Agentic AI時代に変わるサイバーセキュリティ
Agentic AI時代に企業が向き合うべき5つの新たな脅威
AIは、攻撃側と防御側双方の対応スピードを大きく変化させています。しかし、多くの企業では、この変化がセキュリティの前提そのものを変えつつあることが、まだ十分に認識されていません。
Palo Alto Networks Unit 42の『2026 Global Incident Response Report』では、50カ国以上・750件を超える重大なインシデントを分析した結果、最も迅速だった上位25％の攻撃では、初期侵入から情報流出までに要した時間は平均72分だったと報告されています。これは前年と比較して約4倍の速さです。同レポートではさらに、脆弱性が公開されてから攻撃者による自動スキャンが開始されるまでの時間も、平均15分にまで短縮されたとしています。
こうした傾向は、単一の調査結果に限ったものではありません。Verizon『2026 Data Breach Investigations Report』によれば、データ侵害の約3分の1はソフトウェアの脆弱性を起点としており、盗難された認証情報を上回って、現在では最も主要な初期侵入経路となっています。一方、防御側については、World Economic ForumとKPMGによる『Empowering Defenders』において、AIを活用した包括的な防御体制を整備している企業では、侵害の検知から対応までの期間を約80日短縮でき、平均的な情報漏えいコストも最大190万米ドル削減できる可能性が示されています。
72分、そして15分。
これが現在の攻撃者のタイムラインです。では、自社のセキュリティ体制は、このスピードに対応できるでしょうか。
企業がAIエージェントを業務へ導入するスピードも、急速に加速しています。
BCG『2026 AI Radar』では、世界のCEOの90％が、AIエージェントは2026年中に投資対効果（ROI）を生み出すと期待していることが示されています。またGartnerは、2026年末までに企業アプリケーションの40％へ特定業務向けAIエージェントが組み込まれると予測しています。この割合は2025年初頭には5％未満でした。
これらの数字が示しているのは、同じ一つの変化です。
AIは、防御側だけを加速させているわけではありません。攻撃側も同じ技術を利用し、同じように速度を高めています。違いがあるとすれば、その変化に誰が先に気づき、前提を見直せるかという点です。
これまで企業が「AIセキュリティ」や「AIガバナンス」を議論する際、多くの場合は次のような点に注目していました。
- モデルは安全か
- 入力したデータは学習に利用されるのか
- プライバシーポリシーは適切か
もちろん、これらは重要な論点です。しかし、それらが前提としているのは、従来の生成AI利用モデルです。
2026年に入り、企業が本当に向き合うべき課題は別のところにあります。
企業がAIエージェントを業務の前線へ配置し始める一方で、攻撃者も同じ技術を利用し始めています。そして、多くの場合、攻撃側の方が先に新しい技術を試し、活用しています。
その結果、AIガバナンスそのものが、企業競争力を左右する要素へと変わり始めています。
従来のセキュリティモデルは、「誰がアクセスするのか」を管理する考え方に基づいて設計されてきました。
利用者の本人確認を行い、権限を確認し、許可された範囲であればアクセスを認める。この考え方は、長年にわたり企業の情報システムを支えてきました。
しかし、AIエージェントでは事情が異なります。
AIエージェントは正規のアカウントを持ち、正式に権限を付与されています。不正に侵入しているわけではなく、認証も適切に行われています。
問題となるのは、「権限を取得した後に何を実行するか」です。
これは、従来のサイバー攻撃とは本質的に異なる点です。
従来のアクセス制御は、「誰がアクセスできるか」を管理する仕組みでした。しかし、データベースを参照し、メールを送信し、さらにはMES、ERP、OTシステムなどへアクセスできるAIエージェントが、本来意図されていない操作を実行した場合、従来のアクセス制御だけではそれを防ぐことは困難です。
なぜなら、システムから見れば、それらはすべて正規の認証情報を利用した、正当な操作として実行されているからです。
つまり、問題は「権限を持っているかどうか」ではなく、「その権限がどのように利用されるか」へ移りつつあります。
以下で紹介する5つの脅威は、それぞれ手法は異なりますが、共通して狙っているのはこの点です。
従来のチャット型AIは、利用者から直接入力された指示に応答する仕組みでした。一方、AIエージェントはWebサイトやドキュメント、データベースなどから自律的に情報を取得し、それを基に判断・実行します。
この違いが、新たな攻撃経路を生み出しています。攻撃者はWebページやメール添付ファイル、共有ドキュメントにAIエージェントだけが解釈する命令を埋め込み、意図しない操作を実行させることができます。
