Daniel Wagner、Q2 のプロダクト＆エンジニアリングディレクター – インタビューシリーズ

Daniel Wagner、Q2 のプロダクト＆エンジニアリングディレクターで、人工知能、機械学習、データプラットフォーム、デジタルバンキング、エンタープライズソフトウェア提供にわたるバックグラウンドを持つ経験豊富なテクノロジー・プロダクトリーダーです。Sensibill の買収を通じて Q2 に入社する前、Wagner は Sensibill に10年以上在籍し、Delivery Manager、Delivery Director、Director of Engineering、VP of Engineering などのリーダーシップ役職を経て昇進しました。彼はデータと AI のチームを率いて機械学習プロジェクトを開発し、大手金融機関向けのモバイルソリューションを監督し、最近ではデータ強化とインサイトに焦点を当てた顧客データプラットフォームのエンジニアリングを主導しました。キャリアの初期には、ソフトウェアエンジニアとして始め、後に Capgemini に買収されたアプリケーション開発会社 Itelios のブラジル事業を共同設立し CEO を務めました。Q2 は 2022 年に Sensibill を買収し、金融機関向けのデータと機械学習機能を強化しました。

Q2は、銀行、信用組合、フィンテック企業、代替金融プロバイダーにデジタルバンキングと貸付ソリューションを提供するフィンテック企業です。そのプラットフォームは、個人、スモールビジネス、商業バンキングに加え、デジタルオンボーディング、組み込み金融、リレーションシッププライシング、リスク・不正管理、データ駆動型パーソナライズを網羅しています。Q2 は製品ポートフォリオ全体に AI をますます組み込み、銀行員の生産性向上、不正行為の検出、口座保有者体験のパーソナライズ、金融機関がより迅速にデータに基づく意思決定を行えるよう支援するツールを提供しています。同社は、広範なポートフォリオで1,000 を超える金融機関にサービスを提供し、金融機関がデジタルサービスを近代化・拡大するためのインフラ層として自社技術を位置付けています。

Q2 でのあなたの仕事はサイバーレジリエンスに焦点を当て、組織がセキュリティインシデントに備え、回復する方法に関するものです。金融機関が情報を分析するだけでなく、実際に行動できる AI エージェントの導入を始める中で、最も懸念している新たなセキュリティリスクは何ですか？

サイバーセキュリティと不正防止は問題の異なる側面を扱います。サイバーセキュリティは「境界の保護」を担当し、アカウントへのアクセスが守られ、基盤ソフトウェアが健全であることを確保します。私の仕事は、そこをすでに通過した攻撃者がいることを前提に、彼らが主張する本人であるかどうかを判定することに焦点を当てています。

AI エージェントの台頭に伴い、ドアを通り抜ける人物は他者の権限で行動する委任されたエージェントです。私が最も懸念しているリスクはプロンプトインジェクションです。これは、詐欺師が正規ユーザーのエージェントを操作し、ユーザーが許可していない、かつユーザーの利益に沿わない行動を取らせることです。検出が困難な新たな不正のフロンティアとなります。

銀行は従来、人物、アプリケーション、サービスアカウントを中心にアイデンティティとアクセス管理システムを構築してきました。AI エージェントを独自の独立したアイデンティティとして扱うべきでしょうか？実務上はどのような意味になるのでしょうか？

最も分かりやすい類似はビジネスバンキングで、委任アクセスはすでに成熟した手法です。企業は従業員に限定的なアクセス権を付与し、残高閲覧など特定のタスクを実行させますが、口座所有者全体の権限は与えません。

金融機関も同様のフレームワークを AI エージェントに適用すべきです。エージェントは人間のアシスタントと同様に、明確に定義された限定的な役割を持つ独立したアイデンティティとして扱われます。つまり、エージェントに対しては最初から狭い範囲の権限を設定し、口座所有者と同等の権限を与えないようにすべきです。

AI エージェントが従業員や顧客に代わって行動する場合、銀行はどのデータにアクセスでき、どの口座とやり取りでき、どの金融アクションを実行できるかを正確にどのように決定すべきでしょうか？

デフォルトは読み取り専用アクセスとします。銀行はすでにこのレベルの粒度をサポートするインフラを備えており、ビジネスバンキングで長年必要とされてきました。金融機関はエージェントが閲覧・実行できる内容を非常に細かく設定できます。

取引の開始と承認は別々の権限として扱い、金額や取引種別でさらにスコープを絞ることができます。多くの機関はすでにビジネス口座で二者承認フローを採用しており、このワークフローはエージェントにも自然に拡張できます。エージェントはアクションを開始できますが、最終的な承認は口座所有者が行い、情報閲覧を超える操作には人間が関与するようにします。

エージェントがタスク完了のために複数システムで数十のステップを実行する必要がある場合、最小権限の原則はより複雑になります。金融機関はエージェントに十分な権限を与えて有用にしつつ、過剰な権限を付与しないようにするにはどうすればよいでしょうか？

エージェントが有用であるために資金を移動させる必要はありません。エージェントが提供する価値の多くは、残高確認、支出追跡、トレンドの把握といった情報の取得・整理にあります。これらは高い権限を必要とせず、ユーザーが口座にログインする主な目的でもあります。資金移動や口座情報変更といった操作は、別のより厳格に管理された権限層に属すべきです。

