最小権限の原則
英語 principle of least privilege
最小権限の原則は、人でもAIでも、任された仕事に必要な権限だけを与えるセキュリティの考え方です。アカウントが乗っ取られたりAIが誤作動したりしても、被害の範囲が狭くなります。
入社したばかりの社員に初日からすべての部屋の鍵を渡さず、仕事に必要な鍵から渡すのと同じ考え方です。権限は鍵にあたり、人だけでなくプログラムやAIのアカウントにも当てはまります。鍵が少なければ、失くしたり奪われたりしても開く部屋が少なくて済みます。IPAも、大切な情報や機能にアクセスする権限は必要最小限にとどめるべきだと説明しています。
たとえば （例）注文メールをAIが読んで表に整理するところまでを任せ、顧客への送信と決済は人が押すようにします。OWASPは、AI連携機能に与える権限を必要最小限に絞り、影響の大きい操作は人が承認するよう勧めています。使うアカウントが読み取り専用で足りるかを、まず確かめてください。
出典: least privilege · Least Privilege Principle · LLM06:2025 Excessive Agency · アプリのアクセス権限を確認しましょう（確認 2026-10-26）