――今年2月の調査では、日本企業の58.5%が「AIエージェントのセキュリティにどこから着手すべきかわからない」と、59.3%が「活用議論が先行し、セキュリティが後手に回っている」と回答したそうですね。
矢野 この2つは、普通に考えれば矛盾するはずです。セキュリティについて着手の仕方が分からないと言いながら、活用の議論だけは先に進めてしまっている。私はこれを確信犯的だと表現しています。
AIエージェントとは、目的を持って社内を動き回り、最終的に何かを実行する小さなプログラムです。実はこの動きは、マルウェアと本質的に同じです。ですから、AIエージェントがサイバー攻撃に悪用されたり、内部不正の温床になったりすることを強く懸念しています。
――AIエージェントのリスクは、どう整理すればよいですか。
矢野 大きく3つあります。1つは暴走です。人間が意図した制約を外れてデータを破壊したり、悪用したりするケースですが、これはもうみなさん想定済みです。2つめがプロンプトインジェクション※1のような第三者による悪用。そして3つめが、正規のAIエージェントをそのまま乗っ取ることです。
――最も警戒すべきは。
矢野 3つめの「乗っ取り」です。
AIエージェントはもともと、アクセス権さえ付与されれば、そのデータで“何でもできる子”です。場合によっては機密情報も取れるし、ランサムウェア感染も引き起こせてしまう。だから、攻撃者はマルウェアを新しく作る必要がありません。乗っ取るだけでいいのです。ここは分かっているようで、意外と分かっていない部分だと思います。
――そもそも、なぜAIエージェントのセキュリティ対策は難しいのですか。
矢野 ツールやデータにアクセスするためのMCPやA2Aといった規格そのものにセキュリティの取り決めがなく、認証や認可の仕組みは別に実装する必要があります。セキュリティは常に後付けになる構造なのです。
もう1つ、組織のあり方としても、構造的な矛盾があります。
デジタル化が進むほど、開発やデータ活用はローコード・ノーコードで民主化されていきます。対して、セキュリティは、決められた担当者が事前にルールを定義する中央集権型のままです。AIエージェントが何の目的でどのデータにアクセスするかは、その都度異なります。このように動的に振る舞い、行動が予測できないAIエージェントに、境界型・事前定義型の従来型セキュリティでは対応しきれません。
――部門・役職間の分断も課題になりそうです。
矢野 かなり大きいと思います。DX推進の担当者が、“セキュリティは自分の責任範囲ではない”という意識になってしまう。一方で、セキュリティ担当者には現場の情報が入ってこない。経営層もAIやセキュリティに苦手意識を持つ方が多く、配下が何とかしているだろうという希望的観測に頼ってしまうケースが多く見られます。
クラウドやIoTの登場時と同じ轍を踏んでいると感じますが、ただし、クラウドの普及には10年かかり、その間に対策も整いました。対して、AIエージェントは数カ月で現場に広がってしまいます。クラウドの時のような猶予はありません。AIがアジャイルであるなら、セキュリティ側ももっとアジャイルにならなければいけない。これは私たちにとって新しいチャレンジです。