SPIFFEはAIエージェントに暗号技術で検証できる身元を与えますが、認証済みエージェントが何にアクセスし、何を判断・変更できるかまでは決めません。InformationWeekの取材に応じたセキュリティ専門家は、自律型エージェントの導入時にSPIFFEと並行して認可とポリシー適用が必要だと述べています。SPIFFEはワークロードの身元を扱うオープン標準で、なりすましの防止に役立ちますが、エージェントの行動は制御しません。

SPIRE（SPIFFEランタイム環境）は、SPIFFE APIの本番運用向け実装です。ノードとワークロードを証明し、ワークロードが身元証明に使うSPIFFE検証可能ID文書（SVID）を発行します。SVIDはX.509証明書またはJWT形式の認証情報です。SPIREサーバーは設定済みの信頼ドメイン内でID発行を管理し、ワークロード登録情報と署名用データを保存します。また、ノード証明を通じてSPIREエージェントを認証し、エージェント経由でSVIDを発行します。SVID検証用の信頼バンドルも管理し、別々に設定された信頼ドメイン間の連携にも対応できます。特定されたワークロードに何を許可するかは、別の認可・ポリシー層が判断する必要があります。

IBMのソリューションアーキテクト、カルティク・カルナニティは、SPIFFEがエージェントの存在を確認してなりすましを防ぐため、エージェントが依頼を誤解した際の被害を防ぐ認可層が必要だと述べました。Huntress Labsのベン・バーンスタインは、制御を離れたエージェントへの懸念は過大だとし、組織には侵害されたサービスアカウントや暴走するスクリプトへの20年分の対応手順があると説明しました。バーンスタインは、役割ベースのアクセス制御（役割ごとに利用権限を割り当てる方式）、継続的な監視、テスト、サンドボックス化、レッドチーム演習、行動の検証を勧めています。また、導入当初は本番環境への書き込み権限を与えないよう提案しました。

NewCoreの共同創業者兼CTO、アミハイ・ナイダーマンは、個々のタスクを検討する前に基本権限を定めるよう勧めています。人や親エージェントの代理で動くエージェントに、作成者を超える権限を与えるべきではなく、IT部門や最高情報セキュリティ責任者（CISO）が制約を設けるべきだと述べました。制御策として、タスクに必要な範囲にアクセスを限定し、サブエージェントの権限を親エージェントより狭くし、割り当てられたタスクに合わない行動を遮断できます。機微なデータに触れた後に機能を制限する、時間や環境に応じて機密操作を制限する、セッションごとの問い合わせ数やツール呼び出し数に上限を設ける方法もあります。資金移動、記録削除、大規模なグループへのメッセージ送信などには、人間の承認を必須にできます。プロンプト内の指示は、こうした権限制御の代わりにはなりません。

Huntressのサイバーセキュリティアドバイザー、ウィル・バーカーは、システムプロンプトの「データを決して削除しないでください」という文言は提案にすぎず、制御策ではないと述べました。Open Worldwide Application Security Project Foundationは、行動の可否を言語モデルの判断に任せず、後段のシステムで認可を適用するよう助言しています。バーカーは、エージェントが迂回できないゲートウェイやAPIにOpen Policy Agentなどのポリシーツールを置くことを勧めました。さらに、ツールを停止し、処理待ちのタスクを取り消し、接続先システムへのアクセスを遮断しながら、行動記録を完全に保持する緊急停止機能も推奨しています。認証情報の更新を取り消すだけでは、稼働中のセッションが止まらない場合があります。

SiriusXMのスタッフソフトウェアエンジニア兼クラウドアーキテクト、ジャヤクマール・ラマリンガムは、制約を想定される被害の大きさと、行動を元に戻す難しさに応じて設計するよう述べました。影響が小さく簡単に取り消せる操作はエージェントに任せられますが、復旧にデータの復元、取引の照合、顧客への連絡が必要になる場合は、人間が判断すべきだとしています。DigiCertの上級副社長、ブライアン・トルゼペックは、継続的な監視と行動記録に加え、エージェントの即時停止や身元情報・権限の即時取り消しを勧めています。

ナイダーマンは、プロンプトインジェクションによる誘導、想定外の状況、指示の誤解でエージェントが誤動作する可能性もあると述べました。被害を抑えるため、対象を限定した短命トークンを使い、不正な行動の後は実行全体を終了してトークンを取り消すよう推奨しています。管理者用やネットワーク用ツールへの予期しない要求をセキュリティ上の兆候として扱い、割り当てられた目標からの逸脱を監視し、人間がエージェントを見守って中断・停止できる状態を保つことも提案しました。組織は事案と再発防止策を記録する必要があります。

