【Identiverse 2026レポート後編】AI攻撃者と量子コンピュータの暗号脅威にどう備えるか？次世代ID基盤の防衛戦略

世界最大規模のアイデンティティカンファレンス「Identiverse 2026」が2026年6月15日から18日にかけて米国ラスベガスで開催されました。約4,000人のプロフェッショナルが集結した今年の最大の焦点は、急激に普及するAIエージェントへの適切な権限付与とそれを支えるリアルタイムな認可アーキテクチャ、そしてAI攻撃や量子コンピュータといった新たな脅威でした。

現地で体感したID業界の潮流と、これから私たちのビジネスやセキュリティがどう変わっていくのか、最先端のトレンドを凝縮したレポートの後編です。

Identiverse 2026 とは

Identiverseは、毎年米国で開催されている世界最大規模のデジタルアイデンティティ専門カンファレンスです。Identiverse 2026には4,000人以上の参加者、250人以上のスピーカーが集まりました。

昨年のIdentiverse 2025では、Artificial IdentityとNon-Human Identity（NHI：非人間アイデンティティ）が主要なアイデンティティ領域として整理されていました。AIについては、ディープフェイク、サイバー攻撃の軍拡競争、データの出所や著作権、信頼性と委任が課題として挙げられ、NHIについても可視性や委任の連鎖、大規模化への対応が論点になっていました。また、AIエージェント向けID管理のセッションでは、LLMの暴走（Excessive Agency）に対応するためのきめ細かいアクセス制御、権限管理、最小限の権限委譲、AIエージェントごとのID一意識別などの重要性が取り上げられました。一方で、具体的なエージェント同士の認可まで踏み込んだセッションは限られ、OAuth 2.0に対応できるAIツールもまだ少ないと報告されていました。また、ExpoにNHI専用エリアが設けられるなど注目は高まっていたものの、NHIやAIエージェントの管理モデルは、まだ実装・標準化が広く成熟した段階ではありませんでした。

2026年は、これらの議論が具体的な認可アーキテクチャや標準化、運用上の課題へ移っています。AIエージェントの権限を「アクセス」ではなく「アクション」単位で評価する実行時アイデンティティ、常時特権を持たせないZero Standing Privilege（ZSP）、PEP/PDP間の認可判断を標準化するAuthZEN、MCPにおけるツール呼び出しの認可、そしてShared Signals Framework（SSF）を用いたContinuous Identityが、カンファレンス全体を通じた重要テーマとして取り上げられました。

キーノート会場の様子

本稿では、Identiverse 2026のセッションから主要なトピックを取り上げます。
前編では、AIエージェントへの適切な権限付与と動的なアクセス制御を中心に、実行時アイデンティティ、ZSP、AuthZENの最新動向をご紹介いたしました。以下よりご参照ください。

Identiverse 2026セッション紹介

セッション：Turning Signals into Trust: The Future of Continuous Identity
（シグナルを信頼に変える：継続的アイデンティティの未来）

登壇者：Atul Tulshibagwale (CrowdStrike)
登壇者：Mike Kiser (SailPoint)
登壇者：Sean O'Dell (CVS Health)

概要

本セッションは、OpenID Foundation の Shared Signals Working Group の共同チェアである3名による、Shared Signals Framework (SSF) の現在と未来の展望に関するセッションです。
従来のID連携やフェデレーションモデルは「ゲート (認証時) での静的なチェック」に依存しており、認証後にデバイスの準拠状態が変更されたり、セッションが乗っ取られたりしても、接続先の SaaS アプリケーションや RP (Relying Party) がそれをリアルタイムに検知できないという課題がありました。
これに対し SSF は、非同期かつ信頼性の高い Pub/Sub アーキテクチャを用いて、IdP、デバイス管理 (MDM)、SaaS 間でセキュリティイベントトークン (SET, Security Event Token : JWT 形式の JSON) を伝播させることで、Continuous Identity を実現する標準規格です。
現在すでに Apple、Google、Okta、CrowdStrike などの主要ベンダーによる製品実装 (CAEP や RISC のプロファイル利用) が進んでおり、さらに今後は「人間」のアイデンティティに留まらず、非人間エンティティ (NHI) や AI エージェント、サプライチェーンリスクまでを網羅する「Living Trust Fabric (生きた信頼の織物)」へと進化させることを主眼としています。

