企業のAIエージェント管理、封じ込め対策に大きな穴

AIエージェント（自律的にタスクをこなすAIシステム）のセキュリティ対策において、多くの企業が「設定しているつもり」と「実際に機能している」の間に深刻なギャップを抱えていることが、VentureBeatの調査で明らかになった。今年1月から6回にわたり実施されたこの調査は、企業のセキュリティ担当者440人を対象としており、AIエージェントの普及が加速する中でのリスク実態を継続的に追ってきた。

調査結果によると、回答企業の53%がすでにAIエージェント関連のセキュリティインシデント、あるいはインシデント寸前の事態を経験している。一方で、エージェントの動作権限をリアルタイムで制限していると答えた企業は65%に上るが、リスクの高いエージェントを他のシステムから隔離（アイソレーション）している企業はわずか18%にとどまる。さらに、権限制限と隔離の両方を実施している企業となると、全体の8%にすぎない。言い換えれば、問題が起きたときに実際に被害を封じ込められる態勢が整っている企業は、ほとんど存在しない状況だ。

こうした対策の空白を埋める役割を担っているのが、クラウドプロバイダーやAIプラットフォーム事業者が提供するセキュリティ機能だ。7月の調査では、主要なセキュリティ層として何らかのツールを導入している企業のうち92%が、ハイパースケーラー（大規模クラウド事業者）やAIプラットフォーム提供者のネイティブ機能に頼っていることが判明した。しかしこうした外部依存の姿勢は、自社固有のリスクへの対応を後手に回らせる可能性があると見ることができる。

調査からは、セキュリティツールの評価に関して興味深い傾向も浮かび上がった。インシデントや寸前事態を経験した46社のツール満足度の平均は5点満点中4.39だったのに対し、インシデントを経験していない55社のうち30社の平均は4.13だった。つまり、実際に問題が発生してそれを防いだツールほど、高い評価を得るという逆転現象が起きている。また、最もリスクの高いエージェントを隔離している17社では、ツール評価の平均が4.00だった一方、隔離していない企業群の平均は4.35と高かった。

この数値が示すのは、企業のツール評価が実際の安全性よりも「体験した結果」に強く左右されているという構造だ。インシデントを一度も経験していない企業では、ツールが本当に機能しているのかどうか確かめる機会がなく、評価が低めになりやすい。逆に、問題をギリギリで防いだ企業は「助けられた」という体験を根拠に信頼を高める。7カ月間のデータを通じて、VentureBeatはこの「救助体験がマーケティングを兼ねている」構造を指摘している。

なお、個別事例として、Visaの技術担当プレジデントであるRajat Tanejaが、VB Transform 2026の場でAnthropicのAIモデル「Mythos」を使いVisa自社の決済ネットワークへのセキュリティテストを実施したことを公表した。このテストでは、単独では軽微な脆弱性が連鎖的につながり実際に機能する攻撃経路が構築されたという。Visaはこのテストを制御するためのツール一式をオープンソースとして公開している。こうした取り組みは、自社で発見した問題を実際の対策につなげる技術的基盤と体制を持つ企業の一例として位置づけられる。

AIエージェントは業務効率化の手段として企業への導入が広がっているが、エージェントが誤動作したり外部から悪用されたりした場合の影響範囲は、従来のソフトウェアより大きくなりうる。今回の調査が示す「設定はしているが封じ込められない」という状態は、エージェントAIへの投資が拡大する中で見過ごしにくいリスクだ。権限管理と隔離の両立、そして外部依存からの脱却が、今後の企業セキュリティの焦点になっていくという見方ができる。