AIエージェントも社員のように権限を使う — ESETレポートから考える「誰が説明責任を持つのか」
AIエージェントを業務に入れるとき、多くの会社が最初に聞くのは「何ができるのか」です。
しかし、2026年8月にラスベガスで開かれたセキュリティ会議「Black Hat USA 2026」では、問いがもう一歩先に進んでいました。
AIが何かを実行したとき、誰が説明責任を持つのか。
AIエージェントは、質問に答えるだけではありません。認証情報を使って業務システムへ入り、ツールを呼び出し、与えられた権限の範囲でメール送信、発注、データ更新などを実行します。
この記事では、Black Hat USA 2026の会議後に公開されたESETのレポートをもとに、この問題を整理します。そのうえで、日本企業が導入前に何を決めておくべきかを考えます。
Black Hat USA 2026で示された論点
2026年8月5日、Black Hat USA 2026の基調講演に、MicrosoftのDavid Weston氏（CVP of Agentic Security）が登壇しました。
演題は「The End of Rare: Defending When Offense Is Cheap（希少性の終わり — 攻撃が安くなったときに、どう守るか）」です。
Black Hatの公式発表とMicrosoftの事前ブログでは、この講演について、AIによって脆弱性の発見や攻撃コードの生成が容易になり、守る側が「見つかってから直す」方法では追いつきにくくなっていると説明されていました。
そのため、メモリ安全な言語、形式検証、修正の自動化など、問題が起きる前に備える対策へ移る必要があるとしています。
ここまでの内容は、いずれも会議前に公開された情報です。
次に、会議後に公開されたレポートを確認します。
AIエージェントも、認証して権限を使う
会議終了後の2026年8月12日、ESETのTony Anscombe氏が、Black Hat USA 2026を振り返るレポートを公開しました。
そのなかでAnscombe氏は、Weston氏の説明を要約しています。
要点を日本語で整理すると、次の内容です。
AIエージェントは、人間の従業員と同じように認証し、ツールを呼び出し、権限を継承する。一方で、それらを説明責任のあるものにするための監督、ポリシー、ガバナンスが伴っていない。
これはWeston氏の逐語的な発言ではなく、Anscombe氏による要約です。
ESETのレポートは、AIの進歩がセキュリティ上の統制より先に進んでいるという観点から、会議の内容を整理しています。
ただし、これはAnscombe氏による評価です。会議参加者全体の統一見解として発表されたものではありません。
「社員のように権限を使う」とは何か
ここでいう「社員のように権限を使う」とは、AIエージェントが人間と同じアカウントを使うという意味ではありません。
AIエージェントも認証情報を使ってシステムへ入り、与えられた権限の範囲で操作するという意味です。
たとえば、AIエージェントにメール送信を任せる場合、メールシステムへ接続するための認証情報と、メールを作成・送信する権限が必要です。
発注を任せるなら、購買システムへ接続する権限が必要になります。顧客情報を更新させるなら、対象データを読み書きする権限が必要です。
つまり、AIエージェントは単なる文章生成ツールではありません。
業務システムを操作する主体として、IDと権限の管理対象になります。
誰が説明責任を持つのか
AIエージェント自身に、組織上の責任を負わせることはできません。
そのため、少なくとも次の役割を事前に決める必要があります。
どの業務をAIへ任せるか決める業務責任者
AIエージェントのIDと権限を管理する技術管理者
重要な操作を承認する承認者
問題が起きたときに停止を判断する責任者
一人が複数の役割を担当する場合もあります。
重要なのは、役職を増やすことではありません。AIが実行した処理について、誰が説明し、誰が止め、誰が復旧させるのかを特定できる状態にすることです。
AIエージェント専用のIDを用意するだけでは、責任者までは決まりません。
専用IDと、そのIDに責任を持つ人をセットで管理する必要があります。
人のID管理を土台に、AI向けの統制を強化する
社員へ業務システムの権限を渡す場合、多くの企業では次のような管理を行っています。
職務に応じて権限を決める
権限の承認者を決める
実行した操作を記録する
異動や退職時に権限を停止する
AIエージェントでも、こうした既存のID管理を土台として利用できます。
ただし、人間向けの管理をそのまま転用すれば十分とは限りません。
AIエージェントは、複数の操作を短時間で連続して実行できます。また、人間が一つずつ画面を確認して操作する場合より、誤った処理の影響が広がる可能性があります。
そのため、AIエージェントについては、次の統制を追加・強化します。
人と区別できる専用IDを与える
業務上の責任者を決める
操作できる対象や件数、金額などの上限を決める
人の承認を挟む境目を決める
操作ログを残す
停止と復旧の手順を決める
要点は、AIを社員とまったく同じように扱うことではありません。
人のID管理を土台にして、AIの自動実行の速さと影響範囲に合わせて統制を強化することです。
なぜ日本企業にも関係するのか
この問題は、海外の大企業だけの話ではありません。
むしろ、AIエージェントの本番導入前だからこそ決めやすい内容です。
権限の範囲や承認の境目は、導入前であれば設計書や運用ルールの上で決められます。しかし、導入後に変更する場合は、すでに動いている業務を止めて設計し直すことになります。
