最小権限の原則 Principle of Least Privilege
一言でいうと: ユーザーやシステム(AIエージェントを含む)には、業務に必要な最小限の権限だけを与えるという設計原則。
詳しい解説
最小権限の原則は、ユーザーアカウントやシステム、AIエージェントに対して、その役割・タスクを遂行するために必要最小限の権限だけを付与するべきという、情報セキュリティの基本的な設計原則です。「念のため」「将来使うかもしれないから」といった理由で過剰な権限を与えることは、万一そのアカウントやシステムが乗っ取られた際の被害範囲を不必要に拡大させます。ゼロトラストやIAM、AIエージェントの「過剰な自律性」対策の根底にある共通の考え方です。
なぜ重要か / 企業への影響
AIエージェントを業務に導入する際、開発の手間を省くために広範な権限をまとめて付与してしまうケースが見られますが、これは最小権限の原則に反し、プロンプトインジェクション等でAIが乗っ取られた際の被害を拡大させます。企業がAIエージェントを設計する段階で、「このAIは本当にファイル削除の権限まで必要か」「読み取り専用で十分ではないか」を都度検討し、権限を絞り込むことが、シンプルながら効果の高いセキュリティ対策になります。
最終更新日: 2026年7月13日
関連用語
- IAM(ID・アクセス管理) Identity and Access Management — 「誰が」「何に」「どこまで」アクセスできるかを一元管理する仕組み。AIエージェントの権限管理にも応用される。
- 過剰な自律性(AIエージェント) Excessive Agency — AIエージェントに与える権限や自律性が、実際に必要な範囲を超えてしまっている状態。OWASP LLM Top 10の項目の一つ。