NHI（Non-Human Identity）管理が一気に立ち上がってきた件

3行まとめ

• Rubrik Zero Labsの2025年調査では、非人間／マシンアイデンティティが人間IDに対して82:1で存在すると報告されており、CyberArkの2025年調査でもAI実装に対するセキュリティ統制不足が課題として指摘されている
• NHIセキュリティ専業スタートアップへの投資が2024〜2026年で増加しており、Oasis Securityが累計$195M、Astrix Securityが$85M、Vezaが$235M超を調達するなど、市場形成が進んでいる
• AIエージェント時代の到来により、NHIの管理は「古いサービスアカウント問題」から「ゼロトラストの最重要課題のひとつ」へと変貌しつつある

---

NHIはゼロトラストの「次の主戦場」になる

ゼロトラストにおいて「人間のアイデンティティ管理」は、OktaやEntra IDの普及により一定の成熟を見せてきました。しかし、企業環境にはもうひとつ、はるかに巨大で、可視化や統制が追いついていないアイデンティティの世界があります。それが NHI（Non-Human Identity） です。

NHIとは、人間ではなくマシン・アプリケーション・自動化プロセスがシステム間で認証・認可を受けるために使用するデジタルアイデンティティの総称です。具体的には以下のようなものを指します。

• サービスアカウント（Active Directory、クラウドIAMのサービスプリンシパル等）
• APIキー
• OAuthトークン / アクセストークン
• シークレット（秘密鍵・証明書・接続文字列）
• ボット / RPAのアイデンティティ
• CI/CDパイプラインの認証情報
• AIエージェントが使用するクレデンシャル

Rubrik Zero Labsの2025年調査では、非人間／マシンアイデンティティが人間IDに対して82:1 で存在すると報告されています。マシンアイデンティティは人間を大幅に上回る規模で増加している一方、可視化や統制が追いついていません。

また、CyberArkが2025年4月に発表した「2025 Identity Security Landscape」（Vanson Bourne実施、2,600名のセキュリティ意思決定者を対象とした国際調査）でも、AI実装に対するセキュリティ統制の不足が課題として指摘されています。多くの組織では、特権ユーザーや特権アクセスの定義が依然として人間中心に設計されており、サービスアカウント、APIキー、AIエージェントのような非人間IDを十分に特権主体として扱えていない可能性があります。

NHIセキュリティ市場に流れ込む巨額の資金

この問題に対するソリューションを提供するスタートアップへの投資が、ここ2年で急激に加速しています。主要なプレイヤーの資金調達状況を整理します。

（注: Aembitの調達額はSeries A公式発表時点で「nearly $45M」。）

さらに、既存の大手も動いています。CyberArkは2024年5月、マシンアイデンティティ管理を手掛けるVenafiを 約15.4億ドル（$1.54B） で買収すると発表しました（CyberArk公式プレスリリース）。さらに、2025年7月にはPalo Alto NetworksがCyberArkを約250億ドルで買収すると発表しており、AI時代の人間・マシン・AIエージェントを含むアイデンティティセキュリティが、サイバーセキュリティ市場の中核領域として再評価されていることを示しています。SailPoint、Saviynt、Silverfortといった既存IAM/PAMベンダーもNHI機能の追加・拡張を進めています。

MarketsandMarketsの予測では、NHIアクセス管理市場は2024年の$9.45Bから 2030年に$18.71Bへ拡大し、CAGR 11.9%で成長 するとされています（MarketsandMarkets公式プレスリリース）。

Gartnerは2025年のサイバーセキュリティ動向のひとつとして 「Managing Machine Identities」 を挙げており、マシンアイデンティティの管理をエンタープライズ全体の協調的な取り組みとして推進すべきだと述べています（Gartner公式プレスリリース、2025年3月3日）。さらにGartnerの2026年サイバーセキュリティトレンドでは 「IAMがAIエージェントに適応する」 が独立したトレンドとして位置付けられるに至っています（Gartner公式プレスリリース、2026年2月5日）。

なぜ今、NHIがここまで注目されるのか

NHI自体は新しい概念ではありません。サービスアカウントの管理問題は何十年も前から存在していました。しかし、以下の3つの変化が重なったことで、問題の深刻度が急激に上がっています。

1. クラウド・SaaS移行によるNHIの増加

オンプレミス時代は、Active Directoryのサービスアカウントを中心に比較的限定的な範囲でNHIが存在していました。しかしマルチクラウド＋SaaS環境への移行により、AWS IAMロール、GCPサービスアカウント、Azure サービスプリンシパル、各SaaSのAPIキー、OAuthアプリ連携など、NHIの数と種類が大幅に増加しました。

Gartnerが2024年8〜10月に335名のIAMリーダーを対象に実施した調査では、IAMチームが管理責任を持つマシンアイデンティティは全体の44%にとどまり、管理責任が組織内で分散していることが示されています（Gartner公式）。

