Palo Alto Networks、管理外AIコーディングエージェントのリスクを指摘

Palo Alto Networksは、この問題を「導入の後に oversight が追いついていない」という構図で捉えている。AIコーディングエージェントはすでにソースコードや社内API、クラウド基盤に自律的に到達しており、管理されていないAIコーディングツールは安全でないコードを生成し、監視なしに外部サービスへ接続する。同社が示す規模の根拠は、組織が自社ネットワーク上で数十万もの未統治のAIコンポーネントを発見しているという点であり、これをデータ・コンプライアンス・支出にまたがる定量化されていないエクスポージャーの源だと位置づけている。

同社が提案する対策は2つある。ポリシーの自動適用は、開発者のワークフローを変えずにプロンプト・応答・エージェントのアクションをリアルタイムで保護し、データ・アクセス・ID・コストの管理を保ちながらAIコーディングの生産性を維持するものだとしている。エージェントIDは、エージェントごとに固有の認証情報と監査証跡を加え、各アクションを特定のエージェントとその人間の所有者まで追跡し、アクセスを目の前のタスク単位に限定する。

セキュリティ・法務・コンプライアンスの各チームにとっての重要度は、その帰属情報がガバナンスとインシデント対応に十分かどうかにかかっている。同社は、それがこれらのチームに必要なものだと述べているからだ。Palo Alto Networksはまた、エンドポイント全体でのAIツールの検出、ゲートウェイでのプロンプトと応答の検査、すべてのエージェントへの固有IDの付与、ガバナンスポリシーの適用という各段階を単一のプラットフォームから保護するとしている。したがって試金石は、エージェントの利用が拡大する中でその統合された可視性が維持されるかどうかになりそうだ。