生成AI時代、企業に3層の認証設計が求められる背景とは

生成AIとAIエージェントの普及で、オンライン上の相手が人間か自動化プログラムかを見分けにくくなっています。
企業には、従来の本人確認に加えて、人間であることやAI操作への承認を確認する設計が求められます。
低リスク操作は自動化し、高リスク操作では人間の承認を求める切り分けが重要になります。

記事の概要

Cloudflareによれば、インターネット上のウェブリクエストの約57％を自動化されたボットトラフィックが占めています。
HUMAN Securityの2026年版ベンチマークでは、2025年のAIエージェント由来のトラフィックが前年比7851％増加しました。
日本では、警察庁によると2024年のSNS型投資・ロマンス詐欺の認知件数が1万237件に達しました。
同詐欺の被害額は約1272億円で、AIを使った不正に限らないものの、オンラインの信頼性が課題になっています。
従来のIDやパスワード、多要素認証、端末管理などは、資格情報や端末、権限の正当性を主に確認します。
一方で、認証情報の窃取や生成AIによる音声・映像のなりすましは、正規ユーザーを装うリスクを高めます。
企業は、法的な本人確認、人間であることの確認、人間の意思や承認の確認を分けて設計する必要があります。

記事のポイント

1. 3つの確認対象： 法的な本人確認、Proof of Human、人間の意思や承認を確認する3層を分けて考える必要があります。
2. 操作ごとに強度を調整： 情報収集や下書き作成はAIに任せ、高リスク操作では明示的な人間の承認を求める設計が重要です。
3. 個人情報を絞る設計： 強い保証が必要な場面でも、判断に必要な情報だけを求め、追加の個人情報を保存しない配慮が必要です。

このニュースがもたらす影響

• 導入を検討する企業： AIに任せる操作と人間の承認を要する操作を洗い出し、業務ごとに認証強度や承認記録の要件を設計し直す必要がありそうです。
• セキュリティ担当者： IDや端末の正当性だけでなく、利用者が人間か、AI操作を承認したかまで監査対象に加え、既存の認証基盤との役割分担を整理することが求められそうです。
• AIサービス提供者： 自動化を一律に遮断するのではなく、低リスク操作は円滑にしつつ、高リスク操作で人間の意思を証明できる仕組みを組み込むことが競争条件になり得ます。

このニュースの背景

生成AIとAIエージェントにより、人間らしい文章や音声、画像、行動を自動生成しやすくなっています。
Cloudflareによれば、ウェブリクエストの約57％が自動化されたボットトラフィックで、HUMAN SecurityのベンチマークでもAIエージェント由来のトラフィックが大幅に増えています。
従来のID、パスワード、多要素認証、端末管理などは資格情報や端末、権限を主に確認するため、正規ユーザーを装う行為や、本人が許可したAI操作との区別が課題になっています。
そのため企業には、法的な本人確認、人間であることの確認、人間の意思や承認の確認を分けて設計する視点が必要になっています。

関連するニュース

• AI insideは、6つのAIエージェントを連携する新DX Suiteを11月に提供開始します。
• ZENKIGENが、ヒューマネージの「i-web」と「harutaka AI面接」をAPI連携しました。
• Resume Nowの調査で、職場のAI利用は調査や要約が中心で、重要な判断は人間に依存していると分かりました。

詳しい記事の内容はこちらから（引用元）

ZDNET Japan

AIによりオンライン上での人間行動の模倣が容易に--企業に求められる「検証（認証）」の再定義

インターネットは長く、「画面の向こうには人間がいる」という前提の上に成り立ってきたが、生成AIの台頭によりオンラインサー…