2. NHIを狙った侵害の増加

近年の調査では、マシンアイデンティティの急増と可視性・統制の不足が繰り返し指摘されています。

攻撃者にとって、MFAが適用されず、24時間365日稼働し、過剰権限を持ちがちなNHIは格好のターゲットです。CyberArkは、ほぼ半数のマシンアイデンティティが機微または特権アクセスを持つ一方で、多くの組織がそれを十分に特権として扱えていないと示しています。

3. AIエージェント時代の到来

これが最大のゲームチェンジャーです。従来のNHIは比較的「静的」でした。CI/CDパイプラインのサービスアカウントなど、決まった処理を繰り返すものが中心でした。

しかしAIエージェントの登場により状況は一変しました。エージェントは自律的に判断し、必要に応じてシステムへのアクセスを動的に要求します。しかも、誰でもどこでもエージェントを作成でき、統一的なガバナンスが存在しない状態です。AIエージェントの実装は、多くの場合、何らかの非人間ID・トークン・API資格情報に依存しており、エージェントの普及はNHIの増加と管理の複雑化を加速させる可能性が高いです。

Gartnerは2026年のサイバーセキュリティの主要トレンドの1つとして「Agentic AI Demands Cybersecurity Oversight」を挙げ、AIエージェントの野放図な増殖と未管理のコード・コンプライアンス違反のリスクを警告しています（Gartner公式プレスリリース、2026年2月5日）。

AI エージェントが Non-Human Identity を爆発的に増やす構造と、ゼロトラスト原則を Agent に適用する実装アプローチについては AI エージェントにゼロトラストを適用する — OWASP Agentic Top 10 と実装アプローチ で詳述しています。MCP サーバー認証や Excessive Agency 防止策と組み合わせて読むと立体的に把握できます。

Oasis Securityを例に見るNHIプラットフォームの全体像

NHIセキュリティ市場で現在注目度が高い企業のひとつが、2026年3月に$120MのSeries Bを調達したOasis Securityです。この企業を例に、NHIプラットフォームが何を解決しようとしているのかを整理します。

企業概要

2022年にイスラエル国防軍（IDF）Unit 81出身のDanny Brickman（CEO）とAmit Zimerman（CPO）が設立。本社はニューヨーク。累計調達額$195M。Sequoia Capital、Accel、Cyberstarts、Craft Venturesが支援。Oasisの公式発表によれば、顧客の大半がFortune 500企業で、新規ARRは前年比5倍成長しており、大半が複数年契約とされています。

Oasis NHI Security Cloud の機能

Agentic Access Management（AAM）

Oasisが差別化ポイントとして打ち出しているのが、Agentic Access Management（AAM）です。

従来のIAMは「このユーザー（またはサービスアカウント）にこのロールを付与する」という静的な権限モデルでした。AAMは、AIエージェントが「何をしようとしているか（Intent）」を解析し、そのタスクに必要最小限のアクセス権を動的かつ一時的に付与するという考え方です。

具体的にはOasis公式サイトによれば以下のような仕組みです。

• エージェントの意図（Intent）をAIで解析し、必要なアクションと必要な権限を特定する
• セッション単位でエフェメラル（一時的）なアイデンティティを発行する
• タスク完了後にアイデンティティを自動的に廃棄する
• すべてのセッション（意図、ポリシー、アクティビティ、有効期限）を記録する

ゼロトラストの「最小権限の原則」を、AIエージェント時代に合わせて再設計したアーキテクチャと言えます。なお、Oasisはこれを「業界初のエンタープライズ向けIntent-based JITアクセス」と自称していますが、これはベンダー主張であり独立した検証は確認できていません。

対応環境

IdP（Okta, Entra ID, Ping Identity, AWS IAM, GCP IAM）、Vault（HashiCorp, Azure Key Vault, AWS KMS）、PaaS/SaaS（Snowflake, Databricks, GitHub, Salesforce）、AI基盤（OpenAI, Azure AI Foundry, AWS Bedrock, Copilot）と幅広く統合されています。CrowdStrike Falcon Marketplaceにも掲載されており、エンドポイントテレメトリとNHIコンテキストの相関分析を提供しています（CrowdStrike Marketplace公式ページ）。

競合の構図

NHIセキュリティ市場は、Pure-playスタートアップと既存ベンダーの機能拡張の2軸で競争が進んでいます。

Pure-play NHIスタートアップ

Astrix Security（$85M調達）はNHI発見・ISPM（Identity Security Posture Management）に加え、AIエージェントとMCPサーバーのセキュリティにも対応を拡張しているイスラエル企業です。Agent Control Plane（ACP）によるセキュア・バイ・デザインなエージェントプロビジョニングを特徴としています。Anthropicが投資家として参加している点も注目です（Astrix公式プレスリリース）。