「静的なゲートチェック」から「継続的なシグナルプレーン」への転換

セキュリティ侵害は「静かな沈黙の中ではなく、大量のノイズ (ログやシグナルの洪水) の中に隠れている」という現実があります。
これを解決するため、講演ではアーキテクチャを以下の3つのプレーンに整理する Continuous Security Paradigm を提唱しています。

• コントロールプレーン (Control Plane)
  どのイベントを誰から受信し、誰に送信するかという信頼トポロジーの構成。
• シグナル/イベントプレーン (Signals/Events Plane)
  SSF が担うレイヤー。context (セキュリティイベント) を非同期かつ確実にデリバリーする。
• データプレーン (Data Plane)
  PDP (認可エンジン) やゲートウェイが担当するレイヤー。ミリ秒単位でリソースへのアクセスを許可/拒否するリアルタイムなアクセス決定を下す。

シグナルプレーン (SSF) が事前に状態変化を通知しておくことで、データプレーンはアクセス要求時に極めて低遅延でゼロトラストな認可判断を下せるようになります。

双方向の信頼 (Bi-Directional Trust) と「Action Receipts」による説明責任の確立

これまでの SSF は、IdP や MDM が送信し、SaaS などのアプリケーションが一方的に受信する「Transmitter (送信機) と Receiver (受信機)」の関係が中心でした。
しかし、今後の SSF はすべてのノードが送信と受信の両方を行う「Transceiver (送受信機)」へと進化します。
この双方向化に伴い、現在ワーキンググループで策定中なのが Action Receipts です。

非人間エンティティ (NHI) と AI エージェントへの拡張 (次世代 ITDR)

SSF は、人間のユーザーアカウントの保護 (RISC, Risk Incident Sharing and Coordination) やセッション管理 (CAEP, Continuous Access Evaluation Protocol) から、NHI やマシンアイデンティティのガバナンスへと対象を広げています。
具体的には、次世代の ITDR (Identity Threat Detection and Response) として、以下の新しいイベントプロファイルが議論・策定されています。

• WISE (Workload Identity Vulnerability/Security Events)
  ワークロードが利用しているライブラリの SBOM (ソフトウェア部品表) に CVE (脆弱性) が発見された際などにシグナルを発火する。
• IITP (Identity Infrastructure Threat Profile / IITDR)
  IdP 自体や認証インフラへの攻撃、設定の乖離 (Config Drift) 、サプライチェーンの侵害を検知して通知し合う仕組み。
• Agentic Trust Framework (AI エージェント向けの対話型ガバナンス)
  人間が介在しない自動化された AI エージェントや LLM ワークフローに対し、SPIFFE/SPIRE (SVID) や短寿命の Transaction Token を用いて、動的なリレーションシップグラフに基づいた継続的な認可とガバナンスを SSF で束ねるアーキテクチャ。

今後の動向

Shared Signals Working Group では、今後さらにエコシステムを強固なものにするため、以下の3つのステップを進めています。

•  相互運用性プロファイルの策定
  互換性や連携を確保するためのプロファイルを検討していく。 
  
• Certification Program の提供
  ベンダー製品が正しく SSF の標準規格に準拠しているかをテスト・証明できるようにする。
• Spec Revisions (仕様の改訂・アップデート)
   現行仕様の見直しや更新を行う。 

筆者所感

SSF の実用において、特に signal が飛び交う世界では AuthZEN のセッションの質疑でも語られた通り のレイテンシー問題に関するアーキテクチャの検討が必要であると感じています。
また、signal の送受信を一体にすることで情報の循環・輻輳などが起こらないトポロジーを踏まえた冗長構成などの検討が必要になると思います。

では次に、実際にこれから Continuous Identity 導入を進めるにあたって直面するであろうトラブルを予測するヒントを示したセッションをご紹介します。

