KNIME Business Hubを利用した安全なデータパイプライン構築や、エンタープライズAIのガバナンス管理についてのご相談、デモンストレーションのご要望など、お気軽にお問い合わせください。