自律的に判断し行動するAgentic AIの導入が加速する中、深刻なガバナンスの空白が浮き彫りになっている。最新調査によれば、AIエージェントを導入している組織の91%がすでに実運用段階にあるにもかかわらず、適切なセキュリティとアクセス制御を実装しているのはわずか10%未満。本稿では、このガバナンス危機の実態と、企業が今すぐ取り組むべき対策を解説する。

AIエージェントが引き起こすセキュリティインシデントの実態

2025年後半から2026年初頭にかけて、AIエージェントに関連するセキュリティインシデントが急増している。SailPoint社の調査によれば、80%のIT専門家がAIエージェントによる予期しない動作や不正アクセスを経験したと報告している。これは単なる「バグ」ではなく、構造的なガバナンスの欠如を示す警告である。

特に深刻なのは、機械IDと人間IDの比率が80対1以上に達しているにもかかわらず、68%の組織がAIシステムに対するアイデンティティセキュリティ制御を欠いている点である。従来の人間中心のID管理システムは、自律的に動作し、動的に権限を必要とするAIエージェントには対応できていない。

CyberArk社のレポートは、金融サービスおよびソフトウェア企業のCISOの3分の2がAgentic AIをトップ3のサイバーセキュリティリスクに挙げており、3分の1以上が最大の懸念事項としていることを明らかにした。48%の回答者は、2026年末までにAgentic AIがサイバー犯罪者や国家レベルの脅威における最大の攻撃ベクトルになると予測している。

なぜ従来のアクセス制御はAIエージェントに機能しないのか

従来のRole-Based Access Control（RBAC）は静的な権限付与を前提としているが、AIエージェントは動的にツールを選択し、APIを呼び出し、自律的に判断を下す。この根本的なミスマッチが、ガバナンス危機の核心にある。

AWS Well-Architected Generative AI Lensが提唱する最小権限原則の拡張によれば、AIエージェント向けのIAMロールは「スコープ付きポリシー」で最小権限アクセスを定義する必要がある。しかし現実には、多くの組織がエージェントに過剰な権限を付与している。開発者は「動くようにする」ことを優先し、本番環境でも開発時の広範な権限がそのまま残されるケースが多い。

FINOS AIR Governance Frameworkが定義するAgent Authority Least Privilege Frameworkは、この課題に対応するため、静的なロールベースシステムを超えた高度な制御を要求している。具体的には、未使用の権限を自動的に取り消し、昇格されたアクセスは一時的かつ目的限定とすべきとしている。

多層防御とゼロトラストアーキテクチャの適用

Obsidian Security社のフレームワークによれば、AIエージェントセキュリティの基盤はゼロトラストアーキテクチャにある。デフォルトでどのエージェントも信頼せず、すべてのアクションを動的かつコンテキスト認識型のポリシーで認証・認可する必要がある。

具体的な実装として、Cloud Security Alliance（CSA）は以下のアプローチを提唱している。第一に、動的アイデンティティ管理によりエージェントのアクセス権を継続的に監視・評価する。第二に、Policy Based Access Control（PBAC）により集中管理されたポリシーエンジンでリアルタイムのリスクシグナルを組み込んだ複雑なルールを評価する。第三に、粒度の細かいAPI アクセス制御により、エージェントを特定のAPIエンドポイントとメソッドに限定する。

BeyondTrust社のPrivileged Access Security Model（PASM）は、エージェントの自律的アクセスを保護するための具体的なコントロールを提供している。これには、エージェントがアクセスできるツールとシステムを定義する「アクション空間」の制限と、人間による監督レベルを定義する「自律性」の制御が含まれる。

カスケード障害とサプライチェーンリスク

Galileo AI社の2025年12月の研究は、マルチエージェントシステムにおけるカスケード障害の危険性を実証した。シミュレーション環境において、単一の侵害されたエージェントが4時間以内に下流の意思決定の87%を汚染した。これは従来のインシデント対応が封じ込めるよりも速いスピードである。

さらに深刻なのはサプライチェーンの脆弱性である。Barracuda Security社の2025年11月のレポートは、サプライチェーン侵害を通じて導入された脆弱性を持つ43の異なるエージェントフレームワークコンポーネントを特定した。多くの開発者が古いバージョンを使用し続け、リスクに気づいていない。

Lakera AI社のメモリインジェクション攻撃に関する研究は、間接的なプロンプトインジェクションにより毒入りのデータソースからエージェントの長期記憶を破損させ、セキュリティポリシーやベンダー関係について持続的な誤った信念を形成させることが可能であることを示した。

2026年のガバナンスフレームワークと今後の展望

2026年1月22日、シンガポールのInfocomm Media Development Authority（IMDA）は、ダボスの世界経済フォーラムでAgentic AI向けモデルAIガバナンスフレームワークのドラフトを発表した。これは2025年11月のWEFによる同様のフレームワークに続くものである。

シンガポールのフレームワークは2つの重要な概念を強調している。第一に「アクション空間」、すなわちエージェントがアクセスできる（またはできない）ツールとシステムの定義。第二に「自律性」、すなわちエージェントを管理する指示と人間の監督によって定義される自律度である。

McKinsey社の2025年10月のレポートは、Agentic AIのガバナンスが単一機能に留まっていることが問題の根源であると指摘した。多くの組織でAgentic AIはCIOプロジェクトとして扱われ、取締役会レベルの所有権を持つ企業全体のイニシアチブになっていない。セキュリティ、リスク、法務、運用、事業部門が遅れて参加するか、まったく参加しないケースが多い。

CyberArk社が2026年1月に発表したAIエージェント専用のアイデンティティセキュリティソリューションは、業界として具体的な対策製品が登場し始めていることを示している。しかし、技術的ソリューションだけでは不十分であり、組織全体のガバナンス体制の構築が急務である。

FAQ

Agentic AIとは何ですか？従来のAIとの違いは？

Agentic AIは自律的に判断し、ツールを選択し、タスクを実行するAIシステムである。従来のAIが単一のプロンプトに応答するのに対し、Agentic AIは複数のステップにわたる目標達成のために自律的に行動する。

なぜ97%もの組織が適切なアクセス制御を欠いているのですか？

AIエージェントの導入速度がガバナンス体制の整備を大幅に上回っているためである。また従来のID管理システムが動的なエージェントの権限要件に対応できていないことも要因である。

AIエージェントのセキュリティ対策として最初に取り組むべきことは？

まず組織内で稼働しているAIエージェントの可視化と棚卸しを行う。次に最小権限原則に基づいたアクセス制御ポリシーを策定し、未使用権限の自動取り消しメカニズムを導入することが推奨される。

Agentic AIのガバナンスは誰が担当すべきですか？

CIOやIT部門だけでなく、取締役会レベルでの所有権が必要である。セキュリティ、リスク管理、法務、運用、事業部門が初期段階から参加する企業全体のイニシアチブとして取り組むべきである。

参考文献