アーロン・ローズは、サイバーセキュリティ・エヴァンジェリスト、セキュリティ・アーキテクト・マネージャーであり、チェック・ポイント・ソフトウェア・テクノロジーズのCTO室のメンバーです。人工知能とアプリケーション・セキュリティの専門家として、アーロンは、伝統的なネットワーク・ファイアウォールを超えて、組織とそのリソースを保護することにキャリアを捧げてきました。
2026年4月25日の朝、テックの創業者は目撃した。彼の会社のプロダクションデータベースが消えた。データベースは破損していなかった。部分的に上書きされていなかった。9秒で完全に消え、すべてのバックアップも消えた。犯人は、Cursorを実行していたAIコーディングエージェントだった。AnthropicのClaude Opus 4.6によって動かされていた。被害者は、ポケットOSだった。国中のレンタカー事業者にサービスを提供していたSaaSプラットフォームだった。彼がXに投稿した事後分析を公開し、600万以上のビューを獲得したとき、話はすでに一つのスタートアップの悪い週末を超えて広がっていた。すべての企業がAIエージェントをプロダクションインフラストラクチャに導入しているミラーに映し出されたものだった。実際に何が起こったかシーケンスは重要だ。なぜなら、それはエグゼクティブが理解する必要があることを示しているからだ。これは単一の故障ではなかった。連鎖的なものだった。Cursorエージェントはルーティンワークを割り当てられていた。ポケットOSのステージング環境で資格情報の不一致に遭遇したとき、エージェントは停止しなかった。人間に尋ねることもなかった。エージェントは問題を解決するために、レールウェイインフラストラクチャボリュームを削除することを決定した。そうするために、エージェントはコードベースでAPIトークンを探し、別の目的でプロビジョニングされていたトークンを見つけた。カスタムドメイン操作をレールウェイCLI経由で管理するためのトークンだった。そのトークンは、レールウェイ環境全体にわたるブランケットパーミッションを持っていた。スコープ分離、操作レベルの制限、破壊的なコマンドを実行する前に確認プロンプトがなかった。エージェントは単一のAPIコールを発行した。レールウェイのアーキテクチャは損害を悪化させた。ボリュームのバックアップは、ソースデータと同じボリュームに保存されていたため、ボリュームを削除するとバックアップも削除された。ポケットOSは、3か月前のバックアップと30時間以上の停止に陥った。創業者は、ストライプの支払い履歴、カレンダー統合、メール確認から予約を再構築するのを手伝うために数日間を費やした。創業者は後に、クラウドモデルに何をしたのかを尋ねた。エージェントの回答は、技術的に正確で、しかし深く不安を感じるものだった。エージェントは、明示的なプロジェクトルールを犯したことを認めた。ルールの1つは「NEVER F****** GUESS!」だった。エージェントは、ボリュームIDが環境間で共有されていることを検証する前に、推測したことを認めた。エージェントは、実行可能な最も破壊的なアクションを実行した。AIを指さして1日で終わらせる誘惑がある。しかし、このインシデントは、連鎖的なものだ。単一の故障ではない。コーディングツールがスコープ外で動作した。トークンが過剰に許可されていた。APIが破壊的な操作を実行した。バックアップが保護するべきボリュームと同じボリュームに保存されていた。どれか1つのコントロールが機能していたら、停止は防げたはずだ。ディフェンスインデプスは、1つのレイヤーが完璧でないという原則のために存在する。AIエージェントをプロダクションに導入する場合、この原則は交渉できない。セキュリティアーキテクチャは追いついていないAIエージェントの能力は、周囲のセキュリティアーキテクチャよりも速く進化している。企業は、IAMモデル、APIパターン、バックアップ戦略を使用して、オートノマスエージェントをプロダクションインフラストラクチャに接続している。これらのモデルや戦略は、人間だけがキーボードを操作する世界のために設計されたものだ。ポケットOSは1つの公開された例だ。多くの企業でこのようなインシデントが起こっているが、ニュースにはならない。ポケットOSのインシデントは、アジェント環境でのアクセス制御について、組織が考える構造的なギャップを明らかにした。レールウェイのCLIトークンモデルは、ロールベースのアクセス制御、環境スコープ、破壊的な操作の確認レイヤーを提供していなかった。これはレールウェイ独自の欠陥ではない。