AIエージェントをストアに接続しても安全？アクセス権限、パスワード、セキュリティチェックリスト

AIエージェントをストアに接続しても安全と言えるのは、3つのことを管理できているときです。アクセスできる範囲、確認なしでできること、残る記録です。広いアクセス権限を持ち、パスワードを共有され、記録も残らないエージェントは危険です。何をしたのか誰にも説明できず、それ以上の行動を止めることもできないからです。

このガイドでは、エージェントがシステムにアクセスする方法、オンラインストアにとって重要なリスク、どのベンダーにも使えるチェックリスト、接続前に書面で尋ねるべき質問を説明します。最後に、Conciergeがそれぞれの点にどう対応しているかを紹介します。

• 過剰なアクセス権限：注文の質問に答えるだけのエージェントに、テーマの変更を公開したり割引を編集したりする権限は不要です。余分な権限は、すべて問題が起きる原因になりえます。
• 取り消せない操作：返金、キャンセル、データの削除です。これらは人が依頼するか、承認するようにします。
• 本人ではない相手とのやり取り：メールアドレスや注文番号を知っているだけの相手に、注文の詳細を伝えてしまうことです。
• チャットの中のパスワード：会話に入力したパスワードは、ログ、会話記録、エクスポートに残る可能性があります。
• 作業後に残るもの：仕事のあとにマシンに残るファイル、セッション、データです。次の仕事からアクセスできてしまいます。
• コンテンツに隠された指示：エージェントが読むメール、ウェブページ、ファイルに、エージェントを操るための文章が含まれていることがあります。これをプロンプトインジェクションと呼びます。エージェントにできることを制限すれば、悪意ある指示の被害を減らせますが、ベンダー自身の防御策の代わりにはなりません。防御策についても確認してください。
• 記録がない：エージェントが何をなぜしたのかわからなければ、ミスを直すことも、起きたことを証明することもできません。

• 各エージェントは、仕事に必要な権限だけを持っています。
• 各エージェントは、割り当てたチャネルにだけ応答します。
• エージェントが自分で決めた変更は、「はい」を待ってから行います。
• 返金はチームが承認します。
• エージェントが個人情報を伝えたりアカウントを変更したりする前に、お客様が本人確認をします。
• チャットにパスワードを入力する人はいません。ウェブサイトへのサインインは人が自分で行います。
• コードやファイルが必要な作業は隔離されたマシンで実行し、仕事のあとに消去します。
• すべての依頼、承認、操作、返信が記録され、簡単に確認できます。
• エージェントの記憶からお客様を特定できず、忘れさせることもできます。
• ツールの接続はワンクリックで取り消せ、チームメンバーが退職すれば一緒に外れます。
• 録音とデータは、設定したスケジュールで削除されます。
• 有効にする前に、実際のお客様が関わらない環境でエージェントをテストしました。
• チームの中で誰がエージェントとチャネルを変更できるか把握しています。

これらの質問は書面で尋ね、回答を保管してください。明確に答えられないベンダーは、それ自体が判断材料になります。

• 認証：SOC 2 Type IIなど、どのセキュリティ監査を受けていますか？NDAのもとで報告書を見せてもらえますか？
• チームのサインイン：SAMLによるシングルサインオン（SSO）に対応していますか？
• モデルの提供会社：どのAIモデルの提供会社が当社のデータを処理しますか？そのデータを学習に使う会社はありますか？
• プロンプトインジェクション：メール、ウェブページ、ファイルに隠された指示でエージェントが操られるのを、どう防いでいますか？
• アクセス：エージェントごとに操作を限定できますか？常に承認が必要な操作はどれですか？
• パスワード：エージェントはどのようにウェブサイトにサインインしますか？認証情報はどこに保管されますか？
• 隔離：エージェントはどこでコードを実行し、ファイルを開きますか？そのマシンは作業後どうなりますか？
• 記録：何が記録され、誰が見られ、どのくらいの期間保管されますか？
• 削除：録音、記憶、顧客データはどのように削除しますか？データ消去の要請にはどう対応していますか？
• 再委託先：どの第三者が当社のデータを処理しますか？場所はどこですか？

どのベンダーにも、私たちにも、同じリストで尋ねてください。モデルの提供会社とプロンプトインジェクションについての回答は、ブログ記事ではなくベンダーからの書面で受け取るべきものです。契約に左右され、時間とともに変わるからです。

