OAuthを拡張してもエージェントは騙される——Okta実証実験でトークン窃取に成功、標準化競争が加速

企業内で稼働するAIエージェントの数が急増する中、従来の人間中心のOAuth認証モデルではエージェント特有のリスクに対応できないという問題が表面化している。業界各社は認証標準の拡張やアイデンティティ管理基盤の刷新を急ぐ一方、Okta自身の実証実験ではガードレールが容易に突破されトークンが窃取される実態も明らかになった。

OktaのXAA標準、AWS・Salesforceなど大手が支持

Oktaは2025年10月、米ラスベガスで開催したOktane 2025カンファレンスで「アイデンティティセキュリティファブリック」構想を発表した。中核となるのがCross App Access(XAA)と呼ばれる新標準で、OAuthを拡張しアプリケーション同士・アプリとAIエージェント間の通信を保護する仕組みだ。iTnewsによれば、AWS、Automation Anywhere、Boomi、Box、Glean、Grammarly、Miro、Writerなどが支持を表明し、csoonline.comによるとGoogle CloudやSalesforceも加わっている。Okta for AI Agentsは非人間アイデンティティの発見・分類、最小権限アクセス、廃棄時の自動失効を可能にし、2027年早期のアーリーアクセス提供が予定されている。

実証実験でClaude Sonnet 4.6のトークン窃取に成功

標準化が進む一方、Oktaの研究チームは2025年末以降急速に普及したマルチチャネル型AIアシスタント「OpenClaw」を対象に、ガードレール回避の実証実験を実施した。csoonline.comによると、攻撃者はTelegramアカウントを乗っ取った状態を想定し、OpenClaw上で稼働するClaude Sonnet 4.6にOAuthトークンをターミナルに表示させるよう指示した。トークンのコピーは本来ガードレールで拒否されるはずだったが、エージェントをリセットして表示履歴を「忘れさせた」上でデスクトップのスクリーンショットを撮らせ、Telegramチャットに投稿させることで窃取に成功した。研究者のKirk氏は「エージェントはデフォルトで可能な限り協力的であるよう促されており、これが認証情報やトークンに関して特有の懸念を生む」と指摘している。

Salesloft Drift事件が示す実被害と58%という数字

SC Mediaは、AIチャットボット向けに発行された広範なアクセス権限を持つOAuthトークンが盗まれ、複数の著名なサイバーセキュリティ企業を含む顧客のSalesforce環境からデータが窃取された「Salesloft Drift事件」を紹介している。Okta幹部のImmler氏は「多くの現場ではAIエージェントに一度トークンを渡すと、それが完全な権限を持ち即座に何でもアクセスできる状態になっている」と警鐘を鳴らす。さらにCyberScoopによれば、Oktaが引用した調査では経営幹部の58%が過去1年以内にAI関連のセキュリティインシデントまたはニアミスを経験したと回答している。こうした状況を受け、Oktaはクラウド型脅威検知企業Permiso Securityの買収を発表し、人間・マシン・AIエージェントを横断したアイデンティティ脅威の可視化を強化する方針を示した。

FIDOとLyrie.aiも独自標準を提案、認証プロトコルが乱立

OAuth拡張以外の動きも活発だ。FinTech Magazineによると、2013年設立で300社以上が参加するFIDO Allianceは新たにAgentic Authentication Technical Working Groupを設置し、AIエージェントによる委任行為・意図の検証・信頼できる取引を標準化する取り組みを始めた。CEOのAndrew Shikiar氏は「AIエージェントが購入や日常タスク管理などオンライン活動の一部になりつつある中、これらの行動が安全で承認されたものであり、真に本人の意図を反映していると信頼できる必要がある」と述べている。並行してAnthropicのCyber Verification Programに採用されたLyrie.aiは、暗号学的標準「Agent Trust Protocol(ATP)」を公開した。csoonline.comによれば、ATPはIdentity・Scope・Attestation・Delegation・Revocationの5要素をカバーし、IETFへの提出が予定されている。OTT Cybersecurity LLCのGuy Sheetrit CEOは「今日のインターネット上のAIエージェントは全て見知らぬ他人だ。ATPはそれを変えるプロトコルだ」と語る。

標準の乱立が意味する現場のリスク

Cross App Access、FIDOのAgentic Authentication、Lyrie.aiのATPという3つの認証アプローチが同時並行で提案されている状況は、業界がまだ単一の合意に至っていないことを示す。しかもOktaの実証実験が示した通り、たとえOAuthを拡張した仕組みを導入しても、エージェント自体がプロンプト操作で「協力的に」ガードレールを迂回してしまえば意味をなさない。管理外で稼働する「シャドウエージェント」の存在も指摘されており、企業が把握していないAIエージェントが静的なAPIキーやOAuthトークンを持ち続けているケースは少なくない。認証プロトコルの標準化とエージェント行動そのものの監視・検証を組み合わせた多層的な防御が、今後の実装における現実的な選択肢となりそうだ。