AIエージェントのセキュリティ対策：どこに構えるかで、守れるものが変わる

去る2026年7月22日〜24日に開催された、Gartner Risk Management Summit 2026 に参加してきました。ゼロトラスト、CTEM/ASM などのお馴染みのベンダーが多数ブース展示していましたが、各社売りにしているのが AIセキュリティや AIエージェントのセキュリティだったりで、顔ぶれは大きくかわらないものの、トピックは AI にシフトしているなあと感じました。

ところで、各社が標榜する「AIエージェントを守る」製品は、守っている場所が会社ごとに違います。ブースを一通り回り、同じ言葉が別のものを指していることを確かめることができました。ネットワークの経路に割り込む製品、端末に番人を置く製品、SaaS のテナントに API で入る製品、ログを後から読む製品、ID を配る製品、どれも間違ってはおらず、構えている場所が違うだけですが、ひとつひとつトポロジーや制御の仕組みを把握しないと選定でつまずくと思います。

社内の AI は2つある、リスクも違う

社内の AI は2つに分かれます。従業員が自分で使う AI と、自社が業務に組み込む AIエージェントです。前者には、会社が契約して配ったものと、従業員が個人で契約して使っているものが混ざっているのが実態だと思います。個人で使い始めたほうはシャドーAI と呼ばれ、稟議も設計も通らないまま業務に入っていますが、社内のデータが外部に渡ってしまうリスクがあります。また、自社のテナント制御を通らないので、監査ログも取得できません。会社が把握していない以上、統制の対象に引き戻すべきものです。

自社が組み込む AIエージェントのほうは、攻撃の形そのものが変わります。従来の攻撃面管理（ASM）は、外から見えるものを数えます。開いているポートや公開されたアプリ、期限の切れた証明書といった、攻撃者がそこへ到達できるから面になるものが対象で、面を減らせばリスクが減るという理屈で動いています。

AIエージェントには、この理屈が通りません。AIエージェントが自分で読みに行ったページやメール、チケット、PDF に指示が仕込まれていて、読んだ瞬間に目的をすり替えられます。通信を受け付けるポートは要りません。攻撃者に必要なのは到達性ではなく内容が届くことだけで、メールを1通送るか、チケットを1件立てれば条件は揃います。

そして通った指示を実行するのは、自社の資格情報を持ったAIエージェントです。被害の範囲は攻撃者の権限ではなく、AIエージェントに与えた権限で決まります。読み取りしかできないなら情報が漏れる程度で済みますが、更新や送信ができれば実際に業務が動きます。

並べてみると、守る側が置いてきた前提が一つずつ入れ替わっているのが分かります。

表1：従来の攻撃とAIエージェントへの攻撃の比較

一番効くのは④の「被害を決めるもの」です。従来は攻撃者がどこまで奪えたかが被害の上限を決めていたのに対し、AIエージェントでは導入した側が事前に与えた権限がそのまま上限になります。

守る対象はそれぞれ2つに分かれる

従業員が使う AI は、会社が契約して配ったものと、個人が使い始めたシャドーAI に分かれます。前者は契約と設定で手当てできますが、後者は存在の把握から始まります。

自社が組み込む AIエージェントも2つに分かれます。大手のクラウドや SaaS の上で動くものと、自社のアプリに自分で組み込むものです。前者は設定と権限と履歴が提供元の管理画面と API に出てくるので、外から統制をかけられます。後者は自分で書いた処理の中で動くため、呼び出しを通す場所も記録の取り方も、作った側が用意しない限り存在しません。

いま AI で何を守るかという問いは、この4つのどれを相手にするかに分かれます。製品がどこに構えるかも、それで決まります。

図1：守る対象の4分類

製品は「どこに構えるか」で10に分かれる

表2：製品が構える場所による10の型

A〜D は図1の社内の AI の4分類です。○×は、その対象に手が届くかどうかを表します。

③と⑥は同じ相手を見ますが、作っている側が違います。③はテナントの外から API で入る別会社の製品で、複数の SaaS を横断できます。⑥は提供元が自社製品に組み込んだもので、自社のスタックの中では深く効くかわり、他社の基盤には届きません。⑨も外から読む型ですが、見ているのは SaaS のテナントではなくクラウドのアカウントで、そこに置かれた AI の資産と権限を数えます。

⑤が D にも届くのは、自社で組み込んだ AIエージェントも動くには鍵が要るからです。接続情報を環境変数に置かず ID 基盤の金庫から取りに行く形にすれば、人ではない ID として台帳に載り、任務の範囲だけの短命な鍵を受け取り、権限を消せば次の取得から止まります。ただし握れるのは鍵と権限までで、プロンプトの中身やモデルの判断は見えません。⑦⑧と同じく、作った側がそう書かなければ何も起きない点も変わりません。

B のシャドーAI に○が付くのは①と②だけです。通信か端末を通さない限り、従業員の貼り付けは誰にも見えません。④のログと⑩のモデルとテストは、対象ではなく効くタイミングで分かれます。前者は起きたあとに気づくため、後者は世に出す前に潰すためのものです。その場で止められるのは、通信や呼び出しに割り込む型と、権限を剥がせる型だけです。製品を比べる前に、自社の AI が4つのどれなのかを決めるほうが早く進みます。

導入前に行うのは、4つの対象のリスクアセスメント

製品を並べる前に決めるのは、どの対象にどれだけのリスクがあるかです。リスクの高い順番に取り組むことになるでしょう。

表3：4つの対象のリスクと、自社で確かめられること

守る相手が決まれば、製品は絞れる

ブースを一通り回って分かったのは、どの製品が取り込んでいる機能も間違っておらず、守る場所が違うということでした。比べるべきは製品どうしではなく、まずは自社で4つの対象のどれを先に守るのかということを決めるべきかと思います。

PentaTrail は、外から見える会社の攻撃面を継続的に洗い出して、優先順位づけと是正までを扱う CTEM / ASM サービスです。機能の一覧は 機能紹介 に、導入の相談は お問い合わせ にあります。実際の発見プロセスは 14日間無料で試せます。