[00:00:00] ロヒット・アグニホトリ:
機械のIDの数が人間のIDの数を82対1程度で上回るという統計を耳にしたことがある人も多いでしょう。確かに、管理しきれないほど多くの機械のIDが存在することは否定できません。これは紛れもない事実です。
[00:00:12] ロブ・A:
ロヒット・アグニホトリは、20年近くにわたり、組織がアイデンティティについて再考するのを支援してきました。彼は、IAMプログラムの構築と主導から、経営幹部への戦略アドバイスまで、アイデンティティを大規模に展開し、それに見合う注目を集めるために何が必要かを熟知しています。
[00:00:25] ロブ・A:
彼はまた、広く聴かれているポッドキャスト「Identity Navigator」の創設者兼ホストでもある。
[00:00:30] ロヒット・アグニホトリ:
私たちは皆、城と堀の建築様式について耳にしてきましたが、その後、アイデンティティが新たな境界線へと発展しました。しかし、アイデンティティは新たな境界線ではありません。それは常に、堀や城の建築様式を超えて進化してきた意思決定制御平面だったのです。
[00:00:42] ロイ・A.:
特権という言葉は、この問いに答えるどころか、私たちが直面している新たな現実を制御する上でも、もはや役に立たなくなっている。アイデンティティは単なる運用上の問題ではなく、セキュリティ上の問題なのだ。そして、ほとんどのチームはリアルタイムでその解決策を見つけ出そうとしている。
[00:00:56] ロブ・A:
このポッドキャストでは、アイデンティティセキュリティの意味を逆算的に探り、内部からアイデンティティセキュリティを構築、修正、再考している人々について率直な会話をお届けします。
[00:01:07] ロイ・A.:
私はロイ・アッカーマンです。
[00:01:08] ロブ・A:
ロブ・アインスコウです。
[00:01:09] ロイ・A.:
始めましょう。
[00:01:10] ロブ・A:
やってみましょう。
[00:01:17] ロブ・A:
本日は、アイデンティティ・ナビゲーターのロヒットさんをお迎えしました。番組にご出演いただき、大変光栄です。まずは、少し背景についてお聞かせいただけますか？誰もがそれぞれのアイデンティティの旅路を歩んでいます。そして、ロヒットさんの旅路は非常に興味深いものなので、その道のりについてお話を聞かせていただけると嬉しいです。
[00:01:34] ロヒット・アグニホトリ:
ご招待ありがとうございます。ここに来られてとても嬉しいです。ええと、私のアイデンティティの旅は、正直言って他の人たちの旅ほど劇的ではありません。大学を卒業してすぐに仕事に就きました。それは、クールな仕事でした。バックエンドシステムなどのコードを書いていました。すぐに単調になってしまいました。コーディングは好きでしたが、その後、大学の先輩の一人がスタートアップで働くことでもっと高い給料をもらえると申し出てくれました。
[00:02:11] ロヒット・アグニホトリ:
そして、私の技術リーダーの一人が、Oracle Identity Federationという古いツールを使ってシングルサインオンを実装する方法を教えてくれました。
[00:02:19] ロブ・A:
ああすごい
[00:02:19] ロヒット・アグニホトリ:
そして、シングルサインオンは、私にとってまさに魔法のような体験でした。企業の認証情報を使って別のシステムにログインできるなんて、パスワードを入力する必要すらなかったんですから。
[00:02:29] ロヒット・アグニホトリ:
それで、アイデンティティに興味を持つようになったんです。それから、まあ、それに没頭し続けました。それなりにうまくできるようになって、それから、金銭的な報酬や称賛が舞い込んでくるようになってから、本当にアイデンティティを愛するようになったんです。もちろん、それだけではありませんが、まあ、それが大体私のアイデンティティ探求の道のりです。
[00:02:49] ロブ・A:
そこからアイデンティティへと話題が移り、アイデンティティを愛することを学ぶという、典型的な流れになりました。私たちはリサーチをしていました。このポッドキャストで話せる重要なこと、つまり視聴者が聞きたがるようなことは何だろうかと考えていました。そして、あなたが最近のポッドキャストで話していた特権アクセス管理が、まさに現実のものとなったのです。
[00:03:07] ロブ・A:
アイデンティティ管理の中でも、最も興味深く、おそらく最も恐れられている分野の一つと言えるでしょう。私自身も、この分野に携わっていた当時は確かに恐れていました。特権アクセス管理について、もう少し詳しく説明していただけますか？今後どのような方向に向かうのでしょうか？その本質とは何でしょうか？将来の課題にどのように対処していくのでしょうか？
