ガートナージャパンでセキュリティ／リスク・マネジメントなどを担当するシニア ディレクター アナリストの矢野薫氏

――今年2月の調査では、日本企業の58.5%が「AIエージェントのセキュリティにどこから着手すべきかわからない」と、59.3%が「活用議論が先行し、セキュリティが後手に回っている」と回答したそうですね。

矢野　この2つは、普通に考えれば矛盾するはずです。セキュリティについて着手の仕方が分からないと言いながら、活用の議論だけは先に進めてしまっている。私はこれを確信犯的だと表現しています。

AIエージェントとは、目的を持って社内を動き回り、最終的に何かを実行する小さなプログラムです。実はこの動きは、マルウェアと本質的に同じです。ですから、AIエージェントがサイバー攻撃に悪用されたり、内部不正の温床になったりすることを強く懸念しています。

攻撃者は乗っ取るだけでいい

――AIエージェントのリスクは、どう整理すればよいですか。

矢野　大きく3つあります。1つは暴走です。人間が意図した制約を外れてデータを破壊したり、悪用したりするケースですが、これはもうみなさん想定済みです。2つめがプロンプトインジェクション※1のような第三者による悪用。そして3つめが、正規のAIエージェントをそのまま乗っ取ることです。

※1　プロンプトインジェクションAIに対して悪意のある指示を仕掛け、本来の制限を無視させて誤動作や情報の漏洩を引き起こす攻撃手法

――最も警戒すべきは。

矢野　3つめの「乗っ取り」です。

AIエージェントはもともと、アクセス権さえ付与されれば、そのデータで“何でもできる子”です。場合によっては機密情報も取れるし、ランサムウェア感染も引き起こせてしまう。だから、攻撃者はマルウェアを新しく作る必要がありません。乗っ取るだけでいいのです。ここは分かっているようで、意外と分かっていない部分だと思います。

――そもそも、なぜAIエージェントのセキュリティ対策は難しいのですか。

矢野　ツールやデータにアクセスするためのMCPやA2Aといった規格そのものにセキュリティの取り決めがなく、認証や認可の仕組みは別に実装する必要があります。セキュリティは常に後付けになる構造なのです。

もう1つ、組織のあり方としても、構造的な矛盾があります。

デジタル化が進むほど、開発やデータ活用はローコード・ノーコードで民主化されていきます。対して、セキュリティは、決められた担当者が事前にルールを定義する中央集権型のままです。AIエージェントが何の目的でどのデータにアクセスするかは、その都度異なります。このように動的に振る舞い、行動が予測できないAIエージェントに、境界型・事前定義型の従来型セキュリティでは対応しきれません。

――部門・役職間の分断も課題になりそうです。

矢野　かなり大きいと思います。DX推進の担当者が、“セキュリティは自分の責任範囲ではない”という意識になってしまう。一方で、セキュリティ担当者には現場の情報が入ってこない。経営層もAIやセキュリティに苦手意識を持つ方が多く、配下が何とかしているだろうという希望的観測に頼ってしまうケースが多く見られます。

クラウドやIoTの登場時と同じ轍を踏んでいると感じますが、ただし、クラウドの普及には10年かかり、その間に対策も整いました。対して、AIエージェントは数カ月で現場に広がってしまいます。クラウドの時のような猶予はありません。AIがアジャイルであるなら、セキュリティ側ももっとアジャイルにならなければいけない。これは私たちにとって新しいチャレンジです。