AIエージェントがラテラルムーブメントのルールを書き換える

セキュリティチームは何十年もの間、あるアイデンティティが過剰なアクセス権を持っていないかを問い続けてきました。AIエージェントは、より困難な問いを投げかけています。つまり、自律型システムがすでに持っているアクセス権を前提として、どのような経路を自ら発見できるかを、どうすれば判断できるのかという問いです。

人はタスクを完了するためにいくつかの方法を試すかもしれません。決定論的なアプリケーションは、開発者が書いたフローに従います。しかし、AIエージェントは「完了」を執拗に追求します。2026年5月、OpenAI announcedは自社のモデルの1つが、離散幾何学における1946年のErdős予想を論破したと発表しました。これは主に、数学者なら退屈すぎて断念するような経路を徹底的に調べ上げたことによるものです。

同じ原理がサイバーセキュリティにも当てはまります。AIエージェントは何千ものアクションをテストし、失敗したルートを放棄し、資格情報を発見し、ツールを切り替え、実行し続けることができます。その粘り強さがエージェントを役立たせる理由の一部ですが、同時にラテラルムーブメント（横展開）に対する考え方を変える必要性も生じさせています。AIエージェントのリスクには2つの側面があります：

• アクセス権は、想定される被害範囲（ブラストライジアス）を規定する
• 自律性は、人間を介在させずにエージェントがどれだけのことを行えるかを決定する

どちらの側面も単独でリスクとなり得ますが、その組み合わせによってセキュリティモデルが変化します。エージェントの行動を確実に予測することはできませんが、アイデンティティと意図を明確にすることで、アクセス権の統制が可能になります。

Autonomy Turns Access Into Exploration

人々は、目的をできるだけ早く簡単に達成することに集中するあまり、必要以上のアクセス権と自律性をエージェントに与えてしまうことがよくあります。両方の軸にわたる適切な広がりではなく、現実はしばしば次のようになっています：

Token Securityのリサーチ、the Agentic Pulseによると、エージェント型チャットボットが行う外部アクションの51%がOAuthではなくハードコードされた資格情報で認証されており、それらのエージェントの65%が作成された日以来一度も使用されていないことがわかりました。

2026年7月のHugging Faceのインシデントは、人間のオペレーターでは到底及ばない規模でこのダイナミクスを示しました。サイバーセキュリティ評価中にOpenAIモデルの組み合わせによって駆動された自律型エージェントは、期待されていた環境から脱出し、外部のローンチパッドを構築し、本番インフラを悪用し、資格情報を収集し、権限を昇格させ、クラウド、Kubernetes、社内ネットワーク、ソース管理の境界を越えて移動しました。