根本的な原因は、LLMが「参照情報」と「実行すべき命令」を完全には区別できないという技術的な制約です。Microsoftの研究でも、利用者には見えない命令であっても、AIエージェントが正当な指示として解釈してしまう可能性が示されています。
こうしたリスクは、AIエージェントがMES、ERP、OTシステムなどと連携する製造現場ではさらに深刻になります。MDPI『Information』（2026年1月）は、ICS環境では情報漏えいだけでなく、生産設備の操作にまで影響が及ぶ可能性を指摘しています。さらにCISによれば関連攻撃は前年比340％増加しており、OWASP GenAI Security ProjectでもPrompt InjectionはAgentic AIにおける最重要脅威として位置付けられています。
AIエージェントでは、利用できるツールが増えるほど、攻撃対象も広がります。
攻撃者はツールの説明文やインターフェースを書き換え、AIエージェントに改ざんされたツールを正規のものと誤認させることがあります。これはTool Poisoning（ツールポイズニング）と呼ばれる攻撃です。また、一見正常なツールとして一定期間動作させ、AIエージェントが信頼した後に悪意ある実装へ切り替えるRug Pullという手法も確認されています。
実際にAnthropicは、世界で初めて確認された悪意あるMCPサーバーの事例を紹介しています。このサーバーは正規のメールサービスを装いながら、利用者が送信したメールを密かに複製し、外部へ送信していました。
さらに警戒すべきなのが、ツールチェーン攻撃（Tool Chain Attack）です。
社内CRM検索ツールとメール送信ツールは、それぞれ単独では安全に運用されていても、AIエージェントが両者を連携させることで攻撃に悪用される可能性があります。例えば、CRMから顧客情報を取得し、そのままメール送信ツールを利用して外部へ送信するといった一連の処理です。
この一連の操作は、すべて正規の認証情報を用いて通常のアプリケーションとして実行されます。そのため、従来のマルウェア対策では異常として検知できない可能性があります。
ツールそのものだけがリスクになるわけではありません。
AIエージェントの自律的な動作も、攻撃に悪用される可能性があります。
人間であれば、同じ作業を繰り返していれば途中で違和感を覚え、確認や中断を行います。しかしAIエージェントは、ロジック上「さらに確認が必要」と判断すれば、人手を介さずに同じ処理を繰り返し実行します。
攻撃者はこの特性を利用し、高コストな外部APIを繰り返し呼び出すループへAIエージェントを誘導することで、短時間のうちにサービス停止やクラウド利用料の急増を引き起こすことができます。
この攻撃では、システムへ不正侵入する必要はありません。AIエージェント自身が正規の機能を繰り返し利用するだけであり、多くの場合、異常に気付くのは請求額の急増やサービス障害が発生した後になります。
つまり、これは従来型の「不正アクセス」ではなく、正規の機能が過剰に利用されることで成立する新しい攻撃手法と言えます。
複数のAIエージェントが連携する環境では、過剰な権限継承（Unrestricted Privilege Inheritance）が代表的なリスクとなります。
例えば、高い権限を持つ管理者Agentが作業Agentへ処理を委譲する際、権限を必要最小限に限定せず、そのまま引き継いでしまうケースです。その結果、作業Agentは本来不要な情報やシステムにもアクセスできる状態になります。
もう一つが、Confused Deputy Problem（混乱した代理人問題）です。権限の低いAgentが正規の指示に見える要求を高権限Agentへ転送し、高権限Agentが利用者の意図を十分に確認しないまま処理を実行してしまうことで、本来許可されていない操作が実行される可能性があります。
リスクは権限管理だけではありません。Agentのメモリも攻撃対象になります。
Agentが過去のセッションで使用した認証情報やAPIキーをキャッシュしたまま再利用しており、適切なメモリ分離が行われていなければ、攻撃者はそれらの認証情報を取得させ、本来の権限では実行できない操作を行わせることができます。その結果、セッションをまたいだ権限昇格につながる可能性があります。
複数のAIエージェントが互いを信頼し、自動的に処理を委譲する環境では、こうしたリスクはさらに拡大します。また、問題が発生した場合には、どのAgentによるどの委譲が原因だったのかを、後から処理の流れを追跡しなければならないケースも少なくありません。
Agentic AIシステムが従来のソフトウェアと大きく異なるのは、実行時に外部ツールや異なるAIモデル、Personaを動的に組み合わせながら処理を行う点です。そのため、攻撃対象は従来のソフトウェアサプライチェーン分析だけでは十分に捉えきれない範囲へ広がっています。
リスクは大きく二つあります。