2つの前の10年間に構築されたIAMおよびPAMプラットフォームに組み込まれた、業界横断的な仮定を反映している。つまり、資格情報を使用するエンティティは人間であるか、または予測可能な動作をするロングライフサービスアカウントであるという仮定だ。AIエージェントはそうではない。エージェントは数秒で起動する。エージェントはツールを自動的に連携させる。エージェントは曖昧な状況で判断を下す。時には正しく、時には壊滅的に。エージェントは、伝統的なログシステムが何をしているのかを把握する前に消える。プロダクションインフラストラクチャ内で動作するAIエージェントは、ツールではなく、サービスアカウントでもない。新しい種類のアイデンティティだ。思考するものであり、実行するものではない。独自のディスクリートアカウント、最小限の特権、独自の行動基準、独自のリアルタイム監査トレイルが必要だ。現在、多くの企業が依存しているIAMおよびPAMプラットフォームは、人間とロングライフサービスアカウントのために構築されたものだ。エージェントは数秒で起動し、ツールを連携させ、ログを捕捉する前に消える。セキュリティ業界は、このギャップを閉じるために投資をしている。アジェントAIセキュリティは、独自のカテゴリとして登場し、独自のフレームワーク、ツール、組織所有権を必要とする。アジェントAIセキュリティを独自の学問として扱う企業は、オートノマスAIの生産性の利点を享受することができ、次のセキュリティエグゼクティブのオンボーディングで研究される警告話にはならないだろう。企業が今すぐに取り組むべきことポケットOSのインシデントは、逆の順序で、適切なコントロールのブループリントを提供している。AIエージェントを独自のアイデンティティクラスとして扱え。AIエージェントの資格情報を、人間のアカウントやサービスアカウントと同じように管理しない。AIエージェントには、独自のライフサイクル管理、特権プロファイル、行動基準が必要だ。IAMプラットフォームが人間、サービスアカウント、オートノマスAIエージェントの違いを区別できない場合、ギャップにすぐに対処する必要がある。操作レベルで、最小限の特権を実施せよ。レールウェイトークンは、エージェントのタスクに必要な以上の特権を持っていた。AIエージェントに発行されるトークンおよび資格情報は、特定の操作、環境、リソースにスコープされるべきだ。コードベースで資格情報ファイルを見つけたエンティティに、ブランケットパーミッションを与えることは、受け入れられない。破壊的な操作には、人間の確認が必要だ。データの削除、データベースの削除、ボリュームの消去などの不可逆的なアクションには、オートノマスエージェントが自動で完了できない、明示的な人間の承認が必要だ。これは、AIの生産性を遅くすることではなく、不可逆的な操作の小さなサブセットに対して、人間がループに含まれることを保証することだ。バックアップを爆発半径の外側に移動せよ。ポケットOSのインシデントは、バックアップがあれば、深刻な停止になっただけだった。バックアップが同じボリュームに保存されていたため、データの消滅イベントになった。オフサイトの独立したバックアップ戦略は、望ましいものではなく、回復可能なインシデントとビジネス危機の違いだ。エージェントの動作をリアルタイムで検出するために、インストルメントせよ。伝統的なログは、エージェントAIの速度に設計されていない。企業は、エージェントが何をしているかをリアルタイムで捕捉し、エージェントが関連しない資格情報にアクセスしたときのような異常な動作をフラグし、被害が及ぶ前に自動的な対応をトリガーするツールが必要だ。カテゴリが到着した数年間、企業のセキュリティチームは、AIを、既存のコントロールの上に配置された生産性レイヤーとして扱ってきた。スマートなオートコンプリート、高速な検索、優れた要約ツールだった。ポケットOSのインシデントは、そんな時代は終わったことを明らかにした。AIエージェントは、プロダクションインフラストラクチャ内で直接動作し、資格情報、API、ライブデータシステムにアクセスできる。前の時代のコントロールは、この時代には十分ではない。アジェントAIセキュリティを独自の学問として扱い、独自のフレームワーク、ツール、組織所有権を必要とする企業は、オートノマスAIの生産性の利点を享受することができ、次のセキュリティエグゼクティブのオンボーディングで研究される警告話にはならないだろう。9秒。データを失うのにかかった時間だ。すべての企業がAIエージェントをプロダクションに導入している場合、コントロールがそれを止めることができたかどうかが、質問だ。
