Descope Agentic Identity Hub 3.0、企業内のシャドーAI対策を目指す

Descopeは、従業員が組織内で利用するAIエージェントとModel Context Protocol（MCP）サーバーを管理するため、アイデンティティープラットフォームを拡張している。この分野では、セキュリティチームが利用状況を把握・管理できるようになる前に、導入が進んでしまうケースが少なくない。

10月15日のリリースが予定されているAgentic Identity Hub 3.0では、エージェントのオンボーディングポータル、MCPゲートウェイとのネイティブ連携、ワークロード認証の強化、社内ツールにアクセスするエージェント向けのID-JAG発行機能が追加される。従業員がすでに利用しているアイデンティティーシステムを企業が置き換えることなく、すべてのエージェントについて、目的を文書化し、責任者を明確にし、権限を適切な範囲に限定するとともに、監査証跡を残せるようにすることが狙いだ。

今回のリリースにより、Descopeは顧客向けエージェントやMCPサーバーの保護にとどまらず、企業内のより難しい課題である「シャドーAI」に取り組む。従業員は、Claude、Cursor、ChatGPT、あるいは社内開発のエージェントを業務システムに接続できるが、その際、セキュリティチームが一元的に無効化できない固定APIキーや個人アカウントが使われることもある。Descopeは、2026年版Verizon Data Breach Investigations Reportを引用し、従業員の45%が会社支給端末で定期的にAIを利用しており、その利用の67%が個人用の非法人アカウントを通じて行われていると述べた。

社内エージェントに責任者とアイデンティティーを付与

新しいAgent Onboarding Portalは、エージェントの導入を、管理された申請プロセスにすることを目的としている。従業員は、エージェントの目的と、必要とするアプリケーション、API、データソース、MCPサーバーを指定する。アクセス権を付与する前に審査担当者が申請を承認できるため、誰がエージェントを申請し、誰がその責任を負い続けるのかを明らかにする台帳を作成できる。

これは、従来のアイデンティティー・アクセス管理における基本的な弱点への対応だ。通常、人間のアカウントには従業員記録、役職、上司、退職時のアカウント停止手続きがひも付いている。一方、エージェントはスクリプトやサービスアカウントのように扱われることが多いが、実際にはツールを動的に選択し、複数のシステムにまたがって動作できる。そのため、所有者の明確化と実行時の認可は、最初のログインと同じくらい重要になる。これは、Securities.ioが最近公開した、エージェントのアイデンティティーに関するQ2との対談で示された見解にも通じる。エージェントには、アカウント所有者の権限をすべて引き継がせるのではなく、独立した限定的な役割を与えるべきだ。

Descopeによると、既存のAgentic Identity Hubはすでに、100万を超えるエージェントIDと数百のMCPサーバーについて、認証とアクセス制御を担っている。発表で顧客として挙げられたのは、You.com、WisdomAI、Cequence Security、Token Security、Daylight Securityだ。

アイデンティティー制御プレーンの仕組み

同社の技術ドキュメントでは、エージェントプラットフォームで混同されがちな2つの概念を区別している。リソースとは、エージェントがアクセスしようとするAPIまたはMCPサーバーで、対象者を識別するオーディエンスが設定され、スコープによって保護される。接続とは、後続のツールが必要とするOAuthトークンまたはAPIキーを保持する、ボールト内のエントリーだ。

Descopeが推奨するアーキテクチャーでは、エージェントにリソースへのアクセス範囲を限定した短命のトークンを付与する。保護対象のサーバーまたはゲートウェイは、実行時に必要な後続の認証情報をConnectionsボールトから取得する。エージェントが長期間有効なサードパーティーのシークレットを保持することはない。トークンの発行時や交換時には、エージェント、起点となるユーザー、テナント、要求されたツール、実行時のコンテキストをポリシーで評価できる。また、プラットフォームは監査に使えるよう、一連のアクティビティーを記録する。

この仕組みが重要なのは、MCPがエージェントによるツールの発見や呼び出しの方法を標準化する一方で、企業における認可の必要性まではなくさないためだ。Agentic Identity Hub 3.0は、既存のゲートウェイのアイデンティティープロバイダーとして機能するか、Descopeが早期アクセス提供中のAgent Gatewayと連携できる。今回のリリースでは、オープンソースのAgentic AI Foundationプロジェクトであるagentgatewayがネイティブ連携先として挙げられている。Descopeのゲートウェイ向けドキュメントでは、Kong AI Gateway、Azure AI Gateway、Portkey、Golf.devなどの製品との互換性も説明されている。

