2000年代後半、企業がクラウドへの移行を始めたとき、最初に問題になったのはセキュリティではなかった。「まず使えるかどうか」が先だった。使えることが証明されてから、初めてアクセス管理やログ監査が議題に上がった。IAMポリシーの整備やCloudTrailの導入は、クラウド活用が進んだ後から追いかけるように整っていった。
AIエージェントの普及は、今まさに同じ曲線を描いている。
ただし今回は、ツールが自律的に動くという点が根本的に違う。人間がAPIを叩くのと、AIエージェントがAPIを叩くのは、外形上は同じでも意味がまったく異なる。人間なら「誰がやったか」はアカウントで追える。だがエージェントは、権限を与えられた範囲で、人間の判断を介さずに動く。それが複数のエージェントになり、複数のツールにまたがったとき、「どのエージェントが何にアクセスしているか」を把握できている企業は、現時点でほとんどない。
問題は悪意ではなく、可視性の欠如だ。エージェントは悪いことをしようとしているわけではない。ただ、アクセスの記録がなく、許可の根拠が曖昧で、クレデンシャルの管理が属人的なまま、本番データに触れている。監査が必要になったとき、あるいはインシデントが起きたとき、「どこで何が起きたか」を遡れない状態で運用が走っている。
これは技術の問題ではなく、ガバナンスの問題だ。
誰が損をするかは見えている。エージェントの導入を急いだ結果、アクセス管理が後手に回った企業だ。コンプライアンス要件が厳しい業界では、監査対応のコストが跳ね上がる。顧客データへの不適切なアクセスが発覚すれば、信頼の問題になる。一方で、ガバナンスを先に整えた企業は、エージェントの活用範囲を広げるほど管理が効いてくるという逆転が起きる。
AWSが今回公開したのは、その問いへの一つの回答だ。Amazon Bedrock AgentCore Gatewayを中心に据えた段階的なガバナンスモデルで、「一気に全部やれ」ではなく「今の痛みに対応する段階から始めろ」という設計になっている。
クラウド移行でIAMが後から整備されたように、AIエージェントのガバナンスも後追いになりやすい。ただ今回は、ツールが先に動いている速度がそれまでとは桁違いだ。管理の仕組みを整える前にエージェントが動き回る期間が長くなるほど、後から対応するコストは上がる。AWSがこのモデルを出してきたタイミングは、その意味で読む必要がある。
3行まとめ
- AWSがAmazon Bedrock AgentCore Gatewayを使ったAIエージェントのツールアクセス管理手法を公開した
- 「接続・制御・カタログ化・強化」の4段階モデルで、ガバナンスを現状の課題に応じた範囲から導入できる設計になっている
- 各段階は独立した価値を持ち、次のガバナンス上の課題が生じたタイミングで次の段階に進む構成になっている
※以下は詳細
AIエージェントのツールアクセスを一元管理するゲートウェイ
Amazon Bedrock AgentCore Gatewayは、AIエージェントが社内外のツールにアクセスする際の単一の安全なエントリーポイントとして機能します。エージェントが直接ツールを呼び出すのではなく、ゲートウェイを経由させることで、どのエージェントがいつ何にアクセスしたかを記録・管理できます。
認証・認可・クレデンシャル管理はAgentCore Identityが担います。AIエージェントとツール間のやり取りに対するセキュリティポリシーの定義と適用にはAgentCore Policyを使います。さらにAmazon Bedrock Guardrailsを組み合わせることで、安全性とプライバシーに関する制御を追加できます。
4段階で構成されるガバナンス成熟モデル
AWSが提示するのは、4つのスコープからなる段階的な導入モデルです。
第1段階「Connect（接続）」では、AIエージェントが組織のリソースにアクセスするための一元管理された経路を確立します。SSOによる認証、クレデンシャルの集中管理、CloudTrail監査の適用が含まれます。
第2段階「Control（制御）」では、Cedar RBAC/ABACやPII除去、3LOコンセントなどを適用し、誰がいつどのツールをどのポリシーのもとで呼び出したかを把握できる状態にします。
第3段階「Catalog（カタログ化）」では、ツールの登録・発見・公開をチームが自律的に行えるようにします。オンプレミスのシステムも対象に含められます。
第4段階「Harden（強化）」では、プライベート接続、ガバナンスダッシュボード、廃止ワークフロー、マルチリージョンフェイルオーバーなどを追加し、本番運用に耐える管理体制を整えます。
全段階を一気に実装する必要はなく、各スコープは独立した価値を持ちます。次のガバナンス上の課題が実際に生じたタイミングで、次の段階に進む設計になっています。
監査可能性をガバナンスの中心に置く
このモデルが明示するゴールは、「どのAIエージェントが顧客データにアクセスしているか」「誰がそれを許可したか」「クレデンシャルが漏洩した場合の影響範囲はどこか」という問いに、組織が迅速に答えられる体制を作ることです。
Amazon CloudWatch LogsおよびAWS CloudTrailを通じて、どの組織リソースにいつアクセスされたかを記録・追跡できます。監査可能性を前提とした設計が、このモデル全体の中心に置かれています。
全体まとめ
AWSはAmazon Bedrock AgentCore Gatewayを通じて、AIエージェントのツールアクセスを統制・記録するための段階的なガバナンスモデルを公開しました。認証・認可・クレデンシャル管理はAgentCore Identityが、ポリシーの定義と適用はAgentCore Policyがそれぞれ担います。「接続・制御・カタログ化・強化」の4段階モデルにより、現状のガバナンス課題に応じて必要な範囲から着手できます。各段階は独立した価値を持ちながら、次の段階への移行パスを保持する設計になっています。