[00:03:24] ロヒット・アグニホトリ:
まさにその通りです。そして、私は今、この分野が本当に魅力的だと感じています。それは、私たち全員が知っているように、このプライマリが王国の鍵を保管しているため、それを保管し、それを防いでいるからというだけではありません。しかしそれ以上に、この分野がどのように進化しているかが本当に私を魅了します。どの研究を見るかによって異なりますが、機械のアイデンティティが人間のアイデンティティを82対1程度または144対1程度上回るという統計を、私たち全員が耳にしたことがあるでしょう。
[00:03:52] ロヒット・アグニホトリ:
しかし、ここで否定できない事実が一つあります。それは、管理すべきマシンIDが多すぎるということです。これは紛れもない事実です。また、これらの認証情報をすべて保管するのは論理的ではないこともわかっています。なぜなら、A、ライセンス費用が高すぎるからです。そしてB、これらのID自体は非常に非決定論的な性質を持っているため、何かが起動してその役割を果たした後、存在しなくなった場合、一体何を保管していることになるのでしょうか？
[00:04:19] ロヒット・アグニホトリ:
そして、私たちが特定した3つ目の問題は、これらの保管庫に保管されているすべての認証情報に対して行わなければならないアクセス審査です。これは誰にとっても楽しい作業ではなく、IDおよびアクセス管理チームにとって多くの悪い評価や悪評につながります。ですから、こうした状況を踏まえ、より安全で安心できるものへと移行する必要があったのです。
[00:04:40] ロヒット・アグニホトリ:
皆さんもご存知の通り、こうした認証情報や既存の権限は、企業における最大の攻撃経路ではないにしても、間違いなく主要な攻撃経路の一つです。誰もが、システム内を縦横に、あるいは水平方向に移動しようとする際、こうした攻撃者は皆、悪用できる未使用の認証情報を探し出し、それに基づいて権限昇格を行おうとします。
[00:05:06] ロヒット・アグニホトリ:
そこで、いくつか問題点が明らかになりました。これだけの数のIDに対してアクセス審査を行うのは現実的ではありません。これを管理しようとすると、ライセンス管理が非常に面倒になります。常時有効な権限設定も機能せず、誰もが活用できるIDを探しています。これが私たちが目指している方向性であり、皆さんも既に耳にしているでしょう。
[00:05:23] ロヒット・アグニホトリ:
もはや新しい概念ではありませんが、業界全体がまず、保管庫方式からジャストインタイム方式へ、そして理想的にはジャストインタイム方式からスタンディング権限ゼロへと移行しようとしています。そうすることで、私たちの抱える多くの問題が解決されます。さらに、エージェント型AIの導入により、意思決定制御プレーン自体が変化するという新たな局面を迎えています。
[00:05:47] ロヒット・アグニホトリ:
世の中には良いことがたくさん起こっていて、この分野が今後数年間でどのように発展していくのか、非常に興味深く見守っています。
[00:05:53] ロイ・A.:
あのポッドキャストのタイトル、かなり大胆だったよね？「PAMは死んだ」とか、そんな感じだったと思うんだけど。それで、一体何を伝えようとしているの？従来のPAMのやり方では、新しい現実に対応できないってこと？
[00:06:10] ロイ・A.:
何が変わったのですか？あるいは、あなたが現実を直視する上で重要な判断基準となった点は何ですか？
[00:06:14] ロヒット・アグニホトリ:
それで、A、私はボリウッド映画を見て育ちました。感動的な映画やドラマチックな作品が大好きなんです。ドラマ映画が大好きですよね？だから、ポッドキャストのエピソードにちょっとドラマチックなタイトルをつける癖があるんです。でも、PAM、もし私たちが…
[00:06:29] ロヒット・アグニホトリ:
過去何年もやってきたように、ドメイン認証情報を保管庫に保管し、すべてを保管庫に保管しようとし、保管庫に保管された認証情報の数だけで成功を判断するようなやり方を続けると、うまくいきません。そして、そのモデル、あるいはその唯一のモデルは間違いなく時代遅れだと思います。例を挙げましょうか？
[00:06:49] ロヒット・アグニホトリ:
非人間的なアイデンティティ管理について話すときも、業界の誰もがそれについて話していますが、分類しようとしたり、あまりにも多くの命名法を適用しようとしています。これはアイデンティティA、これはアイデンティティB、これはアイデンティティCです。今、開発者である私は、MFAを常に求められています。