Aembit（約$45M調達）はワークロード間のアクセス管理に特化したブローカーモデルで、MCP Identity Gatewayを提供しています。エージェントがシークレットを直接保持せず、Aembitがリクエストをインターセプトして必要な資格情報を注入する設計が特徴です（Aembit公式サイト）。

Entro Security（$18M調達）はシークレット管理とNHI検出・レスポンス（NHIDR）に特化し、SDLC全体でのNHI発見とオーナーシップ管理に強みがあります（Entro公式サイト）。

既存ベンダーの動き

CyberArk はVenafiの買収（$1.54B）によりマシンアイデンティティ管理を大幅に強化しています。PAM大手としての既存基盤とVenafiの証明書管理を組み合わせることで、NHIライフサイクル全体をカバーしようとしています（CyberArk公式）。

Silverfort は人間とNHIを統合したアイデンティティ保護プラットフォームで、ADサービスアカウントの行動ベースラインとリアルタイムポリシー適用が強みです（Silverfort公式）。

SailPoint は既存のIGA基盤にMachine Identity Security機能を追加し、人間と非人間を一元管理する方向性を打ち出しています（SailPoint公式製品ページ）。当社が特に力を入れているプロダクトのひとつです。

GitGuardian はシークレット検知のAppSecプレイヤーとして「NHI Governance」機能を追加展開しています（GitGuardian公式）。

各社のアプローチ比較

以下は各社が打ち出す代表的アプローチの整理であり、独立した第三者による比較評価ではありません。

NHI ベンダーの市場集中とその先にあるベンダーロックインの構造的論点については Claude Mythos 完全考察 — Project Glasswing 12 社限定が加速させるビッグテック依存の構造 を参照してください。AI 領域全体の同型の集中問題を扱っています。

またマネジメントツール (Intune など) の管理者アカウントが攻撃面になる事案については 正規の Intune 経由でデータをワイプする攻撃 でまとめています。Intune Administrator のような統制プレーンのアカウントを NHI 統制と同様の最小権限 / 時限付与 / 多要素承認で扱う設計の文脈です。

ゼロトラストとNHIの接続

ゼロトラストの基本原則は「Never Trust, Always Verify」です。この原則はこれまで、主に人間のアイデンティティに対して適用されてきました。しかし非人間／マシンアイデンティティが人間IDを大幅に上回る規模で存在し、その統制が不足しているならば、ゼロトラストの適用範囲を人間に限定していること自体がリスクです。

NHIに対してゼロトラストを適用するとは、具体的に以下を意味します。

• すべてのNHIを発見・可視化する（見えないものは守れない）
• すべてのNHIにオーナーを紐付ける（責任不在のアカウントを許容しない）
• 最小権限の原則を徹底する（サービスアカウントにAdmin権限を付与しない）
• 静的なシークレットからエフェメラルな認証へ移行する（JIT / 短命トークン）
• NHIの振る舞いを継続的に監視する（異常なアクセスパターンを検知・遮断）
• ライフサイクルを自動管理する（作成→使用→ローテーション→廃止の一貫管理）

これらはまさに、NHIプラットフォーム各社が提供しようとしている機能群そのものです。

日本企業への示唆

ここまでの話を踏まえて、日本企業のセキュリティ担当者が考えるべきことを整理します。

1. 自社のNHI棚卸しを始めるべき

まず「自社にどれだけのNHI（サービスアカウント、APIキー、OAuthトークン等）が存在するか」を把握している企業がどれだけあるでしょうか。おそらく大半の企業は把握できていません。Active Directoryのサービスアカウント一覧すら正確に管理できていないケースが多いはずです。Gartner調査でIAMチームが管理責任を持つマシンIDがわずか44%という数字は、日本企業にとっても他人事ではないでしょう。まずは可視化から始める必要があります。

2. シークレット管理のガバナンス不足

CSAとOasis Securityの共同調査（2026年1月発表）では、79%のIT・セキュリティ専門家がNHI経由攻撃の防止に十分な自信を持てていないと回答しています。また同調査では、シークレット露出後のローテーションに24時間以上かかるケースが多く、58%がオーナーシップの不明確さを最大の遅延要因として挙げています。日本企業でも「あのAPIキーは誰が作ったのか分からない」「このサービスアカウントを無効にすると何が止まるか分からない」という状態は日常的に存在しているはずです。

3. AIエージェント導入に伴うNHIリスクの認識

GitHub Copilot、Microsoft Copilot、各種AIエージェントの導入が日本企業でも進んでいます。AIエージェントの実装は多くの場合、何らかのNHI（APIトークン、サービスプリンシパル、OAuth接続等）に依存しています。AIエージェントの導入を推進する部門と、セキュリティガバナンスを担う部門が連携し、NHIの管理ポリシーを策定する必要があります。