不正検知システムは、異常なログインや取引パターンといった疑わしい人間の行動を特定するよう設計されています。正当な AI エージェントが機械的な速度で動作し、人間ユーザーにとって異常に見える行動を示す場合、詐欺検知はどのように進化すべきでしょうか？

既存のコントロールの中には取引速度をシグナルとして重視しているものがあります。正当なエージェントが高速で動作できる世界に合わせて、これらのシグナルは再調整が必要です。とはいえ、当社の行動シグナルは、特定ユーザーや特定受取人に対して何が通常かを評価するものであり、詐欺検知には依然として有効です。金融機関は行動を評価できるだけでなく、本人確認も行えます。

将来的には、金融機関はコンテキストに応じて検知感度を上下させる機能と、正当なユーザーのエージェントと詐欺師が操作するエージェントを区別できる権限・ログ記録を備える必要があります。

攻撃者が AI エージェントを侵害し、指示を操作したり、許可されていない行動を取らせた場合、金融機関はどのように正当な自律行動と侵害された行動を区別できるでしょうか？どのようなシグナルが役立ちますか？

このシナリオでは、ユーザーが決して要求しなかった行動をエージェントが取る、いわゆるプロンプトインジェクション攻撃が起きます。しかし、検知アプローチは根本的に変わりません。依然として行動を観察します。ユーザーの既存パターンから外れたアクションは、人間かエージェントかに関わらずフラグを立てる価値のあるシグナルです。

資金移動は特にリスクが高いユースケースです。銀行はどの場面で必ず人間の承認を維持すべきでしょうか？また、エージェントが自律的に行動すべきでない取引タイプや金額の閾値はありますか？

はい、制限は必要です。前述の通り、ビジネスバンキングの前例は AI エージェントにも容易に適用できます。エージェントがアクションを開始できる一時的な承認は可能ですが、最終的な承認は人間が行う必要があります。

実務的には、個々の送金額とエージェントが一定期間内に開始できる送金回数の両方に閾値を設定します。必ずしも資金移動だけが人間承認の対象ではありません。たとえば、既存の信頼できる受取人への支払詳細変更も、資金移動と同様にリスクが高いです。

AI エージェントは、フィンテック、ベンダー、顧客、他の金融機関が運用するエージェントとますます相互作用するようになるでしょう。これによりサードパーティリスクが拡大しますが、銀行は金融ワークフローに参加するすべてのエージェントを制御できない場合、どのように信頼を確立すべきでしょうか？

ここでは2つのシナリオがあります。まず、ユーザーがエージェントに自分の口座へのアクセス権を付与するケースです。このエージェントはユーザーの権限で動作し、エージェント間プロトコル（Agent-to-Agent）で他のエージェントと連携する場合でも、リスクはユーザーが負うことになります。すべてはユーザーの許可の下で行われ、銀行は責任を拡張しません。

リスクプロファイルは、金融機関が自社専用のエージェントを構築・運用する場合に変わります。その時点で、機関はエージェントの行動に直接責任を負い、他者の委任アクセスとは異なります。金融機関はワークフローに組み込むサードパーティエージェントについてデューデリジェンスを行う必要がありますが、最終的な責任の一部はエンドユーザーに委ねられます。顧客の「コントロールサークル」が機関の義務範囲を定義します。

許可された AI エージェントが誤った判断を下し、金銭的損失、データ漏洩、または不正取引を引き起こした場合、タスクを委任した従業員、金融機関、技術提供者、エージェントの基盤モデルの間で責任はどのように分配すべきでしょうか？

Reg E（電子取引に関する消費者保護を規定する連邦規則）は依然として適用されます。これは詐欺責任の上限と調査要件を定めており、銀行は争議取引の調査義務を負います。Reg E により、金融機関が争議取引を調査する義務は消えません。

変わるのは根本的な責任問題です。ユーザーがエージェントへのアクセスを自覚的に委任し、エージェントが誤った判断をした場合、機関がユーザーに対して損失を補償する義務は、無許可のサードパーティ詐欺の場合とは異なります。

実質的に、権限を委任することはユーザーがリスクの一部を受け入れることを意味します。機関は、ソフトウェアのミスであるからといって、口座所有者に本来属する責任を自動的に引き受けるわけではありません。

今後を見据えて、銀行や信用組合は、AI エージェントが機密データ、顧客口座、金融取引に対してより大きな自律性を持つ前に、どのようなセキュリティとガバナンスの基盤を整備すべきでしょうか？

最大の機会は、ビジネスバンキングで既に確立されているガバナンスモデルを個人バンキングに持ち込むことです。ビジネス口座は、細かな権限設定、委任アクセス、承認ワークフローに関して長年の前例があります。

エージェントガバナンスのために全く新しいフレームワークを構築するのではなく、銀行や信用組合はビジネス側で実証済みのコントロール、権限階層、承認構造を個人口座向けに適応すべきです。

素晴らしいインタビューをありがとうございました。詳しく知りたい読者は Q2 をご覧ください。