常駐型AIエージェントが持つ「外部連携ツールの認証情報」ローテーション設計

常駐型AIエージェントが外部ツール連携で抱える認証情報（APIキー、OAuthトークン）の管理について、新規接続時よりも運用中の更新・失効設計が事故を防ぐ鍵となると解説している。

• 常駐型AIエージェントは、接続先ごとにAPIキーやOAuthトークンなどの認証情報を管理する必要がある。
• 認証情報の管理において、「発行後の更新・失効」設計が、新規発行よりも事故に繋がりやすい。
• テナント×接続先ごとに認証情報の正本を1つに固定し、 revokedAt の更新で無効化する設計が提案されている。
• トークン期限切れ前に先回りしてリフレッシュし、リフレッシュ失敗時は機能を縮退させて明示的に通知する設計が重要である。