また、日本企業では、システムの開発や運用を外部のベンダーと分担している場合があります。
外部へ任せること自体が問題なのではありません。
問題になるのは、業務を担当する企業側が「AIにどこまで実行させるか」を決めないまま、技術的な設計だけが進む場合です。
認証方式やシステム構成は技術側で設計できます。
一方で、AIに任せてよい業務の範囲、承認が必要な金額、利用してよいデータ、問題発生時に業務を止める条件は、業務側が判断すべき事項です。
ここを曖昧にしたまま導入すると、問題が起きたときに「誰が決めたのか」が分からなくなります。
導入前に試せる3つの対策
ここからは、ESETレポートの記述をそのまま紹介するものではありません。
ここまで確認した論点をもとに、筆者が日本企業向けに整理した実務上の提案です。
1．専用IDと責任者をセットで決める
AIエージェントには、人の共有アカウントを使わせず、専用のIDを与えます。
ただし、専用IDを作るだけでは十分ではありません。
そのIDについて、次の内容を管理します。
利用目的
業務上の責任者
技術上の管理者
利用できるシステム
与えている権限
利用期限
停止を判断できる人
誰が実行した処理かをログで区別でき、誰がそのIDに責任を持つかを説明できる状態にします。
2．AIに任せる範囲と、人が承認する境目を文書化する
AIエージェントへすべての工程を任せる必要はありません。
たとえば、メールであれば、下書きまではAIへ任せ、送信は人が承認する方法があります。
発注であれば、一定金額までは自動で実行し、それを超える場合は人の承認を必要とする方法が考えられます。
顧客情報の更新であれば、参照は自動で許可しても、削除や外部送信には承認を求める設計ができます。
重要なのは、どこに線を引くかだけではありません。
次の内容を、担当者が替わっても確認できる形で残すことです。
AIが自動で実行してよい操作
人の承認が必要な操作
利用してよいデータ
操作できる件数や金額の上限
実行してはいけない操作
例外を承認できる人
3．ログ、停止、復旧を一組で設計する
操作ログを残すだけでは、問題が発生したときに止められるとは限りません。
少なくとも、次の3点を一組で決めます。
誰が、いつ、何を実行したか確認できるログ
異常を検知したときにAIエージェントを停止する手順
停止後に業務を継続し、正常な状態へ戻す復旧手順
また、停止する権限を持つ人も事前に決めます。
AIエージェントを停止した結果、業務全体が止まる場合は、手作業へ切り替える方法や代替手順も必要です。
「止められる」だけではなく、止めたあとに業務をどう続けるかまで設計します。
まとめ
ESETのTony Anscombe氏によるレポートでは、MicrosoftのDavid Weston氏の説明が要約されています。
その要約によれば、AIエージェントは人間の従業員と同じように認証し、ツールを呼び出し、権限を継承する一方で、説明責任を持たせるための監督、ポリシー、ガバナンスが追いついていないとされています。
AIエージェントに権限を与えるとき、必要なのは、人とまったく同じ管理を適用することではありません。
人のID管理を土台にしながら、AIの自動性に合わせて、専用ID、責任者、操作範囲、人の承認、ログ、停止、復旧を追加・強化することです。
本番導入前であれば、これらは紙の上で決められます。
AIエージェントが動き始めてから責任の所在を探すのではなく、誰が許可し、どこまで任せ、どこで止めるのかを先に決めておく必要があります。
AIエージェントの権限・承認・記録・停止を含む社内の体制づくりについては、導入時の6つの問いのうち問い5で整理しています。あわせてどうぞ。→ https://note.com/genten_kei/n/n43315bcd8021
用語集
AIエージェント
指示を受けて、調査、判断、実行までを自ら進めるAI。質問に答えるだけでなく、外部のシステムやツールを操作することがあります。
Black Hat USA
米国ラスベガスで毎年開催されるセキュリティ会議。企業のセキュリティ担当者、研究者、政府機関などが参加します。
認証
システムに対して、自分が誰であるかを示し、利用を許可されるための仕組みです。
ツール呼び出し
AIが、外部システムや業務アプリの機能を実行することです。
権限の継承（inherit permissions）
あるアカウントに許可された操作範囲を、AIエージェントなどが引き継いで利用することです。
最小権限
業務に必要な範囲だけ権限を与える考え方です。
ログ
誰が、いつ、何を実行したかを残す記録です。
ガバナンス
誰が何をしてよいか、誰が承認するか、誰があとから確認するかを定めて運用することです。
特権ID
管理者権限など、通常より強い操作ができるアカウントです。
出典一覧
Black Hat公式プレスリリース（2026年7月16日・会議前）
https://blackhat.com/html/press/2026-07-16.html
Microsoft Security Blog（2026年7月17日・会議前）
ESET WeLiveSecurity「Black Hat USA 2026: AI is racing ahead of cybersecurity controls」（Tony Anscombe・2026年8月12日・会議後）
本記事はAI（Claude）を活用して執筆し、公開前に人間がレビューしています。
英語圏の一次情報は、記事になる前にXで頭出ししています
