シャドー AI と"釣られる" AI エージェント──Okta が突きつける認証境界

Okta が 6 月 2 日付で 2 つの不穏なシグナルを同時に投げてきた。ひとつは経営者と現場の認識ギャップを暴いた「シャドー AI」の利用実態。もうひとつは Okta 公式ブログ第 16 回が題材にした、フィッシング詐欺に AI エージェント自身が引っかかる ケースの解剖だ。別個の話題に見えて、両者は同じ穴の同じ底を指している。AI 時代の認証境界が、人間を中心に据えた従来モデルでは守りきれなくなっている。

経営者は楽観、現場はログイン情報ごと渡している #

Okta の調査では、経営幹部の 95% が「従業員は責任を持って AI を利用している」と確信している一方で、現場では 過半数 がシャドー AI ─ 会社が承認していない外部 AI サービス ─ を業務で使っていた。さらに踏み込んで悪いのが、シャドー AI 利用者の一部が 業務システムのログイン情報や顧客データを AI に直接渡している こと。プロンプトに「このアカウントのレポートを作って」と社内 SaaS の認証情報ごと貼るような使い方は、攻撃者から見れば「ログを残さず正規認証で動く闇従業員」を社内に生やしているのと等価だ。SIEM では検知しづらく、IdP のログにも違和感が出にくい。

AI エージェントが「上司の指示」に偽装される #

もう一方の論点は、AI エージェント自身が標的にされる新しいフィッシングだ。Okta は、エージェントがメールやウェブを読みに行く過程で 悪意あるテキストを「業務指示」として誤読し、認証情報や顧客データを攻撃者に送り返す 事例を解説している。人間相手なら「件名がおかしい」「文体が違う」で気づくところを、エージェントは命令文として素直に従う。プロンプトインジェクションは古典的手法だが、エージェントが OAuth トークンと API 呼び出し権限を握って稼働している今、被害規模は単発の情報漏洩では収まらない。

認証境界は「誰が」から「何の権限で」へ #

両者が突きつけているのは、認証境界の置き直しだ。シャドー AI は 人間が自分のクレデンシャルを第三者 AI に転送する 経路、AI エージェント phishing は AI が自分のクレデンシャルで攻撃者の指示に従う 経路で、いずれも従来の MFA や IdP では止まらない。対策としては、AI ごとに 短期スコープのトークンを発行し、Human-in-the-loop の承認を権限変更時に挟むこと、そして AI トラフィックを 別経路としてログ化することだ。Okta が IdP ベンダーとしてこの 2 件を同時に出したのは偶然ではなく、認証屋から見た「次の戦場」の宣言と読むべきだろう。