[00:07:08] ロヒット・アグニホトリ:
サービスアカウントを作成する場合、定義上、サービスアカウントにはMFAが設定されていない可能性があります。つまり、制御を無効にしたことになります。サービスアカウントなのでMFAは不要になり、そのIDをチーム全体で共有できます。そして、誰もプロンプトを表示しません。このように、古いPAMモデルから派生したショートカットのようなものがあり、私たちはもっと賢く、あるいはもっと意図的に対応する必要があると言えるでしょう。
[00:07:35] ロヒット・アグニホトリ:
だから、保管庫だけに焦点を当てないでください。属性ベースのID命名規則ではなく、行動ベースのID命名規則に焦点を当ててください。ジャストインタイムとゼロスタンディング権限について考えてください。しかし、新しいPAMから生まれる最も重要なことは、認可プレーンの作成だと思いますよね？
[00:07:54] ロヒット・アグニホトリ:
アカウントブローカーやサービスブローカーでは、アカウントに直接アクセスすることはできません。それは単なるブローカー層、あるいは認証層として機能し、その間に挟み込まれるだけです。そして、新しいPAMはまさにこの方向に向かっているのだと思います。
[00:08:07] ロブ・A:
私も全く同じ考えです。というのも、PAMと言うときは、少し注意する必要があると思うからです。
[00:08:12] ロブ・A:
私が業界関係者と話していると、多くの人が「PAM＝金庫、金庫＝PAM」というように、飛躍した考え方をしているように思います。しかし、PAMは規律であり、リスク、リスク軽減、リスク封じ込め、リスク管理に関する規律です。そして、規律としてのPAMは決して廃れておらず、むしろエージェントが主流となる未来においては、これまで以上に重要になると考えています。
[00:08:40] ロブ・A:
しかし、それを企業でどのように適用するかという点においては、話は全く別ですよね？私は、その点で本当に苦労している人たちと話をしたことがあります。おそらく、多くの人がその実装や、それに伴うリスク管理に苦労するのは当然のことでしょう。ですから、おっしゃる通りだと思います。私たちはこれをきちんと理解しなければならないのですから。
[00:08:59] ロブ・A:
ええ。つまり、これは絶対にうまくやらなきゃいけないんです。この特権的なリスクをどう管理していくか、考え出さなきゃいけないんです。
[00:09:03] ロイ・A.:
皆さん、セキュリティ管理のポイントを、誰が金庫にアクセスできるのか、そして金庫にアクセスできるなら、彼らが好きなことを何でもできると信頼していい、つまり彼らがアクセスできる鍵は何でも、という点から、別の場所に移したということですよね？
[00:09:17] ロイ・A.:
それがリアルタイムに近いのか、それとも何か別のものなのかは分かりませんが、間違いなくどこか別の場所で行われているはずです。なぜなら、あなたは今、これを機械に対しても行う必要があることに気づいたからです。
[00:09:24] ロヒット・アグニホトリ:
実務者として、私たちは非常に意図的かつ賢明でなければならず、リスクを最も低減できるものを見極める必要があります。ロブがおっしゃったように、PAMを実施することはここでは目的ではありません。
[00:09:34] ロヒット・アグニホトリ:
リスクを軽減することは客観的な目標であり、それを実現する手段は何であれ正しい答えである。
[00:09:39] ロブ・A:
これはツールで解決できる問題ではないですよね？リスクを抑制するための規律であり、人間、非人間、エージェントなど、さまざまな側面が関わってきます。考慮すべき点が多々あるということです。
[00:09:50] ロブ・A:
でも、ロヒット、君は以前にも話していたと思うけど、結果が重要だよね。結果こそが重要なんだ。ビジネスにとって本当に大切なものをどう守るかが鍵なんだ。
[00:10:01] ロイ・A.:
ロブが今言ったことを聞くと、あなたの組織のAIエージェントはどれほど特権的な立場にあるのか疑問に思います。金融や医療など、非常に高度な分野を扱っているわけですから。
[00:10:12] ロイ・A.:
つまり、データは非常に機密性が高いということです。インフラストラクチャは非常に複雑ですが、進歩する必要があります。彼らはどれほど特権を持っているのでしょうか？
[00:10:20] ロヒット・アグニホトリ:
それは素晴らしい質問ですが、実際には答えるのがほぼ不可能ですよね？というのも、私がこれまで働いてきたどの会社でも、「特権」の定義が常に大きく異なっていたからです。ですから、私が役員との会議に出席するたびに、この会社でも、以前の会社でも、その前の会社でも、コンサルタントをしていた時でさえ、皆が「特権とは何か定義してください」と言ってきたのです。
