APIプラットフォームを提供するPostmanは2026年9月15日、新製品「Passport by Postman」の一般提供を開始したと発表した。人間とAIなどの非人間のアイデンティティが共存する環境において、安全なAPI利用環境を提供する独立した製品であり、同社にとってAPIセキュリティ領域への本格的な拡大を意味するとしている。

API資格情報管理の課題と拡大するリスク

開発者やAIエージェントがAPIを呼び出す際に認証を行うAPIキー、トークン、シークレットといった資格情報の管理は、従来から大きな課題となっていた。実際の資格情報が開発者のマシンに渡ると、.envファイルやリポジトリ、チャットツール、IDE設定、CIログなどに拡散し、セキュリティチームによる監査や管理が困難になる。

セキュリティ上の問題が検知・解決される前に漏洩した単一の資格情報が何千回も悪用される可能性があるほか、AIエージェントが人間の1,000倍のペースでAPIを呼び出し始める中で、攻撃対象領域（アタックサーフェス）の拡大が懸念されている。

Passport by Postmanの仕組みと主な特長

PassportはSaaSプラットフォームへのシークレットレスなアクセスを提供し、開発者やマシン、AIエージェントが実際の資格情報に触れることなく、承認されたAPIを発見・呼び出しできるようにする。シークレットの配布や保護に重点を置く従来のアプローチとは異なり、資格情報を顧客の環境内でセルフホストして保持する点が特徴となっている。これにより、すべての呼び出しの完全なアトリビューション（属性特定）、きめ細かなアクセス制御、数秒でのアクセス取り消し機能を提供する。

Postmanの共同創業者 兼 CEOであるアビナブ・アスタナ（Abhinav Asthana）は「PassportはAPIアクセスに対するシークレットレスなアプローチを提供し、人間および非人間のあらゆるアイデンティティが、実際の資格情報を決して保持することなく、承認されたAPIを呼び出せるようにします」と述べている。

主な機能および特長は以下の通りとなっている。

• 設計段階からのシークレットレス（Secretless by design）：ローカル、共有、または統合経由かを問わず、実際のAPIキーをVPCおよび保管庫（Vault）内に保持する。開発者やエージェントは、プロキシなしでは機能せず、リクエストしたアイデンティティに紐付けられた暗号化ポインタである「参照トークン（reference token）」を受け取る。
• 精密な権限付与（Grant precisely）：許可したい正確なアクション、ホスト、パスに至るまで細かく権限を付与する。すべてのリクエストは保管庫に到達する前にこれらのルールに対して検証される。
• エージェント向けに最適化（Built for agents）：開発者とエージェントを同様に扱う。エージェントは永続的な親アイデンティティから発行された一時的でタスクスコープ限定のアイデンティティを受け取るため、組織は長期にわたるシークレットを配布することなくエージェント群（fleets of agents）を運用できる。サブエージェントは、親の権限の一部のみを継承する。

提供状況と会社概要

Passportは2026年9月15日より利用可能となっている。詳細情報は https://app.usepassport.ai/ で案内されている。

発表元であるPostmanの概要は以下の通り。

• 事業内容：APIの開発・テスト・ドキュメント・管理を統合するAPIプラットフォームの提供
• 利用実績：世界4,000万人超の開発者、50万以上の組織（Fortune 500の98%を含む）
• 本社所在地：米国カリフォルニア州サンフランシスコ
• 日本語サイト：https://www.postman.com/jp/

本記事はPostmanの発表（https://www.businesswire.com/news/home/20260915641646/en/Postman-Announces-General-Availability-of-Passport-Bringing-Secretless-API-Access-to-the-Agentic-Era）をもとに作成。

Dellows News編集部

ビジネスパーソンの課題解決と納得感にこだわるDellows News編集部。キャリア論からAI、健康法まで幅広い分野に対応し、複雑なテーマでも平易な言葉で丁寧に解説。読者が「明日から使える」知識やヒントを得られるよう、具体的な事例・データ・専門家の見解を交えて執筆。情報を整理し、納得感ある記事づくりを心がけています。