Claude Codeの数百のエージェントには、より限定された鍵が必要だ

1人のClaude Code運用者が、開発フレームワークの移行作業に数百のサブエージェントを投入できる。作業主体が増える速さに、人が変更内容やツールの呼び出し、認証情報を確認する速さは追いつかない。そこでセキュリティ担当者は、対話画面からは答えの得られない問いに直面する。各作業主体に鍵を渡したのは誰なのか。

並列化でコーディング作業が権限関係図に変わる

当初、コーディング支援は対話の中で完結していた。開発者がコードを求め、モデルが出力し、作業工程の中心には明確に開発者がいた。出力が誤っていても、確認の単位は人が扱える大きさだった。1つの回答、1つの差分、1つの判断で済んだ。

Claude Codeの動的な作業工程は、この構図を崩す。1人の運用者が、開発フレームワークの移行を含む複雑な開発作業を、並列稼働する数百のサブエージェントへ任せられるからだ。全体は、運用者、統括役、サブエージェント、リポジトリ、ツール、環境、認証情報を結ぶ関係図になる。

各サブエージェントは操作を実行でき、そのつながりの1本1本が権限を与える。ある作業主体にはリポジトリの読み取りが必要で、別の主体にはブランチへの書き込みが必要になる。さらに別の主体は、ツールを呼び出したり、環境を調べたりする。全員に運用者の恒常的なアクセス権を引き継がせれば、組織は人間1人分の権限主体を数百回複製したことになる。

Cursor Automationsは、コードベースの変更、Slackのメッセージ、時刻指定を契機にエージェントを起動できる。Appleも、MCP対応と併せてAnthropicとOpenAIのコーディングエージェントをXcodeに追加した。人が対話中の画面に張り付いていなくても、エージェントが開発環境の一員として動くようになった。

この変化に、各社の足並みがそろっている必要はなかった。作業主体を1つ増やす費用が小さければ、開発者には数を増やす動機が生まれる。一方、人による確認作業は同じ速さでは増やせない。したがって、すべての操作を実行前に人が確認する仕組みを安全管理の前提にはできない。

記録に残るのは、権限が行使された後だ

セキュリティ担当者には、操作主体の特定、改ざん検知、事故の再現、責任の明確化に使える、長期保存可能な記録が依然として必要だ。エージェントがブランチを変更し、ツールを呼び出し、承認が必要な境界を越えたなら、その操作を確実にたどれなければならない。

しかし記録は証拠であって、実行を止める関門ではない。ある主体が機密情報を読み、パッケージを公開し、本番環境の成果物を変更した事実は残せる。だが、いったん使われた認証情報の権限を後から狭めることはできない。人が介入できない速さで権限が行使される環境では、監視だけなら監査記録が残り、事前に制限すれば統制が効く。

CISAの認証情報流出は、この問題がどう起きるかを示している。公開GitHubリポジトリの管理不備により、自律型エージェントではなく人間の請負業者が、非公開のクラウド接続鍵などの認証情報を漏えいさせた。この事故の原因はエージェントではない。作業に必要な範囲を超え、持ち運びも容易な権限を実行主体が手にしたとき、被害がどこまで広がり得るかを露呈した。

委任にかかる費用が小さいため、エージェントは従来からあるこの問題を増幅する。各作業主体に、人間の運用者が繰り返し使う秘密情報を渡す運用はやめなければならない。

1PasswordのClaude連携は、別の方法を示している。エージェントは、パスワードや二要素認証コードを知らないままウェブサイトへログインできる。元の秘密情報を保有せず、必要な操作を行う権限だけを受け取る仕組みだ。認証情報を恒常的な身元情報として複製するのではなく、特定作業に限った実行権限として仲介できる。

OpenAIはAgents SDKに、標準の隔離実行機能と評価用の仕組みを追加した。認証情報の仲介、隔離実行、規則に基づく承認、ソース管理上の保護、稼働記録は、それぞれ異なる事故要因を抑える。これらの機能が十分に普及し、適切に運用されているとは限らない。それでも開発各社が、問題の所在を対話画面より下の実行基盤に見いだしていることは分かる。

実行基盤での制御では、各エージェントに固有の機械用識別情報を与え、権限を必要最小限に絞り、有効期間を限定し、影響の大きい状態変更には明示的な承認を求める。エージェントは隔離環境で動かし、復元可能な時点を残す。予防的な制御で作業範囲を限定したうえで、事後の証拠として記録を保管する。

開発基盤も同時実行の増加に追随している

企業が変化を言語化するより先に、開発者の動きが処理量の変化を映し出すことがある。開発基盤は、少数の人間が速く作業する前提から、多数の機械主体が同時に動く前提へと設計を変えつつある。