セッション：Signal Overload: Reconciling High-Velocity Identity with API-Based Management
（シグナルの過負荷：高速化するアイデンティティとAPIベース管理の適合）

登壇者：Danny Zollner (Okta)

概要

本セッションは、「高精度・リアルタイムなアイデンティティ (High-Velocity Identity) の決定」と「APIベースの下流制御 (API-Based Management) の実態」の間に生じるギャップの解消を取り扱っています。
SSF や CAEP などの標準化とアーキテクチャの詳細検討により、IdP やポリシーエンジン側は「数ミリ秒」という極めて高い速度でアクセス拒否や資格剥奪の決定を下す仕組みの実現に進みつつあります。
しかし、実際にその決定を下流のエンタープライズ SaaS などの各アプリケーションに反映するプロビジョニング・API 書き込みの段階において、API のレートリミットや同期遅延がボトルネックとなり、結果として深刻なセキュリティの空白期間 (Enforcement Gap/一時的なスプリットブレイン状態) が発生している現状を浮き彫りにし、その対策を呼びかけています。

決定 (Decision) と執行 (Enforcement) の非対称性 : 「タイムラインの分岐 (Timeline Branches)」

PDP による認可の決定は1回で完結しますが、下流の複数のアプリケーションにその決定を伝播させる段階で、制御パスはアプリの数だけ「分岐」します。
これにより次の二つの問題が発生しています。

① 執行速度のバラつき

あるアプリは数分でアカウントが無効化 (Disable) される一方で、別のアプリは API のレートリミットに引っかかり処理完了まで45分を要したり、依存関係のある処理で遅延したり、最悪の場合はAPIエラーなどで「権限剥奪が反映されない (No expiry/無期限残留)」事態に陥ります。

② Enforcement Gap

この決定から各アプリでの執行完了までのタイムラグは、攻撃者にとっての絶好の攻撃可能期間となります。AIを活用した自動化攻撃の台頭や、管理が難しい NHI の増加が、このタイムラグによるリスクをさらに増大させています。

SCIM (System for Cross-domain Identity Management) の実装不全と課題

下流アプリへのユーザー・グループ同期の事実上の標準である SCIM ですが、エンタープライズ SaaS や IdP 側の「実装のクオリティ」が執行遅延を悪化させています。

① 非効率な書き込み

SCIM の Bulk 操作や PATCH (差分更新) がサポートされていない場合、IdP やプロビジョニングエンジンは大量の個別 API リクエスト (単一の変更に対する個別 PUT や POST) を走らせる必要があり、下流 API のレートリミットを急速に消費します。

② レートリミットの不透明さ

多くの SaaS が自社のレートリミットを明確にドキュメント化しておらず、また「テナント (企業) 全体で共有されるバジェット (共有リミット)」であるため、他の一般的な業務 API コールによって制限が消費され、緊急のセキュリティ無効化処理が下流で弾かれるリスクがあります。

解決に向けた「アイデンティティの収束 (Convergence)」と各ロールへの提言

分岐してしまったタイムラインを再び1つの線に「収束 (Convergence)」させるため、エコシステムに関わる全員がそれぞれの役割でアクションを取るべきだと述べられています。

1. IdP/IGA/PDP (Outbound)

   • 下流に過度な負荷をかけないよう効率的な API リクエストを設計する。

   • SCIM Bulk を積極的に活用する。

   • 現在のプロビジョニングパイプラインの状態を可視化し、緊急の無効化処理などのために「優先キュー (Priority Queuing)」を設ける。
     
     

2. SaaS (Inbound)

   • SCIM を標準でサポートし、SCIM Bulk および複数属性の PATCH を実装する。

   • API レートリミットを明確に公開し、統合 (コネクタ) ごとに個別のリミット枠の引き上げオプションを提供する。
     
     

3. ID基盤運用管理 (Run/Buy)

• • アクセスの異常を検知した際は、PDP のログだけでなく、下流アプリに実際に変更が書き込まれるまでの「真の執行遅延 (True Enforcement Latency)」を測定・監査する。
  • JIT プロビジョニングや手動プロビジョニングで作成されたアカウントが IGA (Identity Governance and Administration) の管理下に正しく入っているか監査する。
  • IGA や IdP を導入する際は、ベンダーに対し失敗時のリトライ挙動や、共有レート制限を考慮した PDP の設計がなされているかを確認する。