SPIFFEはAIエージェントに暗号技術で検証できる身元を与えますが、認証済みエージェントが何にアクセスし、何を判断・変更できるかまでは決めません。InformationWeekの取材に応じたセキュリティ専門家は、自律型エージェントの導入時にSPIFFEと並行して認可とポリシー適用が必要だと述べています。SPIFFEはワークロードの身元を扱うオープン標準で、なりすましの防止に役立ちますが、エージェントの行動は制御しません。

SPIRE（SPIFFEランタイム環境）は、SPIFFE APIの本番運用向け実装です。ノードとワークロードを証明し、ワークロードが身元証明に使うSPIFFE検証可能ID文書（SVID）を発行します。SVIDはX.509証明書またはJWT形式の認証情報です。SPIREサーバーは設定済みの信頼ドメイン内でID発行を管理し、ワークロード登録情報と署名用データを保存します。また、ノード証明を通じてSPIREエージェントを認証し、エージェント経由でSVIDを発行します。SVID検証用の信頼バンドルも管理し、別々に設定された信頼ドメイン間の連携にも対応できます。特定されたワークロードに何を許可するかは、別の認可・ポリシー層が判断する必要があります。

IBMのソリューションアーキテクト、カルティク・カルナニティは、SPIFFEがエージェントの存在を確認してなりすましを防ぐため、エージェントが依頼を誤解した際の被害を防ぐ認可層が必要だと述べました。Huntress Labsのベン・バーンスタインは、制御を離れたエージェントへの懸念は過大だとし、組織には侵害されたサービスアカウントや暴走するスクリプトへの20年分の対応手順があると説明しました。バーンスタインは、役割ベースのアクセス制御（役割ごとに利用権限を割り当てる方式）、継続的な監視、テスト、サンドボックス化、レッドチーム演習、行動の検証を勧めています。また、導入当初は本番環境への書き込み権限を与えないよう提案しました。

NewCoreの共同創業者兼CTO、アミハイ・ナイダーマンは、個々のタスクを検討する前に基本権限を定めるよう勧めています。人や親エージェントの代理で動くエージェントに、作成者を超える権限を与えるべきではなく、IT部門や最高情報セキュリティ責任者（CISO）が制約を設けるべきだと述べました。制御策として、タスクに必要な範囲にアクセスを限定し、サブエージェントの権限を親エージェントより狭くし、割り当てられたタスクに合わない行動を遮断できます。機微なデータに触れた後に機能を制限する、時間や環境に応じて機密操作を制限する、セッションごとの問い合わせ数やツール呼び出し数に上限を設ける方法もあります。資金移動、記録削除、大規模なグループへのメッセージ送信などには、人間の承認を必須にできます。プロンプト内の指示は、こうした権限制御の代わりにはなりません。

Huntressのサイバーセキュリティアドバイザー、ウィル・バーカーは、システムプロンプトの「データを決して削除しないでください」という文言は提案にすぎず、制御策ではないと述べました。Open Worldwide Application Security Project Foundationは、行動の可否を言語モデルの判断に任せず、後段のシステムで認可を適用するよう助言しています。バーカーは、エージェントが迂回できないゲートウェイやAPIにOpen Policy Agentなどのポリシーツールを置くことを勧めました。さらに、ツールを停止し、処理待ちのタスクを取り消し、接続先システムへのアクセスを遮断しながら、行動記録を完全に保持する緊急停止機能も推奨しています。認証情報の更新を取り消すだけでは、稼働中のセッションが止まらない場合があります。

SiriusXMのスタッフソフトウェアエンジニア兼クラウドアーキテクト、ジャヤクマール・ラマリンガムは、制約を想定される被害の大きさと、行動を元に戻す難しさに応じて設計するよう述べました。影響が小さく簡単に取り消せる操作はエージェントに任せられますが、復旧にデータの復元、取引の照合、顧客への連絡が必要になる場合は、人間が判断すべきだとしています。DigiCertの上級副社長、ブライアン・トルゼペックは、継続的な監視と行動記録に加え、エージェントの即時停止や身元情報・権限の即時取り消しを勧めています。

ナイダーマンは、プロンプトインジェクションによる誘導、想定外の状況、指示の誤解でエージェントが誤動作する可能性もあると述べました。被害を抑えるため、対象を限定した短命トークンを使い、不正な行動の後は実行全体を終了してトークンを取り消すよう推奨しています。管理者用やネットワーク用ツールへの予期しない要求をセキュリティ上の兆候として扱い、割り当てられた目標からの逸脱を監視し、人間がエージェントを見守って中断・停止できる状態を保つことも提案しました。組織は事案と再発防止策を記録する必要があります。