Entireは分散型Git網を立ち上げた。米国、欧州連合、豪州にサーバーを置き、コーディングエージェントによる大量の通信を処理することを明確な目的としている。創業者は、改ざんの痕跡を確認できるブランチ履歴と、規則をコードで定義し、第三者が独立して検証できるブランチ保護も計画中の機能として挙げた。処理能力と管理統制を、1つの設計課題として捉えている。

既存最大手のGitHubも、この傾向を裏付ける。報道によると、AI主導の利用増が基盤を圧迫し、2026には数十件の大規模障害を引き起こす一因となった。MicrosoftはAWSの処理能力を追加することも検討したという。GitHubのソース管理は、人間による開発の速度を前提に築かれた。機械が生み出す大量の同時処理が、その前提を揺さぶっている。

ブランチ規則、書き込み範囲、承認手続き、構築処理の上限、巻き戻しは、モデルではなくリポジトリが強制しなければならない。モデルやツール、作業主体が変わっても開発上の関係は残るため、こうした制御もその関係全体に付随する必要がある。

比較対象となる2024–2026の各期間では、Anthropicに関する報道のうち企業利用の観点で扱う比率が12.3%から19.0%へ上昇する一方、研究の観点は40.3%から22.0%へ低下した。この変化は基盤整備の流れと重なる。組織はAnthropicを本番業務に組み込む供給元として捉えるようになり、性能指標上の挙動より、誰にどの権限を割り当てるかを重視し始めている。

供給網の被害範囲は確認能力を上回る速さで広がる

ソフトウェア供給網では、1つの変更が受け入れられるだけで、それを生み出した環境をはるかに越えて影響が伝わる。このため、委任された権限の扱いはとりわけ重大になる。パッケージ、ブランチ、自動投入された変更、下流の依存関係によって、局所的な操作が広範な危険へ変わる。

Axiosのnpmパッケージ侵害では、影響を受けた版に悪意ある依存パッケージが混入した。このパッケージの週間ダウンロード数は100 millionに上る。別件では、TeamPCPが20回にわたる供給網攻撃を行い、500を超えるソフトウェアを侵害したと報じられた。どちらも、コーディングエージェントが攻撃を引き起こした証拠ではない。ただし、誤った操作、悪意ある操作、過大な権限を持つ自動操作が利用し得る拡散経路を、いずれも明らかにしている。

コーディングエージェントは、脆弱性発見の一部を自動化し、攻撃側の採算も変える。機械処理の費用低下は、有用なコードを生み出す能力と、悪用可能な箇所を探す能力の両方を高める。

人による確認を主要な防衛線にはできない。エージェントの出力は並列に増やせるが、確認担当者の注意力には限りがある。差分の確認待ちが積み上がっても、能力差が表面化するだけで、問題は解消しない。

したがって、エージェントによる書き込みは段階的に反映し、対象をブランチ内に限定し、復元点を設け、下流に残る確定状態になる前に巻き戻せるようにする必要がある。ただし復旧にも限界がある。コードの変更は戻せても、一度見られた秘密情報を忘れさせることはできない。まず認証情報の範囲を絞り、予防的な境界が機能した後の記録を稼働監視によって残すべきだ。

規則はモデルを替えても機能しなければならない

モデル自身に要求を拒否させる仕組みについては、提供各社の方針が今も議論の的になっている。Satya NadellaはClaude Fable 5について、「どんな突拍子もないこと」でも実行するわけではなく拒否する点を含め、「編集方針で統制されている」と批判した。この発言は対立を明確に示す。接続先を持つエージェントに何を実行させるかを決める以前に、モデルが何を拒むべきかについて、企業間で見解が分かれている。

企業は複数モデルを併用する環境も構築している。報道によると、EU Parliamentは、Meta、OpenAI、Anthropic、Mistralのモデルへの接続を組織の管理下に置く共通基盤を準備している。MicrosoftもAIセキュリティツールを計画していると報じられた。Anthropic、OpenAI、Microsoft自身のモデルを利用するという。複数の提供元を前提とする調達を、1社の拒否方針だけで統制することはできない。

制限の厳しいモデルに広範な認証情報を組み合わせれば、危険な仕組みになり得る。一方、用途を絞った識別情報、隔離環境、規則に基づく承認、復元可能な状態変更を採用すれば、制約の緩いモデルでも行動を限定できる。モデルの挙動は防御の一層ではあるが、基盤全体に権限を与える役割までは担えない。

企業はモデルを入れ替えられるため、規則は特定の提供元ではなく、実行主体、認証情報、状態変更に結び付けなければならない。統制基盤には、各サブエージェントを識別し、作業範囲に限った権限を与え、どのモデルが処理していてもアクセス権を失効させる仕組みが必要だ。

1人のClaude Code運用者が数百のサブエージェントを生み出せる状況は変わらない。信頼は、すべてを監視することから生まれるのではない。各作業主体に、より限定された鍵を、より短い時間だけ渡し、使い終えたら回収することで成り立つ。