筆者所感

本セッションで述べられているように、SSF の標準化だけでは社会への SSF 実装は完了しません。
アーキテクチャを設計する立場では、どこにボトルネックが起こるかを見極める必要が生じています。
これは、認可判断におけるポリシーの設計が最適なアーキテクチャを定める、すなわち企業の現在の人事管理やシステム運用・管理の姿によって最適な実現方法がそれぞれ異なってしまう可能性を秘めていると感じます。

現在 SSF を適用している SaaS および OSS は急速に広がりを見せています。
例えば、NRI で認証基盤として広く提供・取り扱っている Keycloak では実験的な AuthZEN 対応を2026年5月に^[1]、実験的な SSF 対応を2026年7月に^[2]発表しています。

認可を専門とする技術者としてはこのような技術の導入に注視・実際に動作を確認して逐次評価し、技術の進化に目を光らせ続ける必要性を感じました。

セッション：The Agentic AI Arms Race: Separating Synthetic Allies from Automated Adversaries - A Deep-Dive into Evolution, Detection, and Defense Architecture
（エージェント型AIの軍拡競争：味方となるAIと自動化された脅威の判別 ― 進化、検知、防御アーキテクチャの深掘り）

登壇者：Kevin Gosschalk（Arkose Labs）

概要

現在、サイバー攻撃においては、単にBotで攻撃の自動化するという手法から、自律的に意思決定を行うエージェント型AIへの移行しており、AIによる攻撃が成立するまでの時間は劇的に短縮しています。本セッションでは、従来の「人間かBotか」という二元論的な防御モデルは構造的に時代遅れとなっており、現在は「そのエージェントに権限があるか」「その意図は信頼できるか」を識別する「意図の判別」が防御の核心となっていると指摘しています。

Botか人間かという二値判定の終焉

サイバー攻撃は投資対効果(ROI)の戦略であり、AIエージェントを使って安価かつ大規模に不正アクセスが実行できるようになれば、割に合わなくなっていた古いタイプの不正行為（プロモ不正やカード不正など）についても利益を生むようになると説明しています。
また、かつてはログインやID登録フローでのBot判定をすることは有効な手段でしたが、今後は正規ユーザーもAIエージェントを活用するようになるため、Botが正規ユーザの指示を受けたAIエージェントである可能性もあり、Botか人間かという二値判定は意味をなさなくなるであろう、と述べています。

フロンティアモデルの蒸留による武器化

攻撃者はフロンティアモデル(GPT-5やClaude Fable)の出力をオープンウェイトモデル(DeepSeek, Qwen)に取り込む「蒸留」によって精度を高め、武装化を図っている、という現状が示されました。
オープンウェイトモデルのローカル実行であればセーフガードを外すことができるため、悪期のある攻撃者がこれらのモデルを自分たちでホストし、不正アクセス行為を実行することができるようになります。

攻撃に使われているLLMにおいては、以下のような変遷をたどっているという考えが示されました。

Gen3に相当する現在においては、攻撃者はAIにより攻撃ツールを高速に作成できるようになっています。例えば、動的にフィッシングサイトを生成・構築することで、シグネチャベースの検知を回避する攻撃が観測されている、という説明がなされました。

さらに、大規模不正に使用されるクリックファームにおいて、OpenClawによってAIが直接端末を操作することによって、ネットワークレイヤーでは「真正なデバイス、真正な通信」としか見えないような攻撃の完全な自動化が実現できるようになっているとの現状が説明されました。

「意図」による信頼性判定

これまでのようなBotか人間かという二値分析ではなく、「そのアクセスの意図は何で、それは信頼してよいか？」という考え方をすべきである、との指摘がありました。

AIエージェントを3種類に分類すると、以下のようになります。

• 自己開示型の良性AI(Self-Disclosing Good)：OpenAIやAnthropicのクローラー。規約を遵守し、IP範囲やヘッダーを自ら開示する。
• 非開示型の良性AI (Non-Disclosing Good)：ユーザーに代わって動作する正当なローカルエージェント（Atlas, Comet等）。
• 悪意あるAI (Malicious): アカウント乗っ取りや決済不正を目的とするもの。

