長年、サイバーセキュリティで脅威といえば、ファイアウォールの突破や認証情報の窃取、未修正の脆弱性の悪用を狙う外部の攻撃者でした。私たちはこうした攻撃を想定して数十年にわたり訓練を重ね、防御体制を整えてきました。
しかし今後、大規模な情報漏えいを引き起こすのは、外から侵入してくる攻撃者ではなく、すでにアクセス権を持つAIエージェントかもしれません。
たとえば、AIエージェントにサポートチケットの要約を任せたとします。わずか数分のうちに、エージェントは複数のシステムを検索し、顧客データベースを照会します。さらに、新規チケットの作成やデータの更新、メールの送信まで、人の手を一切介さずに完了させます。組織がエージェンティックAIに大きな期待を寄せる理由はここにあります。ただし、目標に沿ってほぼ自律的に動作するという特性は、セキュリティの担当部署が注視すべき点でもあります。
エージェントが業務を遂行するには、有効な認証情報やAPIの権限に加え、メールやクラウドリソース、SaaSアプリケーション、ソースコードのリポジトリ、顧客記録、社内文書へのアクセスが欠かせません。その結果、多くの組織では、いままで攻撃者が狙ってきた以上の情報に、エージェントがすでに触れられる状態になっています。
つまり、外部から侵入されるのではなく、自分たちでアクセスを許可しているのです。
エージェント自体に必ずしも悪意があるわけではなく、侵害されているとも限りません。それでも、攻撃者に誘導されて、開発者が想定していない動きをしてしまうおそれがあります。しかも、AIエージェントは正規のアクセス権を使って動いているため、ID管理システムはその異常に気づくことができません。
また、エージェント自体ではなく、LLMのハルシネーション（事実と異なる回答の生成）が原因となり、後続の処理が誤った方向に進む場合も考えられます。「Strawberry」に含まれる「R」の数をChatGPTが誤って答えた事例は広く知られていますが、同様の誤りが重要な業務で起きれば、見過ごせない問題となります。
こうして、「人間以外の内部関係者」が新たなリスクとして浮上しています。
これまで内部脅威の原因は、故意か過失かを問わず従業員自身にあるか、侵害されたアカウントにあると考えるのが一般的でした。これらのリスクは今後も残ります。不審なリンクのクリックやパスワードの使い回しは依然として後を絶たず、作業中にMFAの承認を深く考えずに許可してしまうケースも少なくありません。
一方で大きく変わっているのが、組織が管理すべきIDの数です。
CyberArkの2025年版Identity Security Landscapeレポートによると、マシンIDは人間のIDの82倍に上ります。同レポートによると、AIがもたらすリスクに対応できるIDセキュリティ対策を整えている組織は、わずか32%にとどまっています。さらに、2025年には、新たに作られる特権ID（強い権限を持つID）の発生源として、AIが最も多くなりました。こうした変化には、従来の対策の見直しが求められます。
今では、管理すべきIDは従業員のものだけでなく、サービスアカウントやボット、自動化ツール、システム同士の連携に使われるものにまで広がっており、そこに自ら判断してタスクを実行するAIエージェントも加わっています。
これまで、セキュリティで確認すべきことはシンプルでした。
「アクセスしているのは本人か？」
しかし今では、確認すべきことがはるかに複雑になっています。
「このIDは、適切な場面で、正当な目的のために、必要な操作だけを行っているか？」
これを見極めるのは、決して簡単ではありません。
従来のサービスアカウントは、基本的にプログラムされたとおりに動作します。これに対してAIエージェントは、決められた手順に従うのではなく、段取りを自分で考え、使用するツールを自ら選択します。情報の要約やAPIの呼び出し、コードの生成、記録の更新、メッセージの送信に加え、他のエージェントへの作業の委任も可能です。こうした柔軟性はエージェントの価値である一方、これまでにないセキュリティ上の懸念も生み出しています。
OWASPのLLMアプリケーション向けTop 10は、プロンプトインジェクションをAIシステムにおける重大なリスクの一つに位置付けています。あわせて「過剰な代理行為（Excessive Agency）」も挙げており、これはAIシステムに必要以上の権限が付与され、不要なリスクを伴う操作まで実行できてしまう状態を指します。
さらにOWASPはエージェンティックアプリケーション向けTop 10を公開し、エージェントの目的のすり替え、権限の悪用、メモリポイズニング、エージェント間の安全でない通信、制御を外れたエージェント（ローグエージェント）といった懸念を取り上げています。
AIが質問への回答にとどまらず、実際に処理を実行するようになると、その影響の大きさは一変します。チャットボットの誤回答であればユーザーの不満で済みますが、AIエージェントの場合は事情が異なります。仮にエージェントが顧客情報を取得し、数千件の記録をエクスポートしたとします。そのデータを外部にメールで送信し、作業内容まで記録していれば、本来の指示に従ったつもりの行動であっても、紛れもないセキュリティインシデントとなります。
Cloud Security Allianceが2026年4月に発表した調査では、82%の企業で、担当部署が把握していない、または十分に理解していないAIエージェントが稼働していることが明らかになりました。また、約3分の2の組織が過去1年間に少なくとも1件のAIエージェント関連のインシデントを経験しています。そのうち61%はデータ漏えいを伴い、43%は業務停止、35%は金銭的損失につながりました。
