ガートナーの予測によれば、2026年末までにエンタープライズアプリケーションの約40%がエージェント型機能を搭載するという。2025年時点ではわずか5%だった。この曲線を押し上げているソフトウェアの多くは、新規のものではない。すでに導入済みで、予算もついており、「承認済み」の側に収まっているものだ。会計プラットフォーム、人事システム、もはや誰も気に留めないコラボレーションツール――これらがエージェント型AIガバナンスの盲点を生み出している。企業はソフトウェアが想定通りに振る舞うことを前提にリスクプログラム全体を構築してきたが、現在ではその前提がますます成り立たなくなっている。
「根本的な前提は、ソフトウェアは予測可能に振る舞うことができ、またそう振る舞うべきだ、というものだった」と、エージェント型ソフトウェア制御のスタートアップNeoの共同創業者兼CEO、ニック・ワーナーは語る。「だからその基準に照らして評価し、異常な挙動があれば攻撃者か何らかのマルウェアによるものだと合理的に推定できた」。しかしこのパラダイムは時代遅れになったと同氏は述べる。企業がすでに信頼しているツールの内部で、製品アップデートが行われるようになったからだ。
エージェント型AIガバナンスの盲点
ベンダーリスク審査の多くは、承認時に一度行われるだけで、次の契約更新や年次再評価まで再び実施されることはほとんどない。このモデルは、製品が一度審査を通過すれば、おおむね同じ製品であり続けることを前提としている。エージェント型機能は、その前提を崩す。
「新たなツールを購入もインストールもすることなく、認可済みソフトウェアがシャドーAIの温床になり得る」と語るのは、エンタープライズ顧客のテクノロジー環境を管理するNWN Carouselでカスタマーサクセス担当EVPを務めるジャック・ロッジだ。「ベンダーが、より多くのデータにアクセスし、他のシステムを呼び出し、ユーザーに代わって行動するエージェントを追加することがある。それでもツールは『承認済み』に分類されたままかもしれない。たとえ当初審査したものとは実質的に別物になっていてもだ」と同氏は述べる。さらに「新たなエージェント型機能は、既存の権限を使って機械の速度で動作し得る」と付け加えた。
ワーナーもセキュリティの側から同じギャップを見ている。大手プラットフォームベンダーはエージェント型機能の提供開始を大々的にアナウンスする傾向がある。販売活動がそれに紐づいているからだ、と同氏は指摘する。問題は、会計や人事チームが依存する何十もの小規模ツールだ。「そこでは、ソフトウェアが決定論的なものからAI駆動へ、そしてエージェント型機能を備えるものへと根本的に変貌することについて、まともな通知がない」。さらに同氏はこう加える。「平均的な組織は環境内に数千種類のソフトウェアツールを抱えている」。これでは、スケジュール通りに手動で再評価するアプローチは、いまエージェント型AIの導入が求める規模では到底機能しない。
なぜ一時点の承認がエージェント型AIガバナンスの盲点を生むのか
両専門家が指摘する解決策は、年次のベンダー質問票をより速く回すことではない。まったく別のトリガーに切り替えることだ。
ベンチャーキャピタルAndreessen Horowitzのゼネラルパートナー、ゼイン・ラッキーは、セキュリティ実務家であり、創業者であり、Etsyの元最高情報セキュリティ責任者(CISO)でもある(同氏のファンドはNeoに投資している)。すでに承認済みのツールにベンダーがエージェント型機能を追加した場合、現在は再審査の対象になるのかと問われると、同氏は「実務上、現在はほぼまったくそうなっていない。ベンダーリスク審査は一時点のものであり、ソフトウェアのリリース周期がはるかに遅く(四半期ごとなど)、機能が購入時点で固定されていた時代のために作られたものだ」と述べた。
ラッキーが変えるべきだと主張するのは、そもそも何が審査のトリガーになるのかという点だ。カレンダーに基づくスケジュールから、新たな認可範囲や新たに有効化された自律機能といった具体的なシグナルに紐づく仕組みへ移行する必要がある。「リスク受容はもはや静的な一時点の判断として捉えられるべきではなく、承認済みツールの内部に新たな機能が現れるにつれて、新たな意思決定につながり得る、絶えず進化するデータの集合として考えられるべきだ」と同氏は述べた。