[00:10:39] ロヒット・アグニホトリ:
そして、これに当てはまる答えは一つではないので、誰もがそれぞれ独自のやり方で特権を定義していました。ですから、私たちのアイデンティティやエージェントが実際にどれほど特権的なのかという問いに答えるのは、私にとって非常に難しい質問です。私はまた、自分のエージェントが何ができるのかにも注目しています。それが第一です。しかし最も重要なのは、自分のエージェントが今この瞬間に何かをしていることを、私がどれほど認識しているかということです。
[00:11:02] ロイ・A.:
特権という言葉は、この質問に答える上で、ましてや私たちが置かれている新しい現実を制御する上で、もはや役に立たなくなっています。つまり、AIエージェントに関しては、特権と結果の間には距離があるということですよね？そして、お二人とも質問に答えてくださったと思います。つまり、私はこれをセキュリティの観点から見ていますが、彼らがどれほど特権を持っているかを問うのは正しい質問ではなく、ビジネス成果に関して、あるいはビジネス成果に到達しようと努力する際に、彼らがどれほど自由であるかを問うべきなのです。
[00:11:37] ロイ・A.:
つまり、手段はもはや重要ではなく、結果が重要になるということだ。だから、結果をコントロールしたい。結果はリスクであり、リスクは結果である。
[00:11:45] ロブ・A:
そして、突き詰めて考えると、これは本当に難しい問題です。なぜなら、私の考えでは、世の中には非常に不安定なアイデンティティの基盤があり、エージェントができるようなことに非常に脆弱だと思うからです。
[00:12:01] ロブ・A:
昨年Anthropicが話していたことから、エージェントは乗っ取られて偵察活動に利用され、身分を利用して悪質な目的を達成できることは既に分かっていますよね？そういうことは既に存在していて、それはMythosや今年の様々な展開よりもずっと前の話です。だからこそ、余計に恐ろしいのかもしれませんね。
[00:12:18] ロブ・A:
私たちがそれを知っていることを踏まえると、おそらく私たちが誇りに思っていないアイデンティティに関する何が本当に明らかになるのでしょうか？なぜなら、私たちはNHIをまるで新しいもの、新しい問題であるかのように話していますが、実際にはさまざまな形式で15年、20年も前から存在しているからです。クラウドへの移行はおそらくそのプロセスを加速させたのでしょう。
[00:12:38] ロブ・A:
NHI（国民健康保険）の件数はかなり多いですね。私たちは常に後手に回っているようなもので、エージェンシー（主体性）に関して私が真剣に考えているのは、アイデンティティにおける一種の負債のようなものが露呈する可能性があるということです。
[00:12:49] ロイ・A.:
初めてお話しした際に、あなたはアイデンティティやAIエージェントを従来とは異なる視点から捉える方法を持っているとおっしゃっていましたよね？
[00:12:55] ロイ・A.:
つまり、何らかの枠組みとなるような公式のようなものがあればいいのですが。もう少し詳しく説明していただけると大変ありがたいです。
[00:13:01] ロヒット・アグニホトリ:
つまり、これがその発端だったわけです。私たちが考えていたように、つまり、それについて考えたり話し合ったりする中で、特権を定義するという基準を確立しましたが、それは難しいこと、少なくともかなり主観的なことですよね？
[00:13:11] ロヒット・アグニホトリ:
そして次に、優れた研究があり、今日では多くのフレームワークが存在し、それぞれに多くの利点があることを踏まえて、どのようなタイプのエージェントを作成したいのか、インターンやオブザーバーエージェントのようなものを作成したいのか、チャットボットを作成したいのか、といった点に移りました。
[00:13:26] ロヒット・アグニホトリ:
上級エンジニア、主任エンジニア、あるいはCEOのような振る舞いをするエージェントを作成したいですか？そうすれば、それぞれのペルソナに関連するリスク許容度が分かります。主任エンジニアに関連付けたエージェントは、上級エンジニアやインターンよりもはるかに大きな損害を与える可能性がありますよね？
[00:13:45] ロヒット・アグニホトリ:
そして、その論理にも欠陥があります。私たちは人間の概念をエージェントにも適用しようとしているのです。つまり、私たちは皆、自由意志を持っていると信じたがりますが、実際に持っている人もいるかもしれませんが、全員ではありません。私たちは全体として、パターンや行動に強く影響される人間です。
