自社で人材を採用する際、どれほど慎重に進めているかを考えてみてほしい。求人票の作成、面接、リファレンスチェック（身元照会）、そして新入社員がアクセスできる範囲を厳密に規定した労働条件通知書の提示。では、マーケティング、法務、エンジニアリングなどの業務をすでに担っているAIエージェントは、どのようにして社内に入り込んできたのか。そうしたステップは一切なかった。彼らはロビーからではなく、APIを通じて入ってきたのだ。
このギャップこそが、現在の状況を象徴している。私たちが「AIは仕事を変化させるか」を議論している間に、新たな労働者クラスが組織図に潜り込み、文章の下書き、問い合わせチケットのトリアージ、コードの記述やレビュー、データの抽出といった作業を一日中こなしながら、ただの一度も面接を受けていない。かつて、承認されていないテクノロジーは「シャドーIT」と呼ばれたが、それはデータがどこに保存されるかの問題だった。今回は違う。これらのエージェントは単にファイルを保持するだけでなく、人間の意図を読み取って行動する。ファイルキャビネットというよりも、あなたの代理で署名ができる従業員に近い存在だ。
最も恐るべき数値は、その普及のスピードである。私たちは通常、ガバナンスが追いつく程度の緩やかなペースでテクノロジーが浸透することに慣れている。しかし、今回は違う。セントルイス連邦準備銀行は、数十年前の調査質問を再利用して時代背景を揃え、直接的な比較を行った。その調査結果によると、ChatGPTのリリースから2年足らずにあたる2024年8月の時点で、米国の労働年齢人口の約40%がすでに生成AIを使用していた。これに対し、パソコンは登場から3年で約20%、インターネットは2年で約20%だった。
企業内における普及の勢いも同様に急激である。マッキンゼーが2024年7月に実施した調査によると、企業の71%が少なくとも1つの部門で生成AIを導入しており、同年初頭の65%から上昇している。しかし、真のパラダイムシフトは、人間が指示を入力するチャットボットではなく、指示されることなく自律的に行動するエージェントの登場だ。ガートナーは、2026年末までに企業向けアプリケーションの40%に特定のタスクに特化したAIエージェントが組み込まれると予測している。2025年には、その割合は5%未満だった。これほどの速度で物事が変化するとき、境界線はもはや防壁の役割を果たさない。
「109対1」の課題
企業が人間を1人雇うごとに、そのIT環境内ではすでに数十の非人間アイデンティティ（サービスアカウント、APIキー、トークン、証明書、あるソフトウェアが別のソフトウェアに身元を証明するための資格情報など）が稼働している可能性がある。パロアルトネットワークスが2930人のサイバーセキュリティ意思決定者を対象に実施した「2026年アイデンティティ・セキュリティ・ランドスケープ」レポートによると、現在、マシンのアイデンティティは人間の従業員に対して平均109対1の割合で上回っており、その109個のうち79個がAIエージェントであることがわかった。人間のアイデンティティには予算と注意が向けられるが、実務の多くをこなすマシンにはわずかな監視しか向けられず、その多くが過剰な権限を付与されたまま、認証情報の変更（ローテーション）もほとんど行われていない。静的なサービスアカウントとは異なり、エージェントは実行時に何をすべきかを自ら決定する。人間は1人解雇すれば済むが、その背後に控える109のマシンアイデンティティを解雇することはできない。
従来のセキュリティ対策が検知するのは、マルウェアのシグネチャ、悪意のあるドメイン、異常なトラフィックといった「悪意あるもの」であり、「不適切な推論（思考プロセス）」ではない。エージェントがモデル・コンテキスト・プロトコル（MCP）を使用してデータウェアハウスからレコードを抽出する場合、ファイアウォールはそれを正当で認証された接続とみなす。ファイアウォールには、エージェントが人間の介在なしに自律して動いていることや、汚染された文書に指示されて動いていることまでは判別できない。
