AI エージェントの API キーを 10 分で棚卸しする：権限・期限・共有の 3 点を見る
AI エージェントの事故は、作成時の初期設定のまま管理者権限になっている API キーから大きくなることが多い。エージェントが触れるキーを一覧にし、広すぎる権限・期限のないキー・共有キーを洗い出して、「1 エージェント・1 サービスにつき 1 キー」に分ける。
なぜ必要か
- プロンプトインジェクションやループの暴走が起きたとき、被害の大きさを決めるのはモデルではなく持たせた鍵の権限。権限は普段見えないので、動いている間は問題に気づかない。
- 渡し方（環境変数か、シークレット管理か、OIDC か）は AI エージェントに資格情報を渡す 4 パターンと使い分け で整理した。この記事は「渡している鍵が大きすぎないか」の点検。
棚卸しの手順
キーの値そのものはどこにも貼らない。扱うのは名前と権限の説明だけ。
- 一覧を作る: エージェントが使えるキーを全部書き出す。列は名前、サービス、スコープ（権限の範囲）、有効期限、使っているエージェント。
- 広すぎる権限に印を付ける: 管理者権限や全書き込み権限が付いたものを探す。読み取りしかしないエージェントに書き込みは要らないし、書き込むエージェントにも削除は大抵要らない。
- 期限とローテーションを見る: 有効期限がないキー、交換の予定がないキーを洗い出す。
- 共有キーを分ける: 複数のエージェントやサービスで 1 本を使い回していたら、1 エージェント・1 サービスにつき 1 キーに分ける。共有の万能キーは、止めると無関係なものまで止まるので、いざというときに止められない。
- 判定の目安: 「このキーを止めたら無関係なものが 3 つ壊れる」なら、そのキーは役割を持ちすぎている。
注意点
- 元記事は作者自身の無料 MCP サーバーや有料キットの紹介も兼ねている。手順自体は道具なしでもできる。棚卸しのためにキーの値を外部のツールやサービスへ渡さない。
- 分けたキーは用途がわかる名前にしておくと、漏えい時にどれを失効すればよいかすぐ判断できる（.gitignore に入れたはずの .env が漏れていないか 5 か所で点検する も合わせて）。
出典
- @yousukezan による紹介: @yousukezan · 2026-10-31
- 元記事（Nao、Zenn）: zenn.dev