オープンソース · セルフホスト
AIエージェントに、鍵ではなく権限を。
QAuthは、アプリと、そこで働くAIエージェントのためのログインとアクセス管理のサーバーです。エージェントに与えられるのは、本人が承認した範囲だけです。リスクの高い操作にはその都度あらためて承認が必要で、すべての操作が記録に残ります。稼働するのは、自社のサーバーです。
リサーチアシスタント
Acme Docsであなたの代わりに操作する許可を求めています
- Acme Docsのドキュメントの閲覧許可
- 下書きの作成と編集許可
- ファイルの削除毎回、事前に確認
- オープンソース（Apache 2.0）
- 自社のサーバーで稼働
- ヘッドレス：画面はあなたのもの、エンジンはQAuth
- 当社へのデータ送信なし
- OAuth 2.1とOpenID Connectを基盤に構築
課題
エージェントにはアクセスが必要。けれど従来の方法は、エージェントを想定していません。
会議を予約したり、サポートチケットに回答したり、ドキュメントを編集したりするAIエージェントは、どこかにログインする必要があります。よくある手軽な方法では、無防備な状態が生まれます。
仕組み
許可するのは、本人が承認した範囲だけ
QAuthは、ユーザー、そのAIエージェント、そしてアプリの間に入ります。各エージェントが何を、どれだけの期間できるのかを決め、その記録を残します。
- 本人承認する
- QAuth限定的な通行証を発行
- AIエージェントその通行証だけを使う
- アプリ呼び出しのたびに検証
- 1
本人が承認する
ユーザーは、どのエージェントが何をしようとしているのかを確認したうえで、普段のログインと同じ要領で承認します。
- 2
エージェントに限定的な通行証
QAuthはエージェントに、エージェントと本人の両方を明記した、短時間だけ有効な通行証を発行します。使えるのは1つのサービスだけで、権限は読み取り専用からフルコントロールまでのうち、許可したレベルに限られます。
- 3
リスクのある操作は再確認
データの削除のような危険な操作の前に、QAuthは本人にもう一度確認を求めることができます。この承認を、エージェントが自分で行うことはできません。
- 4
すべての操作を記録
エージェントごとに監査ログがあるので、どのエージェントが誰のために何を、なぜしたのかを、いつでも説明できます。
どんなアプリやサービスでも使え、MCPにも対応します。MCPは、ClaudeなどのAIツールがアプリとつながるためのオープンな標準規格です。
どんなプロジェクトにも
シンプルなログインから、必要なだけ高度な構成まで
多くのプロジェクトは、シンプルなログインから始まります。QAuthはまさにそれを提供し、ほかのものが邪魔をすることはありません。AIエージェント、量子時代の印、公的なデジタルIDは、必要になるまでオフのままです。
OAuth 2.1とOpenID Connectをフル実装
人も、サービスも、エージェントも、1つのログインサーバーで
QAuthは、OAuth 2.1とOpenID Connectをフル実装したサーバーです。どちらも、いま使われている「〇〇でログイン」ボタンの多くを支えるオープンスタンダードです。アプリは使い慣れたライブラリのまま接続できるので、特定ベンダーのSDKに縛られることはありません。
人パスワードや手持ちのアカウントで、アプリにログイン
サービス人を介さずに、サービス同士で安全に呼び出し合う
AIエージェント本人が承認した範囲内で、本人の代わりに動く
一度のログアウトで、すべてから
セッションが終わると、通知を希望している各連携アプリにそのことが伝わります。うっかりログイン状態が残ることはありません。
顧客ごとに独立した領域
レルムごとに独自のユーザー、アプリ、アドレスを持てるので、マルチテナントの製品や複数ブランドの運用に対応できます。
環境ごとに異なるルール
開発、ステージング、本番の各環境に個別のポリシーを設定できるので、テスト用のエージェントが本番データに触れることはありません。
開発者向けポータル
各チームは、チケットを起票しなくても、アプリの登録やAPIキーの管理を自分たちで行えます。
耐量子暗号に対応
今日記録され、明日読まれる
今日の暗号化された通信を読める量子コンピューターは、まだありません。しかし攻撃者はそれを待っていません。通信を今のうちに記録し、読めるようになる日まで保管しています。米国の標準化機関NISTはこれを「今収集し、後で解読する」（harvest now, decrypt later）攻撃と呼び、移行を急ぐべき主な理由の一つに挙げています。本人に関する情報は、こうして失うものとして最悪です。氏名や生年月日、個人を識別する番号は、20年後も変わらないからです。
そのようなコンピューターが現れた日には、誰がログインしたかを証明するデジタルの印も偽造できるようになり、攻撃者はあなたのどのユーザーにもなりすましてログインできてしまいます。本人確認の仕組みの移行には何年もかかります。NISTが今日の印を2030年以降に段階的に廃止するのはそのためです。QAuthはすでに、すべての通行証に量子時代に備えた2つ目の印を押せます。その印を確かめるアプリは、その日が来ても偽のログインと本物を見分けられます。通信中のデータについては、接続に耐量子暗号を有効にしてください。最新のブラウザーやプロキシはすでに対応しており、QAuthはその背後でそのまま動きます。
技術的な詳細標準化機関の見解
公的なデジタルID
マイナンバーカードをはじめ、手元にある公的なIDでのログインへ
QAuthは、公的機関が発行するデジタルIDでのログインに対応していきます。対象は、マイナンバーカード、eIDAS 2.0に基づくEUデジタルIDウォレット、トルコの身分証明書です。EUのウォレットは実装済みで、ほかの二つは対応予定です。いずれも通常のOpenID Connectのログインとしてアプリに届くため、アプリ側の連携は一度で済みます。
対象となるチーム
エージェントを業務に活用するチームのために
FAQ
よくある質問
QAuthを、サーバー運用なしで使いたい方へ
自分で運用する必要のない有料のマネージド版、QAuth Cloudを計画しています。メールアドレスをご登録いただければ、アーリーアクセスの開始時にお知らせします。