AIエージェント、侵入から1時間でDB全滅──「机上の脅威」から「実害」に変わったAIセキュリティの現在地とこれから

生成AIを使った自律型エージェント（AIエージェント）が本番環境で稼働する企業が急増している。コードを書き、社内システムを操作し、時には決済まで代行する。その一方で、これまで「理論上のリスク」として語られてきたAIエージェントへの攻撃が、実際の侵害事例として報告され始めた。本稿では、直近の潮流を整理したうえで、AIセキュリティが近い将来どこへ向かうのかを、根拠とともに展望する。

何が起きているのか——3つの潮流

1. 「実地侵入」が理論から現実になった

セキュリティベンダーのSysdig（サイズディグ）は、LLM（大規模言語モデル）エージェントが攻撃者に実環境で侵入された事例を報告したと伝えられている。報告によれば、侵入からおよそ1時間以内にPostgreSQLデータベースが丸ごと窃取されたとされる。これまでAIエージェントへの攻撃は「プロンプトインジェクションで誤動作させられる可能性がある」という理論的な議論が中心だったが、この報告が事実であれば、攻撃者が実際にエージェントの権限を乗っ取り、極めて短時間で実害につなげられることを示す事例となる。あわせて、正規のJavaライブラリを装ってコーディングエージェントを騙し、テストコードやファイルの削除を試みるサプライチェーン経由の新手口も報告されている。

2. 「シャドーAI」が個人と企業の力関係を逆転させている

もう一つの潮流は、個人が契約する生成AIの性能が、企業が正式導入したAIツールを上回るという逆転現象だ。優秀な人材ほど、使いにくい社内AIより高性能な私物AIを業務に持ち込む傾向が強まっているとされ、情報システム部門の担当者の多くが「シャドーAI（未承認AIの利用）の増加を実感している」とする調査結果も報告されている。私物AIへの機密情報の入力は、そのまま情報漏洩や、優秀な人材が使い勝手の良い環境を求めて転職する「人材流出」の遠因にもなり得る。

3. 既存の防御手段では「誤行動」を止められない

セキュリティ企業のOnyx Securityは、権限管理（アクセス制御）とEDR（エンドポイント検知・対応）を組み合わせた従来型の防御だけでは、AIエージェントが「悪意なく」引き起こす誤行動——例えば誤ってデータベースを削除する、認証トークンを誤って外部に公開する、といった事故を防げないと指摘している。攻撃者による不正利用だけでなく、エージェント自身の判断ミスも同列のリスクとして扱う必要がある、という問題提起だ。

なぜ今、表面化しているのか

こうした背景から、大手調査会社のガートナーは2026年前半の調査で、企業が直面する最重要リスクとして「情報インテグリティ（情報の完全性・信頼性）」を上位に挙げたと報じられている。AIが生成・操作する情報そのものの真正性を担保できるかどうかが、経営レベルの関心事に格上げされつつあるということだ。

近い将来どうなるか——4つの予測

現時点の潮流から、AIセキュリティは以下の方向に進むと考えられる。

① 統制の重心が「プロンプト層」から「実行層・リトリーバル層」へ移る 「〜しないでください」という指示による抑止は、悪意ある入力によって回避される可能性が消えない。そのため、エージェントがアクセスできるデータやツールをシステム側で物理的に制限する「実行時強制」への移行が進むと見られる。マイクロソフトが進めるエージェントの統治・隔離実行の枠組みは、この方向性を先取りした動きだ。

② 「全承認」から「高リスク行動のみ精査」の二段構えへ すべてのエージェントの行動を人間が逐一承認する運用は安全だが、業務のスピードを損なう。今後は、定型的な操作は自動実行を許しつつ、データ削除や外部送信など高リスクな操作だけを人間、あるいは別の大型モデルが精査する「二段階の人間参加型（human-in-the-loop）」設計が主流になっていくと見込まれる。

③ エージェント専用の「身元管理」が標準化される 人間のアカウントと同じ発想で、AIエージェント一体ごとに固有の識別子・権限・有効期限を発行し、不審な挙動が見られれば即座に失効させる仕組み（エージェント版のID・アクセス管理）の整備が急速に進むとみられる。実行主体が人間かエージェントか、どちらの権限で動いているのかを常に追跡できることが、監査対応の前提条件になっていく。

④ シャドーAI対策は「禁止」から「代替の提供」へ 私物AIの利用を規則で禁止するだけでは、性能差がある限り実効性を持たない。企業側が公式AIツールの使い勝手・応答品質を私物AIに見劣りしない水準まで引き上げ、「使いたくなる公式環境」を用意することが、情報漏洩対策として現実的な打ち手になっていくと考えられる。

企業が今から着手すべきこと

• エージェントの行動ログを人間の操作と分離して記録する（誰が・どのエージェントが・何を実行したかを追跡可能にする）
• 高リスク操作（削除・外部送信・決済）だけを承認フローに乗せる、全承認は避けてスピードとのバランスを取る
• 公式AIツールの性能・UXを定期的に見直し、私物AI利用の動機そのものを減らす
• 画像・添付ファイルなどエージェントが「読む」あらゆる入力を検査対象に含める（テキストのプロンプトだけを警戒する体制は不十分）
• サプライチェーン（外部ライブラリ・MCPサーバーなど）経由の指示注入リスクを、依存関係の棚卸しに組み込む

まだ答えが出ていない論点

• 統制の置き場所: プロンプトや権限設定による抑止と、リトリーバル層でのシステム的な強制、どちらを主軸にすべきかは業界内でも意見が分かれている
• 責任の所在: エージェントが誤ってデータを削除した場合、開発企業・導入企業・運用担当者のどこに責任が帰属するのかの整理はこれからの課題
• 標準化の主導権: マイクロソフトなど大手ベンダーが提唱する統治フレームワークが業界標準になるのか、それとも複数の規格が併存するのかは未確定

まとめ

AIエージェントのセキュリティは、これまでの「起こり得るリスク」の議論から、「実際に起きた侵害にどう対処するか」の実務段階に移りつつある。攻撃側の技術が先行する一方で、防御側も統制の重心をプロンプトから実行層へ移し、エージェント専用の身元管理や段階的な人間参加型の設計を整えつつある。企業にとっては、AIエージェントの導入速度を落とさずに、どこまで実行時の統制を組み込めるかが、今後1〜2年の競争力を左右する要素になりそうだ。