リスクは「行動」そのものから「行動の背後にある意図」という一段上のレイヤーへと移行しており、その不具合のパターンはすでにインシデント報告書に現れ始めている。まずは情報の漏洩だ。CybSafeと全米サイバーセキュリティアライアンス（NCA）の共同報告書によると、従業員の38%が「雇用主に知らせずに機密データをAIツールに入力した」と回答している。次にアクセス権限の問題だ。Obsidian Securityは、導入されているAIエージェントの90%が業務に必要な範囲を超える過剰な権限を保持していると結論付け、クラウド・セキュリティ・アライアンス（CSA）の調査ではその被害が具体的な数値で示されている。調査対象の組織の53%が「エージェントが権限を超える行動をとった」と回答し、47%が「AIエージェント関連のセキュリティインシデント」を報告している。また、プロンプトインジェクション（悪意ある指示の注入）攻撃により、ウェブページやメール内の数行のコードによって、エージェントが本来指示されていた動作を書き換えられるリスクもある。そして、請求書が届くまで誰も気づかないリスクもある。インテリジェントルーティング（適切な推論モデルの選択）を導入していれば推論コストを大幅に削減できたはずの場面で、すべてのリクエストを最も高価なモデルに送信してしまうケースだ。
セキュリティの歴史において、各時代はそれぞれ1つの代表的な技術を中心に構築されてきた。パソコン時代はウイルス対策ソフト、インターネット時代はファイアウォール、クラウド時代はEDR（エンドポイントでの検知・対応）やXDR（統合的な検知・対応）である。しかし、エージェントの時代が求めるものは、これまでとは全く異なる。事後にパケットを読み取るのではなく、エージェントの推論やツール呼び出しが実行されている「その瞬間」に、それを統治（ガバナンス）することだ。市場はすでにこの動きを察知している。グーグルによる同社史上最大規模の320億ドル（約5兆2000億円）でのWiz買収（SEC提出文書）や、Veeamによる17億2500万ドル（約2800億円）でのSecuriti AIの買収は、いずれも「AIのセキュリティとガバナンス」が次の防衛線になることを見据えた投資である。賢明なアプローチとは、すべてを遮断することではない。過度な規制は、管理の届かないツールへと人々を追いやるだけだ。そうではなく、機密データをペーストしようとする前に警告を発して指導し、承認されたツールへと誘導することである。
今すべきこと
AIを単なる「調達コスト」として扱うのをやめ、「労働力管理」として捉え直すべきだ。企業はすでにこの労働力を雇用している。残された真の課題は、それを管理するかどうかである。まずは、把握していないAIエージェントの存在を特定することから始まる。多くの場合、それらは適切な場所を調査すれば痕跡が見つかる。IDプロバイダーにおけるOAuthの認可状況、シークレットマネージャー内のAPIキーやサービスアカウント、モデル提供企業へのアクセスを示す送信（エグレス）ログ、そして従業員が独自にインストールしたプラグインなどだ。SaaS、クラウド、エンドポイントにわたって検出を行うことで、散在する証拠を1つのインベントリ（資産目録）に統合できる。姿の見えないエージェントに制限（ガードレール）をかけることはできないため、これはガバナンスの絶対的な前提条件となる。
その次に、より困難な課題が控えている。意図と実行の間に介入プロセスを設けることだ。実務上は、エージェントのすべてのアクションが実際のシステムに到達する前に、必ず通過するチェックポイントを構築することを意味する。これは、リクエストを読み取り、ルールを適用し、許可、ブロック、またはエスカレーション（承認申請）を判断するゲートウェイやポリシーのレイヤーである。エージェントが顧客データベースにクエリを送信したり、シェルコマンドを実行しようとしたりした際、このレイヤーがそのアクションとエージェントに割り当てられた本来の業務を照合し、プロンプトから機密情報フィールドを取り除き、リスクの高い処理については人間の承認を求めるために一時停止させることができる。これは、エージェントの推論を信頼することと、その動作を検証することの違いである。
AIエージェント時代は、すでに始業している。この先、勝ち抜くのは、AIを頑なに排除した企業でも、すべてを無条件で受け入れた企業でもない。すでに自社に入り込んでいるこの新たな労働力を直視し、それを管理すると決断した企業である。
