AIエージェント量産＝マルウェア量産？約6割が「対策迷子」、押さえるべき6つの防御策

約6割が「どこから着手？」“セキュリティ部門任せ”の危うさ

　AIエージェントは、ある目的を持って社内を縦横無尽に動き、システムやデータにアクセスしてさまざまな処理をこなす小さなプログラムだと定義できる。ガートナー シニア ディレクター、アナリストの矢野薫氏によれば、この定義はマルウェアにもそのまま当てはまるという。両者の違いは、目的に悪意があるかどうかだけだ。

　違いが目的だけだとすれば、攻撃者は自前でマルウェアを作らなくても、社内のAIエージェントを乗っ取れば同じことができる。「AIエージェントを量産することが、マルウェアの量産につながりかねません」と矢野氏は注意喚起する。

　ガートナーが2026年2月に国内企業約400社を対象に実施した調査では、「AIエージェントのセキュリティについてどこから着手すべきか分からない」と答えた企業は58.5％だった。

　一方、「AIエージェント活用／活用の議論が先行しておりセキュリティが後手に回っている」と答えた企業は59.3％に上る。セキュリティ対応に迷っているにもかかわらず、活用だけは前に進むという矛盾が起きているのだ。


　なぜ活用だけが先行するのか。背景の1つが、MCPやA2Aといった規格の性質だ。MCPを使ってAIエージェントをツールやデータにつないだり、A2Aを使ってエージェント同士を連携させたりすることは難しくない。一方、規格に沿って接続しただけで、企業ごとに必要な認証・認可まで自動的に整うわけではない。実際の認証基盤やアクセス制御は、利用環境やポリシーに応じて別途設計・実装する必要がある。

　もう1つの背景は、根拠のない思い込みだ。事業部門は「セキュリティ部門が何かしら手当てしているはずだ」と考える一方、セキュリティ部門は現場のどこにMCPサーバが立ち上がったかさえ把握できていない。そうした状況のまま実際に情報が漏えいすれば、責任の所在も曖昧になる。

なぜ従来型では通用しない？ AIエージェント特有の「リスク」

　技術面の理由もある。既存のセキュリティは「静的」な事前定義型で成り立ってきた。ペリミター（境界防御）は境界の外を遮断し、ブロックリストは危険なものを列挙し、ロールベースのアクセス制御は役割ごとに許可する範囲を決めておく。いずれも、先に条件を固定することでリスクに備えてきた。

　しかし、AIエージェントは同じ目的を与えても、実行時の環境や文脈によって取る手順が変わる。非決定論的であり、動的なのだ。だとすれば、セキュリティ側も動的に変える必要がある。


　さらに、対策が追いつくまでのタイムラグも問題になるたとえば、現在につながるパブリッククラウドは2000年代半ばに登場し、企業に本格的に普及するまでにはそこから10年ほどかかった。その間に、クラウドセキュリティの技術も追いついていった。

　一方、AIエージェントは登場から現場に浸透するまでが極端に短く、対策が追いつく前に活用が広がってしまう。完成を待つのではなく、試行錯誤しながら並走するのが世界的な実情だ。

　それでも、できることは増えてきた。では、企業は具体的にどこから手を付ければよいのか。矢野氏は注力すべき項目を6つ挙げる。 【次ページ】まず何を守る？ AIエージェントの「身元と権限」3つの基本