[00:14:05] ロヒット・アグニホトリ:
ロブ、インスタグラムみたいに、たとえ教えてくれなくても、次に何を買うかを予測できる可能性があるよね？君のスケジュールを数年分見れば、コーヒーを飲みに出かける時間や散歩に出かける時間を正確に言い当てられるかもしれないよ。
[00:14:21] ロヒット・アグニホトリ:
つまり、私たちは本来とても予測可能な存在ですよね？そして、罪悪感や恥、雇用されたいという欲求といった人間の感情も持ち合わせています。エージェントはそういう点で自由です。罪悪感も恥もありません。仕事を続ける必要もありません。彼らは本来予測不可能な存在です。そして時には、それは非常にブラックボックスのようなもので、エージェントが何をするのかを確実に言うことはできません。
[00:14:47] ロヒット・アグニホトリ:
それは、私たちがこれまで考えたこともなかったようなツールや経路を組み合わせることができるのです。つまり、この不確実性はそこから生じているのです。そして、私が提唱したアイデンティティ不確実性の原理は、まさにそこから生まれたものだと私は考えています。これは基本的に、エージェント型AIセキュリティの根本法則です。
[00:15:06] ロヒット・アグニホトリ:
本質的には非常に単純なことです。つまり、エージェントの自律性が高まるにつれて、それが最初に設定したエージェントと同一であるという確実性は指数関数的に減少するということです。つまり、エージェントの自律性が高まるほど、それが最初に設定したエージェントと同一であるという確実性は低下していくということです。これは単純に反比例の関係です。
[00:15:29] ロヒット・アグニホトリ:
そしてそれに対抗するためには、より多くの管理策を講じる必要があります。動的なリスクスコアリングを特定する必要があります。行動分析を特定する必要がありますが、その行動分析は人間の行動分析とは大きく異なります。しかし、私がアイデンティティの不確実性の原則から話していたのはまさにこの点です。これを見てください。
[00:15:48] ロヒット・アグニホトリ:
エージェントが何をしているか100%確信できるのであれば、そもそもエージェントは必要ないかもしれません。LLMモデルを使用した非常に高度なRPAスクリプトを導入するだけで済むかもしれませんが、それには莫大な費用がかかるでしょう。これがアイデンティティ不確実性の原理の由来です。つまり、エージェントの自律性が高まるにつれて、確実性は低下していくということです。
[00:16:10] ロブ・A:
そして、それは単なる終着点ではなく、アイデンティティの不確実性の増大という長期的な傾向の終着点のように感じられるのではないでしょうか。それは、NHIを通じて表現され、現在ではエージェント制へと発展しています。長期的な傾向のように感じられますよね？
[00:16:29] ロブ・A:
これは止まらない。変わらない。これは、我々防衛者にとって、対処しなければならない新たな現実なのだ。そうだろう？
[00:16:36] ロヒット・アグニホトリ:
それは全くその通りだよ、ロブ。そして、私は異議を唱えられたんだ。この原則を思いついたとき、多くのアイデンティティ専門家とピアレビューを試みたんだけど、彼らは非常に正当な疑問を抱いていたんだ。
[00:16:46] ロヒット・アグニホトリ:
これって人間と何が違うの？私たちは会社に長く勤めていて、権限を蓄積していく。だからこそ、資格認定とかそういうものが存在するんだ。それに、私自身が悪意を持っている可能性もある。だからこそ、私がやってはいけないことをしていないかを確認するために、内部脅威対策チームが活動しているんだ。
[00:17:05] ロヒット・アグニホトリ:
しかし、違いはエージェントが機能できる速度や規模だけではありませんよね？違いは、先ほど話した他のすべてにあります。つまり、彼らには恥の意識がなく、罪悪感もありません。彼らは経路を特定できます。ですから、速度や規模だけの問題ではありません。他にも違いがあるのです。
[00:17:21] ロヒット・アグニホトリ:
エージェントが暴走しても、法的な影響はないかもしれません。エージェントの所有者であるロブさんには法的な影響があるかもしれませんが、エージェント自体には影響はないですよね？ ええ。つまり、そこが人間の概念と非人間の概念との違いなのです。
[00:17:34] ロブ・A:
でも、それは興味深いですね。私たちは、そのことについて話しましたよね？
[00:17:37] ロブ・A:
PAMと保管庫、そして私たちが作成するゲームについて、また後で話しましょうか？あなたの認証情報を保管庫に入れます。邪魔になるようにします。毎日使うのが少し面倒になるようにします。代わりに、私がアクセスできるサービスアカウント、つまり認証情報を持っているアカウントを使用します。