さらに、意図を判定するためには、以下のような3種類のシグナルの分析が有効であるとしています。

• パターン一貫性：エンドポイントに対するアクセス順序、タイミングの予測性、セッション間の一貫した行動バイオメトリクス、非探索的アクセス
• 境界への配慮：robotx.txtの順守、レートリミットの順守、HTTP 429エラー(Too many requests)への応答制御
• 業務観点：多数のアカウントへ同時アクセスの有無、決済事業者によるチェック実施など

本セッションでは、それぞれのシグナルにおいて、良性と悪性で異なるパターンを示すとの説明がなされました。例えば、あるAIエージェントは、画面のスクリーンショットを撮り、OCRやビジョンモデルで対象アイコンの座標を特定し、クリックを指示してまたスクリーンショットを撮るという「ビジョン・推論・アクション・ループ」を繰り返します。このため、マウスカーソルが不自然にテレポートしたり、動きが非常に遅かったりと、人間の動きとは明らかに異なる特有の行動データを示す、とのことでした。

攻撃者によるエージェント活用と、検知する防御側の軍拡競争は続いているが、単にエージェントかどうかを判別するだけでなく、その「意図」を評価することが重要であり、継続的な信頼性の評価が必要になる、と締めくくっています。

筆者所感

本セッションより、フロンティア級のAIモデルを「武器化」してサイバー攻撃に利用することが現実化しつつあることを実感しました。現状はまだAI特有の行動パターンも残っており、ユーザ本人かどうかを識別する手段はあるものの、「お行儀のよい悪性AI」「人間に特有のゆらぎを模倣するAI」なども近い将来出現するではないかと思わされました。

また、AIによるサイバー攻撃に備えなければならない一方で、エージェンティック・コマースに代表されるような良性のAIエージェントも並行して受け入れを考えなければならないといったケースも考えると、安全なデジタルIDの利活用を実現するためには、IDのライフサイクルの最初から終わりまで、多角的な観点でデジタルIDの一貫性を検証していく必要があるように思われます。AIによるサイバー攻撃の高度化によって、近い将来、安全性確保のためのトレーサビリティ確保とプライバシーの両立がトレードオフになる課題に直面する可能性が考えられます。

セッション：Harvest Now, Break Later: The Quantum Threat to Identity
（「収穫は今、解読は後で」：アイデンティティに対する量子コンピュータの脅威）

登壇者：Jesse Minor（KPMG）

概要

量子コンピューティングの進展は、現代のデジタルアイデンティティの基盤である暗号化技術に根本的な脅威をもたらします。この脅威は「収穫は今、解読は後で（Harvest Now, Break Later）」という攻撃手法を通じて、現在進行形の組織的リスクとなっています。攻撃者は、将来の量子コンピュータによる解読を見据え、現時点で暗号化された認証トラフィックや証明書、トークンなどのID関連のデータを収集・蓄積しています。本セッションでは、組織は2026年までにアイデンティティ・信頼関係の棚卸しとマッピングを完了し、ポスト量子暗号（PQC）への移行計画を策定しなければならないと指摘しました。

「収穫は今、解読は後で」の脅威

量子コンピューティングの脅威に関する最大の誤解は、それが「量子コンピュータが完成した後に始まる問題」であるという認識だ、ということでした。攻撃者は現時点で、平文のパスワードを盗むのではなく、暗号化された認証トラフィック、フェデレーション・メタデータ、APIキャプチャ、証明書チェーンなどを静かに収集している、と解説されました。
現在の暗号化が今日破られなくても、10年後に強力な量子コンピュータが登場した際、蓄積されたデータは遡及的に解読されるとの指摘です。機密保持期間が長いデータ（特権アクセス用の鍵、マシンアイデンティティなど）が特に標的となりやすいとのことでした。

