新シラバス 第3章 リスク・安全性・評価
権限の過剰付与とは（3つの原因と予防）
生成AIパスポートの新シラバス（2027年2月試験より適用）では、第3章のAIエージェントの学習項目に、権限の過剰付与のリスクが入っています。権限の過剰付与は、エージェントに、目的に要る以上の機能・権限・自律性を与えてしまうことです。
このページは、公式シラバスの項目に沿って、OWASPの解説とIPAの手引書の範囲で整理しています。特定の製品の設定方法ではなく、試験対策としての用語の整理です。
公式情報の確認
試験日、料金、申込条件、試験方式など変動する情報は、公式情報を最終確認してください。 当サイトの一次情報確認日: 2026-08-31。
試験の出題範囲・実施要項は変動するため、受験前に公式情報を確認してください。
結論
- 権限の過剰付与の原因は、過剰な機能・過剰な権限・過剰な自律性の1つ以上
- 予防は、機能と権限を必要最小限にし、影響の大きい操作の前に人が承認する
- 許可の判断はLLMに任せず、つなぎ先のシステムで検証する
- プロンプトの指示だけに頼らず、システムの制御として組み込む
権限の過剰付与の定義
OWASP GenAI Security Projectは、LLMの予想外・曖昧・操作された出力に応じて、損害のある動作を実行できてしまう弱点を、Excessive Agencyと呼んでいます。公式シラバスの「権限の過剰付与」は定義文を載せていないため、このページではOWASPの考え方と対応づけて整理します。
問題は、LLMが間違えること自体より、間違えたときに実行できてしまう操作が大きすぎることです。外部のシステムを操作するエージェントほど、与えた機能や権限が、そのまま被害の大きさを決めます。
一次資料: OWASP GenAI Security Project「LLM06:2025 Excessive Agency」
3つの原因
OWASPは、根本原因を3つに分けています。例はOWASPの記載です。
| 原因 | 状態 | 例 |
|---|---|---|
| 過剰な機能 | 目的に要らない機能まで、エージェントが使える状態 | 文書を読めればよいのに、選んだ拡張機能に変更・削除の機能も入っていた |
| 過剰な権限 | つなぎ先のシステムに対して、目的に要らない権限を持つ状態 | 読むだけの拡張機能が、SELECTのほかUPDATE・INSERT・DELETEの権限を持つ識別情報でデータベースにつながる |
| 過剰な自律性 | 影響の大きい操作を、確認や承認なしに実行できる状態 | 利用者の文書を削除する拡張機能が、利用者に確認せず削除する |
機能は「何ができるか」、権限は「つなぎ先で何を許されているか」、自律性は「確認なしにどこまで進めるか」と見分けます。問題文で、どの軸が行き過ぎているのかを読み取ると選びやすくなります。
メール大量削除の事例
IPAの手引書は、権限外の操作による被害の事例として、自律型のAIエージェントにメールへのアクセス権を与えた結果、数百通のメールが大量に削除された事案を挙げています。手引書はこのような被害が、メール送信・ファイル操作・API呼び出しなどで外部システムと連携する場合に起きやすいとしています。
手引書は原因を、メールの読み書きと削除を含む過剰な権限を付与したことと、実行前の人の承認をシステムの制御として組み込まず、プロンプトによる指示だけに頼ったことと整理しています。「指示で止める」のではなく「仕組みで止める」のが、この事例の教訓です。
一次資料: IPA「生成AIおよびAIエージェントを安全に活用するための手引書」（2026年）
予防の考え方
OWASPが挙げる予防策のうち、このページの論点に関わる5つを並べます。
| 予防策 | 内容 |
|---|---|
| 機能を必要最小限にする | エージェントが呼べる拡張機能と、その機能を必要なものだけにする |
| 権限を必要最小限にする | つなぎ先への権限も最小にする。商品データベースを読むだけなら、商品テーブルの読み取りだけ |
| 利用者の文脈で実行する | 個々の利用者の代わりに動く操作は、その利用者の権限の範囲で行う |
| 人の承認を求める | 影響の大きい操作の前に、人が承認する（Human-in-the-Loop） |
| 許可の判断を下流で行う | 操作してよいかをLLMに任せず、つなぎ先のシステムで検証する（complete mediation） |
IPAの手引書は、情報検索だけが目的のAIシステムには読み取り専用の権限だけを付け、書き込み・削除・外部送信・権限の変更を許可しない構成を挙げています。一方で、第三者への加害の対策の中で、最小権限の範囲内で実行できる操作を悪用した加害までは防げないという残存リスクも述べています。一つの対策で完全に防げるとする選択肢は、複数の対策を重ねる考え方に合いません。外部の文章による指示の乗っ取りはプロンプトインジェクションとはで整理しています。
シラバスとの対応
権限の過剰付与は、新シラバスの二か所に出ます。
| 場所 | 内容 |
|---|---|
| 第3章 AIエージェント／リスク・安全性・評価（学習項目） | 権限の過剰付与のリスク、連鎖的なエラーの拡大、プロンプトインジェクション、安全に使うための原則、AIエージェントの評価 |
| 同（詳細キーワード） | 最小権限の原則、サンドボックス、ホワイトリスト、Human-in-the-Loop、多層防御、権限の過剰付与、アクセス範囲、ガードレールなどが並ぶ |
| 第4章 生成AIの代表的リスク | 自律型AIエージェントの想定外の挙動とプロンプトインジェクションが学習項目に含まれる |
シラバスは最小権限の原則、サンドボックス、ホワイトリスト、多層防御を用語として列挙するだけで、定義文は載せていません。章立ての変更点は2027年2月試験の新シラバスに、現行（旧シラバス）の第3章の演習は第3章の問題を解くから取り組めます。
よくある質問
権限の過剰付与とは、一言でいうと何？
OWASPは、過剰な機能、過剰な権限、過剰な自律性のうち1つ以上が根本原因になるとしています。エージェントに、目的に要る以上の機能・権限・自由を与えてしまうことと押さえます。
最小権限の原則とは何ですか？
公式シラバスは用語として挙げるだけで定義文を載せていません。一般的な情報セキュリティの用語として、必要な範囲だけを付与する考え方です。OWASPの例では、データを読むだけなら読み取りの権限だけを付けます。
最小権限にすれば、被害は起きませんか？
いいえ。IPAの手引書は、第三者への加害の対策の中で、最小権限の範囲内で実行できる操作を悪用した加害までは防げないという残存リスクを述べています。人の承認など、ほかの対策と重ねます。
プロンプトで「勝手に削除しないで」と指示しておけば足りますか？
足りません。IPAの手引書は、メール大量削除の事例の原因として、人の承認をシステムの制御として組み込まず、プロンプトの指示だけに頼っていたことを挙げています。OWASPも、許可の判断はLLMに任せず下流のシステムで行うよう勧めています。
プロンプトインジェクションとの違いは？
プロンプトインジェクションは、入力でLLMの挙動を意図しない形に変えられる攻撃です。権限の過剰付与は、エージェントに必要以上の機能・権限・自由を与えることで、被害が広がりやすくなる問題です。