[00:17:51] ロブ・A:
すべては目標追求行動です。結局のところ、人間であれエージェントであれ、仕事をやり遂げたいと思っていて、そのためには創意工夫を凝らすでしょう。でも、私にとって、そしてあなたの見解もぜひ聞きたいのですが、これらすべては、アイデンティティ、何が重要なのか、そしてそれが何のために存在するのかについての新たな考え方につながると思うのです。
[00:18:10] ロイ・A.:
皆さんが、非決定論的なものの行動面に対するミクロな可視性を使用する新しい方法を説明している間、あるいは、よく作られているが頻繁に変更されるNHIのようなものについて、セキュリティの観点から、どのようにそれを破るかを考えようとします。そして、最初に思い浮かぶのは、行動を解明することです。
[00:18:36] ロイ・A.:
制御ポイントや可視ポイントがいくつかあり、途中のいくつかの試行によって、この特定の動作が何を意味するのか、出力は何になるのか、あるいは複数の出力になるのかを高い確信度で知ることができますよね？しかし、攻撃者はあなたの現実認識システムや洞察システムよりも速く行動する可能性があります。それが悪意のあるものなのか正当なものなのか、点と点をつなぎ合わせるまで、私はここに留まります。
[00:19:02] ロイ・A.:
自分の仕事を終えたら、帰ります。つまり、可視性に関する壊れた PAM を、私たち、あなた、あなたが解決したということです。あなたは行動スタブ、つまり可視性ポイントに焦点を移しましたが、次はどうしますか? PAM はあなたのアクセス権を取り消す可能性があります。Count は... PAM があなたを密告して、「ああ、ええと、誰かが、ええと、ええと、何だかわかりませんが、金庫へのアクセスを侵害しました」と言う可能性があります。
[00:19:25] ロイ・A.:
「じゃあ、えーと、ローテーションをやろう。あれこれやってみよう。」この行動が悪意のあるものになった場合、皆さんはどうするつもりですか？
[00:19:31] ロブ・A:
私にとって、それは本当に興味深いと思うのですが、私たちが... 皆さんも、インシデント対応のような状況をたくさん見てきましたよね？そして、SOC チームが対応しているのを見ると、何が起こったのかよくわからないため、クレジットを一括リセットするという、いわばハンマーのようなアプローチをよく見かけます。
[00:19:48] ロブ・A:
行動に関する洞察が得られたのは素晴らしいですね。ええ。でも、それで何が問題なのでしょうか？何が邪魔になっているのでしょうか？マーティン・サンドリンはそれをスピードバンプと呼んでいました。邪魔になっているスピードバンプとは何でしょうか？ええ。ええ。そうですね。それは本当に良い考え方です。しかし、特に本当に重要な特権アクセス領域では、もっと積極的に行動する必要があります。
[00:20:05] ロヒット・アグニホトリ:
それは素晴らしい言い方でしたね。それで、あなたは「その状況で私に何ができるだろうか？」と尋ねました。だから、履歴書を磨き上げます。それが第一です。
[00:20:16] ロヒット・アグニホトリ:
しかし最も重要なのは、そこがまさに…そして、テクノロジーが進化し始めたところだと思います。だからこそ、共有シグナルフレームワークや継続的アクセス評価プロトコル、あるいはパラダイムが存在するのです。つまり、こうしたものがあるということです。したがって、エージェントAIセキュリティ、特にエージェントが高度に自律的な性質を持つ場合、セッションベースでは実現できません。
[00:20:36] ロヒット・アグニホトリ:
例えば、従業員が解雇されたり、契約解除されたり、不正行為で罰金を科されたりした場合、セッションベースで処理が行われます。トークンを失効させます。トークンは、例えば15分、30分、または1時間有効で、その間にセッションが存続します。エージェントはその間に多くの損害を与えることができます。
[00:20:55] ロヒット・アグニホトリ:
だからこそ、エコシステム内のすべてのエージェントに対して、大きな赤いキルスイッチを用意する必要があるのです。
[00:20:59] ロブ・A:
私にとって重要なのは、アイデンティティが原動力であるという考え方を持つことだと思います。そして、その側面に基づいて行動する能力が必要です。キルスイッチを持つ能力が必要なのです。
[00:21:11] ロイ・A.:
つまり、セッションを壊してしまうので、Vault はアクセスしたりセッションを開始したりする方法ではなくなり、すべてのアクションを拡大鏡で監視し、おそらくアクセス権限の決定を毎回ほんの一瞬で何度も繰り返すことになるでしょう。
