📚 連載「AI前提の組織を"組む"」第4回 / 全5回
連載「AI前提の組織を"組む"」第4回。
AI エージェントは、仕事を分割して子タスクへ委任する。ここに、見落とされがちな漏れ口がある。**委任は、権限が増える方向に漏れやすい。**親には無かった力を、子タスクが手続きの途中で新設してしまう。あるいは、親が「読むだけ」の権限しか持たないのに、子が「書き込み」まで要求して通ってしまう。第4回の破れはこれだ。子が親より強い権限を持てる隙を、どう塞ぐか。
一度この漏れを許すと、危険は連鎖する。子がさらに孫へ委任するとき、増えた権限がそのまま引き継がれ、末端では誰も意図していない強い力が動く。委任のたびに権限が単調に増えていく系は、いずれ必ず事故を起こす。原則は逆でなければならない。**委任のたびに、権限は同じか、減るだけ。**順に、破れ・古典・設計で辿る。
必要な最小の権限だけで動く
権限をどう配るかは、計算機の安全設計が長く扱ってきた。中心にあるのが最小権限の原則(principle of least privilege)だ。ジェローム・サルツァーの元の定式が、簡潔に言い切っている。
Every program and every privileged user of the system should operate using the least amount of privilege necessary to complete the job
システムのあらゆるプログラム、あらゆる特権ユーザーは、その仕事を完了するのに必要な最小限の権限で動作すべきだ(Wikipedia「Principle of least privilege」)。必要な分だけ、必要なときだけ。多めに渡しておく、はここでは禁じ手だ。
では、権限そのものをどう表すか。capability-based security は、権限を「持っていること自体が行使できる証票」として扱う。
a communicable, unforgeable token of authority
権限とは、譲渡可能で、偽造できない、権威の証票である(Wikipedia「Capability-based security」)。証票を持っていることが、そのまま行使できることを意味する。だから、証票を渡すこと(委任)を、どう制御するかがすべてになる。
その制御の中心にあるのが、減衰(attenuation)だ。強い証票から、より弱い証票を作って渡す。
given one reference of an object, create another reference for a proxy object with certain security restrictions, such as only permitting read-only access or allowing revocation
ある対象への参照から、読み取り専用に限る、あるいは取り消し可能にするといった制限を課した代理への参照を作る(Wikipedia「Object-capability model」)。子に渡すのは、親の証票そのものではなく、制限を足した弱い証票だ。委任は、権限を増やす操作ではなく、削る操作になる。
設計 — 委任辺で「子 ⊆ 親」を機械判定する
原則を、機械が判定できる床にする。
1. 部分集合であることを、辺ごとに検査する。 親から子への委任の一つひとつ(委任辺)で、子の能力が親の能力の部分集合であることを確かめる。付与された権限の集合は親の集合に含まれ、権限の上限は親の上限以下、使える予算は親の予算以下。一つでも親を超えたら、その委任は違反として弾く。「増えていないこと」を、渡す瞬間に確かめる。
2. 鎖の全体を検査する。 親から子、子から孫へと続く委任の鎖を、辺ごとにではなく端から端まで検査する。各辺が部分集合でも、記録の順序が壊れていたり、途中の輪が欠けていたりすれば、鎖は信用できない。壊れた鎖は、黙って通さず、明示的に不正として扱う。
3. 未知の権限次元は、fail-closed で拒否する。 ここが空緑(第3回)を防ぐ肝だ。将来、新しい種類の権限が増えたとき、検査器がそれを知らないと、「知らない権限は素通し」で穴が開く。だから逆に倒す。**知らない権限次元が現れたら、その委任を拒否する。**安全側(closed)に倒すことで、検査器の未対応が、そのまま権限漏れになるのを防ぐ。「知らないから通す」ではなく「知らないから止める」。
この三つで、委任は「増やす操作」から「同じか減らす操作」へ固定される。最小権限は心がけではなく、渡す辺で機械が弾く条件になる。証票が偽造できない(unforgeable)ことと、委任で必ず減衰することの二つが揃って、末端のエージェントが親の意図を超える力を持つ道が閉じる。
次回は、連載の最後。ここまで作った床の「置き方」そのもの（人間の点検をどこに、どれだけ挟むか）を、信念でなく証拠で決める方法を扱う。組織が、自分自身を実験台にする話だ。
出典
本稿の引用はすべて一次資料と逐語照合（verify_article 通過）のうえ掲載しています（2026-07-12 検証）。
[1] https://en.wikipedia.org/wiki/Principle_of_least_privilege
[2] https://en.wikipedia.org/wiki/Capability-based_security
[3] https://en.wikipedia.org/wiki/Object-capability_model
連載「AI前提の組織を"組む"」の前後
- ← 第3回: 「床が飾り」を潰す — テストが通っても中身が空
- → 第5回: 組織が自分を実験台にする