Claude Code/Copilot等でAPIキーを安全に扱う6つの手法と現場の防衛策

• AIエージェントへのAPIキー受け渡しは6つの手法が存在し、対話文への直接入力は漏洩リスクが極めて高い。
• ツールごとに環境変数の扱いが異なり、設定次第でAIが機密情報を外部へ送信する脆弱性が存在する。
• OAuthによる権限委譲が最も安全であり、MCPサーバー利用時は固定キーを避け、環境変数経由の参照を徹底すべきである。

深夜のデバッグ中、AIエージェントに「このAPIキーを使ってテストを実行してくれ」と指示を出したことはないだろうか。その瞬間、我々エンジニアは自らの手で、システムの心臓部である認証情報を外部のブラックボックスへと放り投げている可能性がある。AIエージェントは、単なるチャットボットではない。彼らはファイルを読み込み、コマンドを実行し、時には外部ネットワークと通信する「自律的なエージェント」だ。この利便性の裏側には、従来の開発フローとは比較にならないほど巨大なセキュリティホールが口を開けている。

今回調査したClaude Code、Codex、Gemini CLI、GitHub Copilot、Cursorといった主要ツールにおいて、APIキーの渡し方は大きく6つに分類される。最も危険なのは「対話文への直接貼り付け」だ。これは、会話履歴がAIベンダーのサーバーに保存されることを意味する。Copilot CLIのように初期設定でGitHubアカウントと会話が同期されるツールもあり、一度入力したキーは、意図しない形でクラウド上に永続化されるリスクがある。GoogleのGemini API利用規約においても、無料版では機密情報を送らないよう警告されているが、開発現場の焦燥感の中で、その注意書きがどれほど遵守されているかは甚だ疑問だ。

さらに深刻なのは、.envファイルや環境変数を介した受け渡しだ。多くのエンジニアは「.envに書いておけば安全」と信じているが、AIエージェントがファイルシステムをスキャンする際、その中身は平文としてAIのコンテキストに読み込まれる。Gemini CLIのように.envを自動読み込みするツールも存在し、ユーザーが意識しないうちに鍵がAIの「脳内」にコピーされている事態は、もはやデッドロックよりも恐ろしい。我々エンジニアは、AIを「信頼できる同僚」と見なすのではなく、「機密情報を平気で外部に漏らす可能性のある、制御不能なインターン」として扱うべきである。

環境変数にAPIキーを格納し、AIに参照させる手法は一見スマートに見える。しかし、ここにも罠がある。AIが実行するコマンドは、親プロセスの環境変数をそのまま継承するケースが多い。例えばCodexは、初期設定で環境変数をすべてコマンドに渡す仕様だ。もしAIがプロンプトインジェクション攻撃を受け、悪意ある指示によって環境変数を外部サーバーへ送信するスクリプトを実行させられたらどうなるか。実際にGemini CLIでは、環境変数が外部へ送出された実証例が存在する。これは単なる理論上のリスクではなく、明日にも発生しうる現実的な脅威だ。

また、最近注目を集めるMCP（Model Context Protocol）においても、鍵の管理は極めて重要だ。Astrix Securityの調査によれば、公開されているMCPサーバーの53%が期限の長い固定キーを使用しており、OAuthを採用しているのはわずか8.5%に過ぎない。MCP設定ファイルに直接キーを書き込むことは、設定ファイルそのものが漏洩した瞬間に、全権限を奪われることを意味する。各社は環境変数経由での参照を推奨しているが、それはあくまで「設定ファイルに直書きしない」という最低限の防衛策に過ぎない。

以下の表は、AIエージェントにおける鍵の渡し方と、そのリスク構造を整理したものである。我々が取るべき行動は、利便性とセキュリティのトレードオフを正しく理解し、可能な限り「鍵そのものを渡さない」アーキテクチャを選択することに他ならない。

結局のところ、最も安全なのはOAuthによる権限委譲だ。鍵の文字列そのものをAIに渡さず、期限と範囲を限定したトークンでやり取りする。これが現代のクラウドネイティブな開発における唯一の正解である。Claude CodeやCodexのクラウド環境では、AIが本物の鍵を持たない仕組みも導入され始めている。我々は、こうした「鍵を渡さない」設計思想を、自らの開発環境にも積極的に取り入れる必要がある。

ここまで読み進めた読者諸君に問いたい。あなたの現在の開発環境において、AIエージェントがアクセス可能な「鍵」は、本当に適切に管理されているだろうか？「便利だから」という理由だけで、権限を絞っていないマスターキーを環境変数に設定していないだろうか。AIエージェントの進化は止まらない。しかし、その進化のスピードにセキュリティの意識が追いついていない現状は、極めて危険な状態と言わざるを得ない。我々エンジニアは、AIを使いこなすスキルだけでなく、AIに「何を渡してはいけないか」を判断するセキュリティ・リテラシーを、キャリアの最優先事項として磨く必要がある。

明日から取るべき具体的なアクションは明確だ。まず、現在利用しているすべてのAIツールにおいて、環境変数の絞り込み設定が有効になっているかを確認せよ。次に、MCPサーバーを利用している場合は、固定キーを即座に廃止し、OAuthへの移行を検討すること。そして何より、AIとの対話において「APIキー」という単語を一切出さないという強い規律を持つことだ。除外設定（.cursorignore等）はあくまで補助的な守りであり、それだけに頼ることは、鍵のかかっていない玄関に「入るな」という張り紙をするのと同じである。

AIエージェントは、我々の生産性を劇的に向上させる強力な武器である。しかし、武器の扱いを誤れば、自分自身を傷つけることになる。あなたが今日設定したその環境変数は、本当に安全と言い切れるか？もし少しでも不安を感じたなら、今すぐ設定を見直し、権限を最小化した鍵へと差し替えるべきだ。技術の進歩を享受する権利には、それを守るための責任が伴う。我々エンジニアが直面しているのは、単なるツールの使い方の問題ではなく、AI時代における「信頼の境界線」をどこに引くかという、極めて本質的な問いなのである。