技術の進化に対し、ガバナンスやID管理、監視体制の整備が追いついていません。
AIエージェントが厄介なのは、不適切な操作をしていても、システム上は問題のない動きに見える点です。有効な認証情報やAPIトークンでログインし、承認済みのアプリケーションから、与えられた権限の範囲内で動いているため、従来のID管理の基準では何の異常も見つかりません。
多くの組織は長年、本人確認の強化に取り組んできました。その重要性は今も変わりませんが、正しく認証されたエージェントであっても、所有者の意図に反する行動を取るよう誘導されることがあります。正規の権限を使った不正な操作を見抜くことは、人間のアカウントでも以前からの課題で、今も十分に対処できているとは言えません。
Verizonの2025年度データ漏洩/侵害調査報告書によると、侵害の22%に認証情報の悪用が関与し、第三者が関与する侵害は倍増して30%に達しました。攻撃者がネットワークの境界を直接狙うのではなく、IDを悪用する傾向を強めていることがうかがえます。
AIエージェントは、この傾向に拍車をかけます。攻撃者は、AIエージェントが読み込む情報に細工をするだけで、思いどおりに動かせてしまうおそれがあります。メールやドキュメント、Webサイト、チケット、リポジトリ、チャットのメッセージは、いずれもエージェントにとって指示の出どころとなり得ます。そのため、AIエージェント自体は正規のIDで認証されていても、読み込んだ情報に左右されて誤った判断を下してしまう可能性があるのです。
AI関連のインシデントは、単一のミスではなく、複数の問題が重なって起きるのが一般的です。
有効期限の長いAPIキーやOAuthトークン、サービスアカウント、常時付与された権限により、エージェントは不要になった後もアクセスを保持し続けます。
多くのエージェントには、実際の業務に必要な範囲を大きく超え、読み取りや書き込み、変更、承認、削除、デプロイまで行える権限が与えられています。
エージェントは、メールやサポートチケット、文書、チャット、Webサイト、リポジトリから情報を取り込みます。攻撃者がこれらに手を加えることができれば、エージェントの判断にも影響を及ぼせます。
AIエージェントが操作を行ったこと自体は多くの組織で確認できますが、その操作が本来の目的に沿っているか判断できる組織は限られます。ログを見れば何が起きたかは分かっても、それが本当に必要な操作だったのかまでは分かりません。それを見極めるには、ログとは別の仕組みが必要です。
AIエージェントの利用を禁止することは、解決策になりません。
現実的ではないうえ、多くの場合ビジネスの観点からも合理的とは言えません。AIは生産性の向上や定型業務の削減に寄与し、業務の効率化を大きく後押しします。
ただし、これまでの技術と同様に、適切なセキュリティ対策を講じることが前提となります。
存在を把握していないAIエージェントを保護することはできません。導入済みのエージェントを一覧化し、それぞれの管理責任者、アクセス可能なシステム、許可された操作を文書化しておくことが重要です。
サポートチケットの要約のみを担うエージェントであれば、顧客記録の変更や財務システムへのアクセスは不要です。権限を絞り込むことで、問題が発生した際の影響範囲を抑えられます。
管理者権限を常に与えたままにしておくと、相手が人でもシステムでも、余計なリスクを抱えることになります。データの削除や設定の変更、権限の付与など、影響の大きい操作については、追加の承認を必須にするか、期限を区切ってアクセスを許可する仕組みにすべきです。
エージェントごとに、平常時の挙動を定義しておく必要があります。普段アクセスするシステム、取得するデータ量、使用するツールが明確であれば、有効なIDによる異常な動きにも気付きやすくなります。
大量データのエクスポート、金銭取引、権限の変更、本番環境へのデプロイ、顧客に影響する判断には、人間による確認を組み込むべきです。業務を遅らせる可能性もありますが、重要な操作がビジネス上妥当であるかを確実に検証することができます。
AIエージェントは、プロジェクトの終了とともに自動的に廃止されるとは限りません。認証情報や不要な権限が残ったまま放置されたエージェントは、将来のセキュリティインシデントの要因となります。
エージェントの台頭は、人に起因するリスクに取って代わるものではなく、その範囲をさらに広げるものです。
どのAIツールを導入するかを決めるのは、依然として人間です。権限の割り当てや連携の設定、アクセスの承認に加え、AIシステムが扱える情報の範囲を決めるのも人間です。こうした判断によって、従業員には不可能な規模で継続的かつ自律的に動作するデジタルIDが生まれており、この点がセキュリティに関する議論を大きく変えています。
これまでの対策は攻撃者の侵入を防ぐことに重点を置いてきましたが、今後は、すでに内部にいる信頼されたIDが想定どおりに動作しているかを確認することも求められます。AIエージェントは、組織の一部になりつつあります。従業員や契約社員、特権管理者と同様に、適切なアクセス権、実効性のある監督、継続的な監視が欠かせません。
エージェンティックAIの時代において、次の内部関係者は従業員ではないかもしれません。それは、誘導されたとおりに行動する、認証済みのIDである可能性があります。
原典：Erich Kron著 2026年8月20日発信 https://blog.knowbe4.com/rise-of-non-human-insider