数十年にわたり、ネットワーキングとセキュリティはそれぞれ独自の枠組みと前提を発展させながら、別々の道を歩んできた。AIはその分離を崩し、業界がもはや依拠できない根本的な前提を露呈させている。最も重大なのは、AIセキュリティは主にモデル開発者の責任であり続けられるという信念である。
AnthropicやOpenAIなどは、意義ある利用ポリシーとモデルレベルのガードレールを導入しており、こうした制御は必要である。しかし「必要」は「十分」と同義ではない。モデルのガードレールは、AIが会話の中でどう振る舞うか、つまりプロンプトへの応答方法や機密要求の扱い方を統制するために設計されている。これらは、AIエージェントがそのウィンドウを離れ、企業環境の内部で稼働を始めたときに何が起こるか、すなわちネットワークに接続し、データベースに問い合わせ、モデル開発者が見たことも制御することもできないシステム全体でアクションを開始する状況を統制するためには設計されていない。
この区別は重要である。モデルレベルの安全性を企業のセキュリティアーキテクチャとして扱うことは、AIエージェントが企業側で追跡も取り消しもできない行動を取った後になって初めて可視化される盲点を生み出す。
境界の問題
AIモデルは単独で動作するわけではない。AIモデルは、AIエージェントがビジネスインフラとやり取りする方法の新たな標準であるMCP（Model Context Protocol、モデルコンテキストプロトコル）のようなプロトコルを通じて、企業ネットワーク、データベース、運用システムに接続する。MCPは相互運用性を可能にする。しかし、誰がどのシステムに、どの条件で、どの権限を持ってアクセスできるのか、またどのような監査証跡を残すのかを強制するものではない。
AIエージェントがERPシステムに問い合わせ、ファイアウォールルールを更新し、顧客データにアクセスし、自動ワークフローを起動するとき、それはモデル開発者が構築したいかなる安全層もはるかに越えた領域に移っている。AnthropicやOpenAIのガードレールは、会話の文脈内におけるモデルの振る舞いを制御する。企業システムにまたがる下流のアクションを制御するものではなく、そもそもそのために作られたものでもない。
その境界こそ、企業リスクがいま集中している場所であり、ほとんどの組織が可視性と制御を欠いている場所である。
エージェント型AIがモデルを変える
従来のセキュリティは、有限で把握可能な集団を前提に構築されていた。すなわち、人間のユーザーと、それに紐づくデバイスや認証情報であり、確立されたポリシーフレームワークを通じて認証し、統制できるものだった。エージェント型AIは、そのモデルを不十分なものにする。いまや、1人の従業員がAIツールを導入するだけで、数十の非人間エージェントIDを生成できる。それぞれがクラウド、サーバー、エンドポイント、アプリケーションにまたがって自律的に動作し、機械の速度で実行し、人間の確認を待たずにシステム間でアクションを連鎖させる。
データは実務者の実感を裏づけている。Rubrik Zero Labsが2026年に報告したところによれば、セキュリティリーダーの86%は、今後1年以内にAIエージェントが自社のガードレールを追い越すと予想しており、環境内で稼働するエージェントを完全に可視化できていると回答したのはわずか23%にすぎない。これが今日の運用実態である。
閉じたセキュリティモデルでは、この実態にスケールしながら対応することはできない。企業のインフラは本質的に異種混在であり、単一のスタック、クラウド、セキュリティアーキテクチャで運用している大規模組織は存在しない。その多様な環境全体でポリシーを検証し強制できないセキュリティは、設計上不完全であり、問題の一部を守りながら残りを露出させたままにする。
オープンな強制に必要なもの
オープンとは、何でも許容するという意味ではない。強制は、特定ベンダー1社の責任範囲の端ではなく、インフラそのものに存在しなければならないという意味である。
ネットワークは、あらゆるシステムと接続にまたがるすべてのエージェント活動を、一貫してリアルタイムに可視化できる唯一の層である。その層にゼロトラスト原則を適用し、本人確認やロールベースの認可を含めることで、ガバナンスはすべてのAIエージェント、すべてのモデル、すべてのMCPサーバーに及ぶ。上位のモデルをどの開発者が作ったかは問われない。
これこそ、企業が進めるべき転換である。定義された境界の内側で振る舞いを制御するモデルレベルの統制から、運用環境全体に一貫して適用されるインフラレベルの強制へと移行する必要がある。
オープン性には統合も必要である。企業はAIに対応するために自社のセキュリティアーキテクチャを作り直すことはない。ガバナンスと引き換えにフルスタックの置き換えを求めるプラットフォームは、ほとんど受け入れられないだろう。この領域で持続的な役割を獲得するプラットフォームは、既存ツールと共存し、継続的な運用機能としてガバナンスを提供するものになる。外部の検査ポイントにトラフィックを迂回させるアーキテクチャは、レイテンシー、複雑性、カバレッジの欠落をもたらす。強制は、トラフィックが流れる場所に分散されなければならない。
機能する強制モデルとは、エージェントが開始するすべての要求について、既存のネットワークファブリック内で実行される前に、ID、ロール、コンテキスト、ポリシーに照らして検証されるモデルであり、外部の検査層に迂回させるモデルではない。重要なガバナンス層とは、企業が制御する層である。異種混在環境全体で一貫し、完全に監査可能で、上位のモデルをどのAI開発者が作ったかに依存しない層である。
競争上の利害
AIセキュリティをモデル開発者の責任として扱う企業は、自社インフラのガバナンスを、責任範囲がモデルの境界で終わる主体に外部委託していることになる。それは脆弱な前提である。
サービスプロバイダーやマネージドセキュリティのパートナーは、このギャップを埋めるうえで有利な立場にある。ただし、それはオープンで統合されたガバナンスアーキテクチャに今から投資する場合に限られる。何十年もの間、プロバイダーは帯域幅やアクセスという形でトランスポートを収益化してきた。次の成長機会は制御である。企業のインフラ内で動作するAIシステムを統制し、保護する支援が、次の競争曲線を定義する。そして、この能力がコモディティ化する前に構築するプロバイダーが、そのカテゴリーを定義することになる。
重要な論点
AIは、インターネット、モビリティ、クラウドに続く、業界における第4の大きな変革の波であり、その進行速度は前の3つを上回っている。現在の議論は、データセンターにおけるAI、すなわち推論ワークロード、モデル性能、コンピュートコストに焦点を当てている。
しかし、それは表面にすぎない。より深い課題はガバナンスである。誰がAIの制御プレーンを管理するのか、どのポリシーの下で、どこで強制し、どのように監査するのか。単一企業の技術だけでこの問いに答えることはできない。答えには、オープンなアーキテクチャと、企業がすでに運用し信頼しているインフラに組み込まれた強制が必要である。この能力をいま構築する組織が、次の10年の企業セキュリティを主導することになる。
