KiroだけでIAMレビューはどこまでできる？ IAM Access Analyzerとの77 Run比較で見えた役割分担

AWS IAM のセキュリティレビューにおいて、AI エージェント Kiro だけでどこまで見抜けるか、AWS ネイティブなアナライザーと組み合わせたらどう変わるか、77 回の実験で検証された。結果は「Hybrid が最強」という単純な結論ではなかった。Kiro 単独と、IAM Access Analyzer + Kiro のハイブリッドは、ともに Precision と Recall が 100%。一方、Access Analyzer 単独は Recall が 33.3% に留まった。さらに判定の重大度精度は Kiro 単独 77.8% に対し、Hybrid は 70.4% とむしろ低下した。

注目すべきは、何が見えて何が見えないかの分け目だ。IAM Policy のリスク判定には、Wildcard の機械的検出だけでは足りない。PassRole の権限昇格ポテンシャル、クロスアカウント信頼、複数権限の組み合わせ、といったコンテキストを含む判断が要る。Access Analyzer はこうした複合的判断を意図せず、ルール検出に特化している。一方 Kiro は、ポリシーだけから「実際どう悪用されるか」というシナリオまで推論できる。ただし Kiro も万能ではなく、Severity を低く見積もるバイアスがある。つまり、両方を組み合わせても精度が上がるのではなく、異なる弱点が露呈しただけだ。

中小企業がクラウドセキュリティレビューを自動化したいなら、「ツール任せ」と「AI 任せ」のどちらかの判断は危険だ。必要なのは、まず自動ツールで形式的な穴を洗い、次に AI でコンテキストベースの穴を見つけ、最後に人間が「本当にそのリスクが現実化するか」を最終判断する三層構造だ。どの層も重要で、どれか一つを抜くと脆弱性が見落とされる。