[00:21:31] ロイ・A.:
セキュリティ担当者として、私は懸念を抱いています。つまり、ハッキングの観点から言えば、これはIAM全般に新たな現実をもたらすということです。つまり、ロヒットさん、もし今、チームのポジションの採用をする場合、すでにAIエージェントの大規模な導入に直面しているとしたら、技術面や考え方の面で、私たちが求める最高の資質は何になるのでしょうか？
[00:21:56] ロヒット・アグニホトリ:
私にとって一番大切なのは、第一原理思考だと思うんです。問題を最も基本的な構成要素に分解して、そこから考えていくことができるか、ということですよね。世の中には膨大な情報があふれていますが、誤情報があるとは言えません。なぜなら、私たち全員が情報から学んでいる最中だからです。私が今言っていることは、半年後には全く間違っている可能性だってあります。
[00:22:16] ロヒット・アグニホトリ:
わからないですよね？だから、みんなで一緒に学んでいるんです。だから、それを分解して考えてみると、これが私がアイデンティティについて好きなところです。私が採用したいのは、第一原理思考ができる人です。エージェントを見て、それが本当に何を意味するのか説明できますか？このアイデンティティの不確実性の原理は、なぜ私にとって理にかなっているのでしょうか？
[00:22:32] ロヒット・アグニホトリ:
私がどんな職種で採用するにしても、学習能力の高さと第一原理思考力は、おそらく私が最も重視する2つの要素でしょう。
[00:22:39] ロブ・A:
全く同感です。私はこの仕事を10年間続けてきましたが、その間に脅威の状況は劇的に変化しました。エージェントが登場する以前の話ですよね？脅威の種類、懸念事項、そして私たちが目指していたことなど、あらゆる面で大きな変化があったため、柔軟性が必要だったのです。
[00:22:56] ロブ・A:
考え方を変えること、つまり、これまでとは違う視点で物事を考え、結果について考える好奇心を持つことが必要なのです。先ほどおっしゃったように。それは本当に役立つアドバイスだと思います。私たちが視聴者の皆さんに伝えたいのは、要点は何なのか、実践的なことは何なのか、ということです。これまでも何度も話してきましたからね。
[00:23:12] ロブ・A:
あなたは素晴らしい経験を共有してくださり、私たちはそれについて話し合ってきました。彼らはそこから何を得ることができるでしょうか？私たちが話し合った内容に基づいて、彼らは月曜日の朝、直面している課題に対して、どのように考え方を変え、行動を変えることができるでしょうか？
[00:23:25] ロヒット・アグニホトリ:
私は長い間開発者として働いていましたが、最近の開発の多くはブラックボックス的な抽象化になっています。
[00:23:31] ロヒット・アグニホトリ:
私はただ、これらの天才たちが作ったツールを使っているだけで、理解しようとしなくても使えるだけです。私たちはもう10年近く、「アイデンティティが新たな境界線だ」という考え方を使ってきましたよね？そして今、私たちはそれを乗り越え、エージェント型AIによってそれが真実ではないかもしれないと言い始めています。しかし、それは常に比喩だったということを理解しなければなりません。
[00:23:50] ロヒット・アグニホトリ:
それは決して真実ではなかったが、誰もそれを認めようとしなかった。なぜなら、上司や小切手に署名する人々にアイデンティティを売り込むのは、私たちにとってあまりにも簡単だったからだ。アイデンティティは決して境界ではなかった。意思決定制御プレーンは基本的に新しいネットワークだったのだ。そして、アイデンティティは最も強力なシグナルだった。
[00:24:10] ロヒット・アグニホトリ:
アイデンティティは、いわば跳ね橋のようなもので、意思決定のあり方に対する攻撃を実際に先導していたのだ。
[00:24:17] ロイ・A.:
プロセス面で卓越した成果を上げ、情報管理のプロフェッショナルになるためには、今こそ本腰を入れる時だと聞いています。あらゆる角度から見て、そうですよね？AIの卓越性と有効性、例えば企業とのプログラムなど、そういった点において、私たちは必要なのです。
[00:24:32] ロイ・A.:
アクセス権限付与に関する意思決定プロセスにおいては、IM（インスタントメッセージング）はより活発になり、よりリアルタイムに近い形で、セキュリティルームにおいてより重要な役割を担うようになるだろう。
[00:24:46] ロブ・A:
ロヒットさんのおっしゃることに付け加えたいのですが、私も全く同感です。それは世の中の人々にとって本当に素晴らしいアドバイスだと思います。
