プロンプト、ビジネスデータの取り扱い、Slack、メール、WhatsApp などのチャネルを通じたユーザー対話が可能な自律型 AI エージェントの登場は、まさにランスフォーメーションと言えます。
しかし、その大きな変革の陰には「過度な過熱感」が存在しており、Agentforce のセキュリティに関する主張のすべてが正確であるとは限りません。
先日の LinkedIn Live では、カスタマーサクセス＆プリセールス部門責任者の Connor Casey （コナー・ケーシー）と、Salesforce エンジニア＆アーキテクトの Tapas Tripathi （タパス・トリパティ）が対談し、過熱した噂と現実を切り分け、初日から Agentforce を安全に運用・保護する方法について紐解きました。
Salesforce における Agentforce は、エンドツーエンドで「デフォルトで安全」なわけではない
Agentforce は Salesforce ネイティブの機能ですが、だからといって自動的に安全が保障されるわけではありません。
Salesforce 上の他のすべての AI と同様に、Agentforce も「責任共有モデル」に従っています。Salesforce は Einstein Trust Layer などのプラットフォーム保護を提供しますが、設定、アクセス権限、および貴社側での Salesforce データガバナンスを管理するのは、お客様自身です。
『Salesforce State of IT: Security Report（ITの現状：セキュリティレポート）』によると、セキュリティリーダーの 79% が「AI 駆動型の脅威は、間もなく従来の防御策を上回るスピードで増加する」と予測しています。
データセキュリティは、「仕方なく行う悪習」や「単なるチェックボックスを埋める作業」として捉えるべきではありません。それは信頼とイノベーションを生み出す触媒（カタリスト）なのです。
以下の点を決定する必要があります：
- Agentforce が Salesforce データにどのようにアクセスするか
- 各 AI エージェントに何を許可するか
- どのようなガードレールと権限を設定するか
適切なガバナンスがなければ、AI エージェントは Salesforce におけるフィッシング、データ漏洩、マルウェアの再浮上など、Salesforce の攻撃ベクターへの露出を増大させる可能性があります。
「AI エージェントは強力ですが、ガードレール、監視、明確なセキュリティ戦略が必要です。エージェントが指示（スクリプト）から逸脱した動作をした場合、それは単なるバグではなく、ビジネス上のリスクとなるからです」Connor Casey（カスタマーサクセス＆プリセールス部門責任者）
Agentforce における主なセキュリティリスク
Agentforce は Salesforce のセキュリティモデルを全面的に書き換えるものではありませんが、メリットとリスクの両方を増幅させます。
- ソーシャルエンジニアリング: エージェントが悪意のあるプロンプトに基づいて動作してしまう可能性。
- マルウェアの再浮上: レガシーレコードから、感染したファイルをエージェントが取得・再露出させてしまう可能性。
- プロンプトインジェクション攻撃: 悪意を持って作成された入力により、予期された挙動が迂回される可能性。
- データ漏洩: クロスチャネル統合を通じて機密データが露出する可能性。
これらは決して新しい脅威ではありませんが、AI のスピード、自律性、クロスプラットフォームにおける到達力によって、検知や封じ込めが難しくなっています。現実世界の事例については、サイバー脅威に対する Agentforce のセキュリティに関する記事をお読みください。
Agentforce を安全にデプロイする方法 — Secure-by-Design（設計段階からの安全確保）モデル
Salesforce における Agentforce のセキュリティに向けた Secure-by-Design フレームワークは、「構築（Build）」「検証（Validate）」「デプロイ（Deploy）」「監視（Monitor）」の 4 つの必須フェーズで構成されています。各フェーズは、AI エージェントのリスクを最小限に抑え、全体的な Salesforce セキュリティ体制を強化するように設計されています。
1. 構築（Build）
各エージェントの目的を明確にします。1 つの明確に定義された役割を与え、誤解の余地がほとんどないプロンプトを作成し、アクセス範囲が本来の目的に合致していることを確認します（アクセス権限は少ないほど良好です）。
2. 検証（Validate）
信頼する前にテストを実施します。学習データをレビューし、エージェントがどのように応答するかシミュレーションを実行します。ハルシネーション（幻覚）や奇妙な挙動を早期に発見することで、後々のトラブルを防ぎます。
3. デプロイ（Deploy）
環境を分離して制限を維持します。管理された環境でエージェントを立ち上げ、実際に必要な権限のみを付与し、実行したアクションを把握できるようにイベントログを記録します。
4. 監視（Monitor）
状況を常に把握します。エージェントがどのように使用されているかを追跡し、エージェントのアクティビティ内にある脅威を監視します。
このアプローチにより、セキュリティは Agentforce の構築および運用の不可欠なプロセスとなります。
Agentforce 導入時に陥りがちな Salesforce セキュリティの落とし穴
Salesforce で Agentforce を保護する際、繰り返し発生する 3 つの間違いがあります。
1 つ目は過剰な権限付与（Over-permissioning）です。AI エージェントは実行環境となるアカウントと同じユーザーアクセス権を継承するため、過剰な権限はセキュリティ上の露出（リスク）を著しく増大させます。2 つ目は汚れたデータや古いデータへの依存です。古いケース（問合せ）レコードは、マルウェアが仕込まれた添付ファイルから、意思決定を妨げる不完全な推奨事項に至るまで、セキュリティ上の脅威を再びもたらす可能性があります。
最後に、多くのチームがセキュリティ実装を後回しにする間違いを犯しています。本番公開後まで対策を待ってしまうと、エージェントが初日から実際のデータやユーザーとやり取りするため、即座に攻撃対象とされるリスクが生じます。
Agentforce 向けのネイティブな脅威対策
これらのギャップを埋める最も効果的な方法の 1 つは、Salesforce 内部で動作するネイティブな脅威対策を追加することです。
WithSecure Cloud Protection for Salesforce は、リアルタイムの Agentforce 脅威検知機能を提供し、悪意のあるファイル、フィッシングリンク、ランサムウェアがユーザーやエージェントに届く前に阻止します。また、ミドルウェアや遅延を発生させることなく、Slack、WhatsApp、メールにわたる Salesforce AI エージェントのやり取りを保護し、アイデンティティ保護ツールと連携して、エージェントを介して操作を行おうとする侵害されたアカウントを特定・通知します。
「Salesforce はツールを提供し、Agentforce はインテリジェントな自動化を提供します。しかし、それをどのように構築するかはお客様次第であり、それが貴社のセキュリティ体制を決定づけます。」 Tapas Tripathi（Salesforce エンジニア＆アーキテクト）
Agentforce を安全にデプロイするための専門家からのヒント
実際の導入現場や AI デプロイメント・フレームワークを踏まえると、いくつかのベストプラクティスが浮かび上がってきます：
- エージェントを汎用化しようとするのではなく、1 つのエージェントに 1 つの明確な役割を与えます。
- セットアップ時に厳格なガードレールを適用し、デプロイ前には必ず Sandbox でテストを実施します。
- 本番環境への移行後は、異常を早期に発見するために定期的にエージェントの応答を監査します。
- AI セキュリティガバナンスを、チームの継続的なトレーニングの一環として組み込みます。
Salesforce AI エージェントには「セキュリティ第一」のマインドセットが必要
Agentforce は、ビジネスプラットフォームにおける AI の新たな運用モデルです。
競合優位性は、単に早く導入することから生まれるのではなく、「いかに安全にデプロイするか」から生まれます。
🎥 Agentforce セキュリティのベストプラクティス、神話と現実について詳しく知るために、Connor と Tapas による対話の全編アーカイブ動画をぜひご覧ください。