ゲートウェイにポリシー適用を集約すれば、社内外のMCPサーバー全体で、エージェントの認証、ツール呼び出しの認可、ログの記録を一か所で行える。一方で、ゲートウェイが重要な制御点になる可能性もある。リスクを低減できるか、それともリスクを一元化するだけに終わるかは、可用性、ポリシーの質、スコープ設計の正確さに左右される。

共有シークレットに頼らないエージェント認証へ

Descopeは、固定クライアントシークレットを使わずにエージェントやワークロードを認証する方法も複数追加する。これには、秘密鍵を使ったJWTアサーション、相互TLS、SPIFFEワークロードID、ワークロードIDフェデレーションが含まれる。

ワークロードIDフェデレーションでは、AWS、Google Cloud、Microsoft Azure、Kubernetes、GitHub Actions上で稼働するエージェントが、その環境からすでに発行されているIDを提示できる。Descopeは署名済みトークンを検証し、ワークロードのIDレコードを作成して、スコープを限定したアクセストークンを返す。クライアント設定を共有する場合でも、デプロイごとに別個のIDとして識別できるため、エージェントのすべてのコピーを無効化せずに、特定のインスタンスだけを失効させられる。

ID-JAGの発行は、同様のモデルをMCPサーバー全体に広げることを目的としている。組織内のエージェントは、組織が既に利用しているIDプロバイダーを通じて認証され、各サーバーに適したアクセス権を受け取る。ポリシーは長期間有効な認証情報に組み込むのではなく、リクエストごとに評価されるため、アクセス範囲を絞り込んだり、中央で取り消したりできる。Descopeはこれをエージェント向けのシングルサインオン（SSO）のような仕組みと説明しているが、その有効性は、基盤となる標準へのゲートウェイとクライアントの対応状況に加え、実際の業務上の境界を反映したスコープを管理者が定義できるかどうかに左右される。

Descope、顧客向けアイデンティティからエージェントセキュリティへ

Descopeは2022年、以前にセキュリティオーケストレーション企業Demistoを立ち上げたチームによって創業された。DemistoはPalo Alto Networks (PANW ) が 2019年に買収した。同社は2023年にステルス状態を脱し、シード資金として5,300万ドルを調達した。その後、この調達ラウンドを拡大し、2025年に調達総額が8,800万ドルに達したと述べている。

当初は、パスワードレス認証、ビジュアルなアイデンティティワークフロー、SDK、APIなど、顧客向けのアイデンティティおよびアクセス管理に注力していた。Agentic Identity Hubは、そのアイデンティティ基盤を人間以外の主体にも広げるものだ。従業員のアイデンティティ、エージェントのアイデンティティ、ポリシーの評価、認証情報の仲介、監査記録を、AI製品ごとに別個のアイデンティティ基盤を構築することなく管理できるという共通基盤は、戦略的に重要である。

導入を検討する企業にとって、実際に問われるのは、開発チームが回避せずに利用するほど、Descopeがエージェントのガバナンスを容易にできるかどうかだ。オンボーディングの手順は、非公式な認証情報の共有よりも迅速でなければならず、ゲートウェイ連携は、従業員が実際に採用するクライアントとサーバーを網羅する必要がある。またセキュリティチームは、エージェントが認証されていることと、その行動が安全であることを区別しなければならない。アイデンティティはアクセスを制限し、その属性を付与するが、プロンプトインジェクション、誤ったツールの選択、承認された範囲内で行われる有害な行動を防ぐものではない。

したがって、Agentic Identity Hub 3.0は、エンタープライズAIのアイデンティティ境界を確立しようとする取り組みと捉えるのが最も適切だ。組織はこれにより、エージェントの所有者は誰か、どのユーザーまたはワークロードを代表しているのか、何にアクセスできるのか、そしてアクセスをどのように取り消せるのかを把握できる。エージェントが実験段階から本番の業務フローへ移行するにつれ、こうした問いは、モデルを取り巻く任意の追加レイヤーではなく、サイバーセキュリティの中核インフラの一部になりつつある。