[00:24:53] ロブ・A:
これは難しい分野です。多くの人が、アイデンティティとは何か、その存在意義、組織にとっての役割について悩んでいます。本当に素晴らしいアドバイスだったと思います。
[00:25:03] ロイ・A.:
皆さん、そろそろ今日の番組の最後のパートに移りましょう。それでは、ロヒットに時間的なプレッシャーをかけながら、早口質問を投げかけていきましょう。
[00:25:13] ロブ・A:
全部で4つあります。では、まず1つ目は、アイデンティティに関する神話を1つ挙げてください。
[00:25:18] ロヒット・アグニホトリ:
アイデンティティが新たな境界線だというのは、私にとってずっと誤解でした。意思決定制御プレーンこそが真の意思決定が行われる場所であり、アイデンティティはその最も強力なシグナルです。ですから、スライドや会話の中でアイデンティティを使い続けても構いませんが、アーキテクチャに関しては、その違いを理解してください。アイデンティティは新たな境界線ではないのです。
[00:25:36] ロヒット・アグニホトリ:
堀と城郭といった建築様式を超えて進化したのは、常に意思決定制御プレーンだった。
[00:25:41] ロブ・A:
同感です。素晴らしい回答ですね。では、2つ目の質問に移りましょう。リーダーがよく間違える点は何でしょうか？
[00:25:47] ロヒット・アグニホトリ:
アイデンティティは後付けできるものではありません。もっと明確な意図が必要であり、多くの人がこのことを理解していると思いますが、アイデンティティチームをどのように巻き込むかという概念を理解していないのではないでしょうか？
[00:25:58] ロヒット・アグニホトリ:
そして、多くの企業が導入や適切なアーキテクチャの構築に苦労しているのは、アイデンティティ管理チームが参画するのが遅すぎたためだと私は考えています。
[00:26:07] ロブ・A:
全く同感です。次の質問は、さらに難しい質問だと思います。厳しい真実を一つ挙げるとしたら何でしょうか？
[00:26:12] ロヒット・アグニホトリ:
厳しい現実を一つ挙げるとすれば、それはエージェントが稼ぐ金額が多ければ多いほど、そのエージェントを早く解雇する準備をすべきだということだ。
[00:26:17] ロヒット・アグニホトリ:
自律性の問題ではない。そういうことではない… 会社のためにエージェントを作り始めて、それが収益を生み出し始めたら、収益が増えれば増えるほど、即座にそれを停止する準備をしておくべきだ、そうだろう？ それがエージェント型AIに傾倒する方法だ。
[00:26:32] ロブ・A:
AIアーキテクチャ。これは非常に重要な点だ。本当に重要な点だ。
[00:26:33] ロイ・A.:
もしよろしければ、次の写真を撮らせていただきたいのですが。
[00:26:35] ロイ・A.:
我が国
[00:26:35] ロブ・A:
いつもこれを盗むんだ。うん。
[00:26:36] ロイ・A.:
あなたが感じている、過剰に宣伝されている用語や考え方は何ですか？つまり、聞き飽きたし、おそらくそうではないと分かっているけれど、今はそれが流行り、トレンドになっている、ということですよね？
[00:26:50] ロヒット・アグニホトリ:
ここで私が言うことはかなり物議を醸すでしょうし、業界の友人たちを怒らせるかもしれませんね。非人間型アイデンティティ管理について、です。
[00:26:56] ロヒット・アグニホトリ:
それはあまりにも大きな概念なので、一つの概念にまとめるのは難しいと思います。人間以外の人が行うID管理プログラムはあり得ません。APIキーはエージェントとは全く異なる働きをしますし、OAuthトークンとも大きく異なります。つまり、私たちは本来単純ではない概念を過度に単純化しようとしているのです。
[00:27:14] ロイ・A.:
ええ。物事をまだ進化している段階で、あまりにも早く分類しようとするのは、まさに毒だと思います。全く同感です。ロヒットさん、素晴らしいゲストでいてくださりありがとうございました。この議論は本当に興味深く、きっと視聴者の皆さんも大いに楽しんでいただけたと思います。
[00:27:28] ロヒット・アグニホトリ:
皆さん、ありがとうございました。ここに来られて光栄でした。
[00:27:30] ロブ・A:
今回の「アイデンティティ・デコード」は以上です。
[00:27:33] ロイ・A.:
この会話を通して、個人情報保護に関する考え方が少しでも変わった場合は、同じような課題に取り組んでいる人にぜひ共有してください。
[00:27:39] ロブ・A:
見逃さないように番組をフォローしてください
[00:27:43] ロブ・A:
次の