ロッジは解決策を3段階で整理する。第1に、新たな自律性、データアクセスの拡大、権限の追加、外部連携、意思決定やその実行能力といった重大な変更に対するトリガーを、事前に定めておくべきだ。第2に、契約文言で、ベンダーに対して一般公開前に指定された連絡先へそれらの変更を開示することを義務付けるべきである。最後に、「影響度の高いエージェント型機能は、対象を絞った審査が行われるまで、デフォルトで無効にし、有効化には明示的な管理者承認を必要とすべきだ」と同氏は述べた。同氏は、だからといってすべての機能強化について全面的なセキュリティ評価をやり直す必要があるわけではないとも付け加えた。「審査は、その機能が何を見て、何を判断し、何を実行できるかに比例したものであるべきであり、ベンダーの主張だけでなく、環境から得られるテレメトリーによって裏付けられるべきだ」
エージェント型AIガバナンス:それは誰の意思決定だったのか
機能の変化を把握できた組織であっても、さらに難しい問いに直面する。ソフトウェアが行動したとき、誰が決定したのか、という問いだ。
「多くのセキュリティチームは、帰属の特定に非常に苦労している」とラッキーは述べた。「ログには、有効なユーザーが有効な操作を行ったと記録されるが、誰が意思決定をしたのかを示す項目がない」。既存のセキュリティツールの多くは、エージェントが存在する以前に構築されたものであり、人間の操作と、その人間の認証情報の下で実行されたエージェントの判断を区別する方法を持っていない、と同氏は指摘した。
ロッジもガバナンスの側面から同じ線引きをする。「有効な認証情報は、あるアカウントがシステムへのアクセスを許可されていたことを証明する。それは、その従業員本人が特定の操作を行うと決定したことを証明するものではない」。帰属特定を有効にするには、タスクを委任した人間、実行したエージェント、使用された認証情報を切り分けることを同氏は推奨している。「理想的には、エージェントは従業員のアカウントを通じて見えない形で動作するのではなく、固有のマシンID、狭く限定された権限、サービスレベルの可視性を持つべきだ」と同氏は述べた。さらに同氏は、「監査ログは、誰がタスクを開始したのか、どのエージェントとバージョンが動作したのか、どの目的を受け取ったのか、どのシステムにアクセスしたのか、人間の承認があったのか、そして最終的にどの操作が行われたのかを記録すべきだ」と推奨している。
ワーナーは、顧客環境の内部から見た同じギャップを説明した。平均的な企業が数十のセキュリティ製品を運用しているにもかかわらず、現時点でエージェント型セッションやチャット活動の完全な監査証跡を提供するものはない。誰が、あるいは何が、ある操作を開始したのかを可視化することが、あらゆるポリシーや統制を構築する出発点だと同氏は述べた。
エージェント型AIガバナンスの盲点を塞ぐには、まず所有責任から始める
誰がこれを担うべきかと問われたワーナーは、言葉を濁さなかった。「われわれは、100%セキュリティの責任だと考えている」。膨大に広がるベンダー一覧全体で継続的な機能変更を調達部門が追跡することを期待するのは非現実的であり、「セキュリティ態勢の抜本的な再考」が必要だと主張した。
ロッジは、明確な説明責任を伴う共同責任を提唱し、定義された役割に分担することを求めている。ビジネスまたはアプリケーションのオーナーは、ユースケースとエージェントにどれだけの権限を与えるかについて責任を負う。CISOまたはガバナンス/リスク責任者は、ガバナンスの枠組みと審査の閾値を担う。セキュリティとITは、ID、監視、アクセス制御を担う。調達または法務は、通知と監査権に関する契約上の要件を設定する。「ガバナンスプログラム全体については1人のエグゼクティブオーナーを置き、各エージェント型機能については1人の指名されたビジネスオーナーを置くべきだ」とロッジは述べた。
誰が所有責任を持つにせよ、購入時の承認が、年次レビューを伴うとしても製品の有用期間全体をカバーするという旧来のモデルは、すでに社内に入った後で急速に進化し得るソフトウェアにはもはや適合しないという点で、両氏の意見は一致している。
リーダーにとって、これは新たな作業を追加するというよりも、前提を捉え直すことを意味する。ベンダー承認は本来、恒久的なものとして意図されたものではない。しかし実務上は、一度下された判断がファイルに綴じられ、何か問題が起きない限りほとんど見直されないものとして機能してきた。企業向けソフトウェアが、自ら推論し、行動し、意思決定する能力をますます獲得するなかで、リスクをファイリングキャビネットにしまい込むようなこのアプローチは時代遅れであるだけでなく、すでに安全と印付けられたあらゆるアプリケーションの内部に存在する、エージェント型AIガバナンスの盲点そのものなのである。
エージェント型AIガバナンスに関するこの記事は楽しめただろうか。次回の記事もぜひ読んでほしい。記事上部の署名付近にある青い「フォロー」ボタンで筆者の仕事をフォローし、筆者の他のコラムはこちらから確認できる。
