Zscalerは年次イベント「Zenith Live 2026」で、ゼロトラストの概念をAI領域に拡張する新製品群を発表しました。中核となる「Zscaler AI Access Graph」は、企業内のアイデンティティやアプリケーションが、どのAIモデルやデータソースと接続しているかを動的に可視化し、データの来歴を追跡しながら過剰な権限を削減する設計となっています。この発表は、生成AIとAIエージェントの業務利用が加速する中で、従来の境界防御モデルでは対応しきれない新たなセキュリティ課題への回答として注目されます。
参考: Zscaler、AIにも拡張した「Zero Trust Everywhere」を発表（EnterpriseZine）
分析・見解
「誰が・どのAIに・何を渡すか」を管理する新基準
従来のゼロトラスト（＝あらゆる通信を信用せず都度確認する考え方）は、人間のユーザーとアプリケーションの間のアクセス制御を主な対象にしてきました。しかし、AIエージェントが自律的にデータを取得し判断を下す時代には、「誰が」「どのモデルに」「どのデータを渡すか」という三つの軸での管理が欠かせません。Zscalerの新製品群が示すデータ来歴追跡（＝出力結果がどの情報源に基づくかを遡って確認できる仕組み）は、単なるアクセスログの記録を超えるものです。
AIの過剰権限は人間の操作の数十倍の速度で広がる
特に重要なのは、過剰な権限を与えてしまった場合の影響範囲が、従来の人間の操作とは桁違いに大きい点です。人間なら一度に数件のデータにアクセスする程度ですが、AIエージェントは秒単位で数千件のレコードを処理できます。もし不適切な権限が付与されていれば、気付かないうちに機密情報が大量に学習データとして使われ、意図しない情報漏洩につながる恐れがあります。
来歴追跡はGDPR対応など監督強化の受け皿になる
AI Access Graphのような可視化ツールは、セキュリティ部門だけでなく、データガバナンス部門やコンプライアンス部門にとっても価値があります。GDPR（＝欧州の個人データ保護規則）や個人情報保護法が求める「データ処理の透明性」を、AIの文脈で実現する手段になるためです。今後、AIの利用が規制当局の監視対象となる中で、こうした来歴追跡機能は標準装備になっていくでしょう。
ビジネスへの影響
AIエージェント専用のアクセス権限を設計し直す
生成AIを業務に導入する企業は、まず既存のアクセス権限の設計を見直す必要があります。人間向けに設定した権限をそのままAIエージェントに適用すると、過剰なデータアクセスが発生するためです。具体的には、AIエージェントごとに異なる権限レベルを設定し、必要最小限のデータソースへのアクセスに限定する設計が求められます。
学習利用や外部送信の可否でデータを分類し直す
データ分類の再整理も欠かせません。従来は「公開」「社内限定」「機密」といった三段階の分類で十分だったかもしれませんが、AIの学習データとして使えるかどうか、外部モデルへ送信してよいかどうかといった新たな軸での分類が必要になります。
AI判断の根拠を追跡できる監査体制が説明責任の鍵
さらに、AIの出力結果に対する監査証跡の確保も重要です。AIが生成した提案や判断が、どのデータソースに基づいているかを後から検証できる仕組みがなければ、コンプライアンス上の説明責任を果たせません。Zscalerのようなプラットフォームを導入するかどうかに関わらず、AI時代のゼロトラスト設計は、すべての企業が取り組むべき喫緊の課題です。