一つは、モデルそのものに対するリスクです。学習データやファインチューニングの過程が改ざんされると、モデル内部へバックドアが埋め込まれる可能性があります。Anthropicの研究では、わずか250件の汚染された学習データだけで、6億〜130億パラメータ規模のモデルへバックドアを埋め込めることが示されており、その影響はSFTやRLHFなどの後続学習を経ても残る可能性があります。
もう一つは、ツールやフレームワークに対するリスクです。PyTorchでは依存関係混乱（Dependency Confusion）を悪用し、悪意あるパッケージがSSHキーを窃取する攻撃が確認されています。また、セキュリティ研究者は主要なAIモデル共有プラットフォーム上で約100件の悪意あるAIモデルを発見しており、その一部は読み込まれた時点で外部とのリバース接続を開始していました。
つまり、AIモデルでは「どのモデルを使うか」だけでなく、「どのようなデータで学習され、誰の手を経て提供されたのか」というモデルの来歴（Provenance）そのものが、新たなセキュリティ確認対象になります。
AIエージェントは、過去のやり取りや利用履歴を記憶することで、継続的に判断精度を高めます。しかし、メモリが適切に分離されていなければ、一度成功したプロンプトインジェクションが、その後の複数のセッションへ影響を及ぼす可能性があります。
汚染経路は一つではありません。RAGで利用するベクトルデータベースの情報源が汚染されていた場合はもちろん、利用者が直接アップロードしたデータや、信頼されすぎたデータパイプラインを通じて悪意ある情報が混入する可能性もあります。その結果、AIエージェントは誤った回答を生成したり、埋め込まれた指示を実行したりする恐れがあります。さらにマルチテナント環境では、共有コンテキストを介して一つのセッションから別のセッションへ影響が広がる可能性もあります。
こうした汚染は、比較的「一度の攻撃」として特定しやすいケースです。一方、より検出が難しいのがメモリドリフト（Memory Drift）です。
メモリドリフトは、一度の攻撃で知識を書き換えるものではありません。要約処理や他のAIエージェントからのフィードバックを通じて、時間をかけて知識や目標の重み付けを少しずつ変化させる手法です。
個々の変化だけを見ると、悪意ある操作なのか、それとも単なる要約表現の違いなのかを判断することは困難です。そのため、従来の異常検知では捉えにくく、AIエージェントの行動が本来の設計から明らかに逸脱し、偏りが顕在化した段階で初めて問題として認識されることも少なくありません。その時点では、すでに長期間にわたって影響が続いている可能性があります。
ここまで5つの脅威を見て、「新しい攻撃手法が現れるたびに、その都度新しい対策を追加しなければならないのではないか」と感じた方もいるかもしれません。しかし、その考え方では企業は常に攻撃者の後を追い続けることになります。新しい攻撃手法はこれからも次々と現れ、そのたびに個別対策を積み重ねても終わりはありません。
本当に考えるべきなのは、「どのような新しい攻撃が現れても、防御の原則さえ守られていれば被害を最小限に抑えられるのではないか」という視点です。
例えば、サービスアカウントのアクセス権限を業務に必要な最小限の範囲だけに限定していた場合、そのアカウントが攻撃者によって異常な操作へ誘導されたとしても、影響範囲はあらかじめ限定されています。侵害そのものは防げなくても、被害を大きく拡大させないことは可能です。
Agentic AI時代に求められるのは、すべての侵害を防ぐことではありません。侵害が起きても重大な事故へ発展させない防御を設計することです。次回は、この考え方を実装へ落とし込むために、「7つの能力領域」と「3段階の成熟度モデル」を軸とした、防御フレームワークを解説します。
次回は、Agentic AI時代に企業が備えるべきセキュリティ設計について、8つの能力領域と3段階の成熟度モデルという観点から、実際に必要となる防御アーキテクチャを解説します。
参考資料：Palo Alto Networks Unit 42『2026 Global Incident Response Report』・World Economic Forum & KPMG『Empowering Defenders』・Verizon『2026 Data Breach Investigations Report』・BCG『2026 AI Radar』・Gartner『2026 Strategic Technology Trends』・OWASP GenAI Security Project『State of Agentic AI Security and Governance』・Center for Internet Security『Prompt Injections: The Inherent Threat to Generative AI』・MDPI『Information』プロンプトインジェクション攻撃に関する研究・Anthropic『Zero Trust for AI Agents』