はじめに
こんにちは。ネットワールドでネットワーク系SEをしている今井です。
現在、ラスベガスのFontainebleauホテルで開催されているZscaler最大の年次イベント「Zenith Live 2026」に参加しています。本記事では、その技術セッション「Zero Trust for Agentic AI」の内容をまとめます。プロダクト担当のDavid Sedgwick氏と、AIセキュリティ開発を率いるAjit氏が登壇し、自律的に動く「AIエージェント」をターゲットにした最新のゼロトラスト・アーキテクチャについて、技術的な実装詳細とデモを交えて解説しました。
Zenith Live 2026 現地レポートシリーズ
【Zenith Live 2026】基調講演まとめ｜AIエージェント時代のゼロトラスト戦略 - ネットワールド らぼ
【Zenith Live 2026】基調講演まとめ Day-2 （現地レポート） - ネットワールド らぼ
【Zenith Live 2026】セッションレポート｜AIエージェント時代に不可欠なゼロトラスト実装と「AI Broker」 - ネットワールド らぼ (本記事)
【Zenith Live 2026】全体まとめ （現地レポート） - ネットワールド らぼ
- はじめに
- セッションのポイント：ゼロトラストの「エージェント」への自然な拡張
- 1. AI Brokerを構成する「6つのビルディングブロック」
- 2. AIエージェント特有の課題：誰の指示で実行されたのか分からなくなる
- 3. デモ：設定ミスによる「権限暴走」をインラインで阻止
- その他のキーワード
- 結論
免責事項
本記事は、Zenith Live 2026の技術セッション「Zero Trust for Agentic AI」の内容をもとに筆者が作成したレポートです。 記事中の内容は執筆時点の情報に基づいており、今後変更される可能性があります。 記事に記載された内容は筆者の理解に基づくものであり、正確性・完全性を保証するものではありません。 最新の情報については、Zscaler社の公式情報をご確認ください。
セッションのポイント：ゼロトラストの「エージェント」への自然な拡張
Zscalerはこれまで、ユーザー、アプリケーション、データ、ワークロードに対してゼロトラストを適用してきました。AIエージェントが自律的に行動し、APIを通じてシステム間通信を行う現在の環境において、この原則をエージェントへと拡張するのは「自然な進化」であるとDavid氏は述べました。
エージェント環境におけるゼロトラストは、単なる認証だけでなく、「何にアクセスできるか」や、「AIエージェントにどこまで行動を許可するか」を制御するAIエージェントの行動範囲そのものを最小化することが重要であると説明されました。この考え方は“Least Agency（AIエージェントが実行できる行動範囲そのものを最小化する考え方）”として紹介されました。
この考え方を実現する中核コンポーネントとして紹介されたのが「Zscaler AI Broker」です。
1. AI Brokerを構成する「6つのビルディングブロック」
Zscalerが提唱する「AI Broker」は、以下の6つの要素で構成されています。
- 標準プロトコルのサポート: 現在はMCP (Model Context Protocol)*1 をサポートしており、まもなくA2A (Agent-to-Agent) *2通信にも対応予定です。
- エージェント・レジストリ機能: MCPサーバーやエージェントのインベントリを管理し、リスクを格付けします。
- アイデンティティと認証機能: ユーザーIDとエージェントIDを融合させた「Fused ID（ユーザーIDとエージェントIDを統合した識別子）」を採用し、エージェントやMCPサーバー間をまたぐ処理の流れをエンドツーエンドで追跡します。
- ポリシーエンジン: 「どのURLを許可するか」ではなく、ツール、機能、スキル*3に基づいてポリシーを定義します。
- インライン検査 (AI Protect)機能: AI GuardrailsによるIntent-based Detection（意図ベース検査）や、高リスクツールの検出を行い、エージェント利用時のリスク低減を支援します。
- オブザーバビリティ*4と監査：長期化・多段階化するエージェントの対話やツール実行履歴をエンドツーエンドで可視化し、「誰が・どのエージェントが・何を実行したのか」を追跡可能にします。
2. AIエージェント特有の課題：誰の指示で実行されたのか分からなくなる
Ajit氏は、エージェント同士が連携する環境において、処理の起点や権限を追跡することが難しくなる点を課題として、以下2点を挙げました。
- Context Collapse（コンテキストの複雑化）：エージェントやMCPサーバーを経由するたびに処理に関する情報が増え、最終的に処理全体の流れや権限関係を把握しにくくなる問題
- Provenance Failure（起点情報の喪失）：通信が連鎖する中で、最終的な処理実行時に「誰がその処理を開始したのか」という起点情報が失われてしまう問題
これらの解決策として、Zscalerは、各ノード間の委譲関係を暗号学的に証明しながら信頼チェーンを形成するアプローチを紹介しました。これは、リクエストが各ノードを通過するたびに暗号技術的に証明され、最終的なアクセス先に対して必要な情報のみを伝達し、権限範囲を最小化することを目指しています。
3. デモ：設定ミスによる「権限暴走」をインラインで阻止
デモでは、こうした課題が実際にどのようなリスクにつながるかを示す事例として、本来「読み取り専用」であるべきエージェントが、管理者の権限を不適切に引き継いでしまい、重要なアプリケーションセグメントを削除できてしまう「設定ミス（Misconfiguration）」のシナリオが紹介されました。
AI Brokerを導入することで、バックエンド（ZPAなど）の設定を修正することなく、インラインで「削除命令（Delete）」のみをブロックし、「読み取り」のみを許可する動的な制御が実演されました。
その他のキーワード
- 「ローカルでのベンチマークは個人の自由だが…」 質疑応答では、AI Brokerを用いてAIエージェントやLLMへの通信をインラインで検査・制御する以外に、ローカル端末上で評価を行うことはできないのかという質問が出ていました。Ajit氏は、ローカル端末上での評価も技術的には可能だが、CPU・GPU・バッテリー消費とのトレードオフがあるため、今後の顧客ニーズを見ながら検討していく必要があると説明されました。
- 静的なAPIキーからの脱却 「Zero Static Secret」を掲げ、流出しやすいAPIキーを廃止し、動的に発行されるトークンへ移行することの重要性が強調されました。
結論
AIエージェントの普及に伴い、従来のユーザー中心のゼロトラストだけでは対応が難しい課題への対応が求められています。本セッションでは、AI Brokerを中心に据えた新たなアーキテクチャにより、エージェントのアイデンティティ管理、権限制御、リスク評価をどのように実現しようとしているのかが示されました。AI活用が本格化する中で、こうした「Agentic AI時代のゼロトラスト」は今後ますます重要なテーマになりそうです。