CyberArkの2025年レポートでは、シャドーAIの統制不足も課題として挙げられています。エージェントが生成・使用するNHIは、従来のサービスアカウントよりも動的で追跡が難しいため、より早い段階でのガバナンス設計が求められます。

4. NHI専業ベンダーの動向把握

Oasis Security、Astrix Security等のNHI専業ベンダーはいずれも米国・イスラエル発で、現時点では日本市場への本格展開は確認されていません。しかし、CrowdStrike Marketplaceへの掲載やOkta / Entra IDとの統合を見る限り、日本企業が導入している既存セキュリティスタックとの親和性は高いです。市場が成熟するにつれ、日本への展開も視野に入ってくるでしょう。当社としても国内のお客様向けに、取り扱っていくかどうかを検討していくフェーズではあります。

まとめ

NHIセキュリティは、ゼロトラストにおける重要な未開拓領域です。

人間のアイデンティティ管理が一定の成熟を見せた今、非人間／マシンアイデンティティが人間IDを大幅に上回る規模で存在するという現実は、とされるマシンアイデンティティを「どう管理し、どう守るか」が、今後のセキュリティアーキテクチャの中心的な課題になります。AIエージェントの普及はこの問題をさらに加速させるでしょう。

日本ではまだNHIという用語自体の認知度が低い状態ですが、米国・イスラエルでは数千万〜数億ドル規模の投資が集中しています。たとえばOasisは、顧客の大半がFortune 500企業だと公表しており、NHI管理が大企業の実務課題として立ち上がっていることがうかがえます。ゼロトラストを推進している企業にとって、NHIは「いつか対応する」ではなく「今すぐ棚卸しと可視化を始める」べき領域です。

---

FAQ

NHI と Workload Identity の違いは何か?

Workload Identity は Google Cloud / Microsoft Entra ID などのクラウド プロバイダーが提供する「ワークロード (Pod / VM / Function) が ID を持つ」具体的な実装名称です。NHI (Non-Human Identity) はこれを包含する上位概念で、Workload Identity に加えて、サービスアカウント、API キー、OAuth client_secret、CI/CD ランナーの認証情報、AI エージェントの API トークンなど、「人間以外が認証主体となる ID 全般」を指します。

NHI と Service Account / API Key の関係は?

Service Account / API Key は NHI の典型的なインスタンス (具体例) です。ただし旧来の Service Account は「作成したまま放置」「権限が広すぎる」「ローテーションされない」という運用上の問題が多く、NHI 専業ベンダー (Oasis / Astrix / Aembit / Entro / Veza) はこれらを棚卸し・最小権限化・ローテーション自動化する機能を提供しています。

Secrets Manager (HashiCorp Vault / AWS Secrets Manager 等) だけで NHI 管理は足りるか?

Secrets Manager は「秘密値の安全な保管・配布」を担う基盤で、NHI 管理の重要な構成要素ですが、それだけでは不十分です。NHI 管理には (1) どこに何の NHI が存在するか (インベントリ)、(2) どの権限を持つか (権限分析)、(3) どの NHI が誰のためにアクセスしているか (オーナーシップ)、(4) 異常な振る舞いの検出、(5) 退職・契約解除時の整理、といった可視化・統制の機能が必要です。NHI 専業プラットフォームは Secrets Manager と連携しつつこれらの機能を提供します。

AI エージェントの NHI はどう管理すべきか?

OWASP Top 10 for Agentic Applications では、AI エージェントが使う API トークン / サービスアカウントを NHI として棚卸し・最小権限化・ローテーションすることが Excessive Agency 防止の基本対策として位置付けられています。詳細は AI エージェントにゼロトラストを適用する を参照してください。

主な参照元

公式プレスリリース・調査レポート（一次情報）

• Gartner「Top Cybersecurity Trends for 2025」（2025年3月3日）
• Gartner「Top Cybersecurity Trends for 2026」（2026年2月5日）
• CyberArk「2025 Identity Security Landscape」（2025年4月23日）
• CyberArk Venafi買収 公式
• CSA + Oasis Security 共同調査（2026年1月27日）
• MarketsandMarkets NHI Access Management Market予測
• Oasis Security Series B 公式（2026年3月19日）
• Astrix Security Series B 公式
• Veza Series D 公式
• Aembit Series A 公式
• Entro Security Series A

各社公式製品ページ

• Oasis Security
• Oasis Agentic Access Management
• Astrix Security
• Aembit MCP Identity Gateway
• Silverfort NHI Security
• SailPoint Machine Identity Security
• CrowdStrike Marketplace Oasis連携

主要報道

• SecurityWeek（2026年3月19日）
• SiliconANGLE（2026年3月19日）
• Dark Reading（2025年3月）
• TechTarget「Top identity security themes at Identiverse 2025」
• VentureBeat（2025年12月）