ChargezenはSOC 2 Type II認証を取得しており、SAML 2.0によるシングルサインオン（SSO）に対応しています。Trust Centerとセキュリティのページをご覧ください。Conciergeの中では、次の制御を現在の製品で利用できます（詳しくはエージェントのセキュリティをご覧ください）。

• エージェントごとのアクセス：各エージェントのConfigure Agentページで、調べてよいこと、実行してよいこと、応答するチャネルだけにチェックを入れます。機能を持たないエージェントは、どう頼まれてもその機能を使えません。
• お客様の本人確認：エージェントが注文やアカウントの個人情報を伝えたり、お客様のアカウントを変更したりする前に、お客様がサインインコードで確認します。
• エージェント自身の発案は「はい」を待つ：明確に依頼された変更は、別途の承認なしで実行します。エージェントが自分で提案するものは、提案という形で先に確認します。誰もいないスケジュールされたタスクでは、損害を与えるおそれのある手順に、チームメンバーの継続的な許可か承認が必要です。エージェントは返品を受け付けますが、返金はチームが担当します。
• 仕事ごとの専用コンピューター：コード、スプレッドシート、ファイルが必要な仕事では、ほかのシステムから切り離された専用のコンピューターをエージェントが使います。作業が終わるとシャットダウンされ、次の仕事は新しいコンピューターで始まります。
• サインインは本人が行う：ウェブサイトにログインが必要なときは、エージェントが画面を渡すので、自分でサインインします。パスワードがチャットに入ることはありません。
• すべての手順の記録：すべての依頼、承認、ツールの使用、返信は、会話とOperate > Historyに保存されます。
• プライバシーを尊重する記憶：エージェントが学ぶのはビジネスの進め方で、お客様が誰かではありません。記憶にはそれぞれ対象範囲があり、Forgetを使うと完全に消去されます。
• 確認された接続：ChatGPT、Claudeなどのアシスタントは、OAuthでサインインし、接続したチームメンバーとして動作します。接続を解除するか、そのチームメンバーを削除すると、アクセスできなくなります。Slackからのリクエストは署名を確認します。
• 保存期間：通話の録音は設定した日数（1〜3,650日）だけ保存され、その後自動で削除されます。リーガルホールドをかけた場合は例外です。Shopifyの顧客データ消去の要請も処理されます。
• チーム向けの個別の権限：Conciergeの閲覧、会話とエージェントの管理、チャネル設定の変更、録音の管理は、それぞれ別の権限です。

• ひとつの仕事を担当するエージェントを1体作り、その仕事に必要な最小限の機能だけを与えます。
• お客様に対応させる前に、Playgroundで実際の質問を使ってテストします。
• 音声を有効にする前に、通話の録音ポリシーを設定します。
• チームの中で誰がエージェントとチャネルを管理できるかを決めます。
• 最初の1週間は、会話の履歴を毎日確認します。

Conciergeは、上記の制御を組み込んだデジタル従業員をストアに提供します。承認、仕事ごとの専用コンピューター、サインインをあなたに任せるブラウザ、プライバシー管理です。Concierge Starterは月額US$20で、20,000クレジットが含まれます。Proは月額US$199（または年額US$1,990）で、199,000クレジットが含まれます。追加クレジットは1,000クレジットあたりUS$1、通話とSMSの料金は使った分だけ請求され、ユーザー数による課金はありません。料金プランをご覧ください。

用語集：最小権限アクセス、認証情報の受け渡し、エージェントのサンドボックス、OAuth、シャドーAI、AIガードレール、監査証跡、コンピューターユース、ブラウザエージェント。次に読む：人の確認を挟む運用の方法、AIサポートエージェントを4段階で導入する方法、汎用AIエージェントでShopifyのサポートを運用できますか？

はい。各エージェントが仕事に必要なアクセスだけを持ち、エージェント自身の発案は「はい」を待ち、返金はチームが担当し、すべての手順が記録されているなら安全です。管理者パスワードを要求するツールは避けてください。

いいえ。組み込みの接続とOAuthを優先してください。ログインが必要なウェブサイトをエージェントが使う場合は、人がサインインするべきです。Conciergeでは、エージェントが画面を渡すので、パスワードがチャットに入ることはありません。

はい。ChargezenはSOC 2 Type II認証を取得しており、SAML 2.0によるシングルサインオンに対応しています。詳しくはTrust Centerをご覧ください。

プロンプトインジェクションとは、メール、ウェブページ、ファイルに隠された文章で、依頼していないことをAIエージェントにさせようとするものです。どう防いでいるかを各ベンダーに書面で尋ね、各エージェントにできることを制限してください。