アイデンティティ：暗号が「信頼」に変わる場所

アイデンティティシステムは、暗号化により信頼を生み出しています。例えば、トークン、証明書、フェデレーション、などは暗号化技術によってその信頼性を担保している例になります。これらの証明レイヤーが弱体化すれば、組織全体の信頼モデルが崩壊します。アイデンティティは暗号が実務上の「信頼」として運用される最前線である、と解説されました。

量子脅威の影響範囲

量子コンピュータは、現在の公開鍵暗号の基盤である「計算の困難さ」の定義を変えてしまいます。特に影響を受けるのは、素因数分解（RSA）や楕円曲線暗号（ECC）に依存するシステムです。具体的にアイデンティティ関連の技術においては以下が該当します。

ポスト量子暗号（PQC）アルゴリズム

量子脅威に対抗するため、NISTは従来のコンピュータで動作しながら量子攻撃に耐えうる新しいアルゴリズムを標準化しています。

• ML-KEM (FIPS 203): 暗号化通信における鍵交換の安全性を確保する。
• ML-DSA (FIPS 204): デジタル署名標準。トークン、証明書、アサーションの署名に利用される。
• SLH-DSA (FIPS 205): ハッシュ関数ベースのデジタル署名。
• FN-DSA / HQC: 今後追加される予定の署名および鍵確立のオプション。

アイデンティティチームが今すぐ取るべき行動

量子移行は一夜にして成し遂げられるものではなく、段階的なアプローチが必要です。 証明書、鍵、トークン類を棚卸し、5〜10年後も価値を持ち続けるデータを特定し、そのうち優先度の高いものについてPQCへの移行のロードマップを作成する必要がある、と示されました。

筆者所感

量子計算の脅威は量子計算が実用化・普及してから生まれるのではなく、現在流通している暗号化データが将来的に丸裸になってしまうということを意味しており、今がまさにその脅威の只中にいるのだ、というのは新たな気付きでした。PQCアルゴリズム自体は標準化が進んでおり、近い将来、フェデレーションや認証の標準仕様への組み込みについても、検討が進んでいくであろうと思われるが、課題は実システムに対し、互換性を維持しつつ適用していくフェーズであると思われます。移行を進めていくためには早い段階での移行計画の策定が必要であると改めて認識しました。

まとめ

今年のIdentiverse 2026を通じて浮き彫りになったのは、AIエージェントの台頭によって、アイデンティティ基盤の様相が大きく変わりつつあるという現実です。昨年は、AIやNHIをどのように識別し、権限を委譲し、制御するかが主な問題提起でした。今年はそれらの論点が、実行時の判断、継続的な信頼評価、標準化、そして実運用上の制約を含む、より実践的な議論へ進んだように感じました。

一方で、これらの議論は課題の解決が完了したことを意味するものではありません。新しい認可モデルや標準仕様が示されても、実際の業務システム、SaaS、API、運用プロセスに反映できなければ、セキュリティ上の空白は残ります。また、AIによる攻撃の高度化や量子コンピュータによる暗号脅威のように、アイデンティティ基盤が前提としてきた信頼そのものを揺さぶるテーマも現実味を増しています。

今後は、AIエージェント時代の認証・認可を支える標準化の進展を追いながら、自社のID管理、権限管理、監査、暗号資産の棚卸しといった基礎をどこまで実装に落とし込めるかが重要になります。派手な新技術だけでなく、足元の統制を整えることが、AI時代のアイデンティティ戦略の前提になるでしょう。

弊社では今後も、Identiverseをはじめとする国内外のカンファレンスへの参加を通じて、アイデンティティ領域の最新動向を収集し、有益な情報を発信してまいります。本稿が、皆さまの今後のアイデンティティ戦略や取り組みを検討するうえでの一助となれば幸いです。最後までお読みいただき、ありがとうございました。

[1] Keycloak「Keycloak experimental AuthZEN Support」
https://www.keycloak.org/2026/05/authzen-as-experimental-feature
[2] Keycloak「Experimental Shared Signals Framework support」
https://www.keycloak.org/2026/07/experimental-ssf-support