コーディングエージェントは、コード補完の道具から、リポジトリを読み、コマンドを実行し、PRを作り、外部サービスを呼び出す存在に変わりました。便利になった分だけ、「このエージェントにどこまでの権限を渡すか」がセキュリティ設計の論点になっています。この記事では、gaipackが実践している権限設計の考え方を、最小権限・人間の承認・監査証跡の3つの原則に整理して解説します。

---

エージェントの権限が攻撃の増幅装置になる

エージェント自体に悪意がなくても、エージェントは攻撃の経路になります。代表的なのがプロンプトインジェクションです。エージェントが読み込むWebページ、Issueのコメント、依存パッケージのREADMEなどに攻撃者が指示を仕込むと、エージェントがそれを実行してしまう可能性があります。

これが深刻なのは、ソフトウェアサプライチェーン攻撃が常態化しているからです。2025年にはnpmエコシステムで、正規パッケージへの不正コード注入や自己増殖型ワームによる攻撃が立て続けに発生しました（トレンドマイクロの分析）。開発環境に悪意あるコンテンツが流れ込んでくることは、もはや例外事象ではありません。

このとき被害の大きさを決めるのは、エージェントに渡していた権限の広さです。読み取り専用のエージェントが騙されても、起きるのは情報の漏えいまでです。本番環境への書き込み権限やクレデンシャルを持つエージェントが騙されると、環境全体の侵害につながります。権限設計とは、「騙された場合に何が起きるか」の上限を事前に決めておく作業だと言えます。

原則1: 最小権限で、ReadOnlyから始める

出発点は、必要最小限の権限だけを付与することです。gaipackでは、各ユーザー・サービスアカウントに必要最小限の権限が付与されていることをセキュリティ実装の基準としており、AIエージェントも例外にしません。

運用の現場では、さらに踏み込んだルールを置いています。gaipackの運用サービスgaipack オプスでは、AIエージェントは原則ReadOnly権限とし、書き込み（修正の実行）には人間の承認を必須とする方針を「権限の掟」として定めています。エージェントによる調査・分析・原因特定は読み取り権限だけで完結させ、環境を変更する操作は次の原則2に送る、という切り分けです。

コーディングエージェントに置き換えると、リポジトリの読み取り・ローカルでの編集・テスト実行までは自律で任せ、リモートへの反映からは権限の壁を置く、という構成になります。

原則2: 書き込みには人間の承認を挟む（HITL）

HITL（Human-in-the-Loop）は、AIの成果物の適用に人間のレビュー・承認を挟む運用方式です。ポイントは、承認を「エージェントへの信頼度」ではなく「仕組み」で強制することです。

開発フローでは、ブランチ保護がその仕組みになります。mainブランチへの直接変更を禁止し、変更はPR承認フローに限定すれば、エージェントがどれだけ自律的に動いても、コードベースに入る変更は必ず人間のレビューを通ります。エージェントの振る舞いを縛るのではなく、エージェントが何をしようとしても越えられない境界を置く、という考え方です。

自律に任せる範囲は、実績を確認しながら段階的に広げます。gaipackの運用エージェントでも、検知から自律調査、原因分類、修正PRの生成までを自律範囲とし、修正の適用はHITL必須という段階導入の方針を取っています。最初から全権を渡すのでも、恒久的に全操作を承認制にするのでもなく、「どこまで任せられるか」を運用実績で更新していく設計です。

原則3: 監査証跡を残し、権限を棚卸しする

権限設計は、作った時点では正しくても放置すると劣化します。エージェントに接続するツールやコネクタは増え続け、一時的に付与した権限は残り続けるからです。

gaipackでは、セキュリティ関連イベントのログ記録と保存期間の確定を実装基準に含め、脅威分析・権限設計・監査ログ設計をプロジェクト開始時から着手する運用にしています。加えて、アクセス権限のレビューとアカウントの棚卸しを定期的に行い、AIツールの認証・コネクタ権限も棚卸しの対象にしています。「誰が（どのエージェントが）、いつ、何をしたか」を後から追える状態を保つことが、権限を段階的に広げていく前提条件になります。

「禁止」ではなく「安全に使わせる」

権限設計の目的は、エージェントを縛って使いにくくすることではありません。むしろ逆で、境界と証跡が整っているほど、境界の内側では安心して自律性を上げられます。gaipackはAIの利用を「禁止」するのではなく「安全に使わせる」ことを軸に、ガードレール・可視化・監査ログを整える支援をgaipack ガバナンスとして提供しています。組織としてのAIガバナンスの枠組みはISO/IEC 42001で回すAIドリブンAIガバナンスでも解説しています。

まとめ

エージェントの能力が上がるほど、権限設計の巧拙が生産性とセキュリティの両方を左右するようになります。自社のエージェント運用の権限設計に不安がある方は、お気軽にKDDIアイレットへお問い合わせください！