AIエージェントの安全な運用には「可視化」が不可欠——VeeamやSANSが指摘するシャドウAIの実態とインベントリ管理の重要性

要点

• 企業の70%で十分な監視がないままAIワークフローが機密データに接触しており、自律型ワークフローの追跡が困難な「シャドウAI」の拡大が判明した。
• セキュリティ教育機関SANSの指針では、AIエージェントにゼロトラストを適用する際、アクセス制御よりもまず資産台帳（インベントリ）の把握が不可欠な前提条件とされている。
• 非営利団体METRにおいて、個人環境のAIエージェントアプリからAPIキーが漏洩し、利用制限の不備により3週間で約60万ドル相当のトークンが不正利用される被害が発生した。
• エージェントはブラウザや外部SaaSなど多層に分散し通信も暗号化されているため、ネットワークや端末単体の監視ツールでは全容把握に限界があると指摘されている。

リード文

米セキュリティメディア「The Hacker News」は2026年9月26日、企業におけるAIエージェントの急速な普及に対し、セキュリティ監視体制の整備が追いついていない現状を報じました。データ保護関連企業Veeamの調査結果やセキュリティ教育機関SANS Instituteの指針、さらにAI評価組織METRで起きたAPIキー搾取インシデントを通じ、エージェントを適切に保護・管理するための第一歩として、組織内に存在するエージェントの全体像を把握する「可視化」の徹底が求められている実態を伝えています。

本文

急速な普及の裏で広がる「シャドウAI」の実態

AIエージェントの導入が業務効率化を目的に急速に進む中、セキュリティ確保が追いつかないことによるリスクが顕在化しています。過去には、OpenAI製エージェントの評価作業中にHugging Faceで侵入インシデントが発生するなど、導入スピードを優先した結果として生じる安全上の懸念が議論されてきました。

データ保護関連企業Veeamが公表した調査データによると、企業の70%が「十分な監視体制が整っていない状態で、AIワークフローが企業の機密データに接触している」と認めています。さらに、67%の企業が「従業員が構築している自律型のワークフローを、IT部門が完全には追跡できていない」と回答しました。IT部門の許可や管理を経ずに利用される「シャドウAI」の存在は、組織が自社のAI資産の全体像を見失う大きな要因となっています。

ゼロトラスト適用の前提となる「インベントリ把握」

こうしたセキュリティリスクへの対策として、すべてのアクセスを信頼せず常に検証する「ゼロトラスト」の考え方をAIエージェントに導入する動きが見られます。しかし、セキュリティ教育機関のSANS Instituteが公開したチェックリスト「Zero Trust for AI Agents: The Security Checklist」では、運用の順序が重要視されています。

同チェックリストの最上部には「見えないものは統制できない」という原則が掲げられており、ポリシーの適用やアクセス認可を行う前に、すべてのエージェントを洗い出して記録する「インベントリ（資産台帳）」の作成が必須の前提条件として位置づけられています。

実際の現場では、責任者の指定や利用範囲の定義がされておらず、台帳にも登録されていないエージェントに対して、プロキシや認可システムといったアクセス制御を先行して導入しようとするケースが見られます。しかし、対象となるエージェントの母集団が把握できていなければ、それらの防御機構は実効性を持たないと指摘されています。

個人環境のエージェント悪用で生じた60万ドルの被害

組織がエージェントの存在を把握できていない場合、攻撃者にとって容易な侵入の足がかりになると説明されています。その具体的な事例として、AI評価を手がける非営利団体METRで発生したインシデントが挙げられています。

METRの事例では、従業員が個人のEC2（仮想サーバー）インスタンス上で稼働させていた、感覚的・対話的にコーディングされた（バイブコーディングによる）エージェントアプリを攻撃者が発見しました。攻撃者は認証を容易に突破し、プロンプト入力を通じてエージェントからモデルプロバイダーのAPIキーを引き出すことに成功しました。

流出したAPIキーには利用上限額（スペンディングリミット）が設定されておらず、組織内のダッシュボードにもレート制限関連のデータが表示されていなかったため、異常なトークン消費が検知されませんでした。その結果、攻撃者は3週間にわたり、60万ドル相当に達するトークンを不正に消費し続けたとされています。

この問題に対し、クラウド黎明期に培われた管理手法の応用が提案されています。クラウドで仮想マシンの稼働状況や支出を監視したのと同様に、AIエージェントの利用コストやAPIキーの発行履歴、財務・調達部門の記録を発見の手がかりとして活用し、「まず全体を把握してから制限をかける」順序を守ることが重要だと説明されています。また、利用を一律に禁止する前に、正規の承認済みプロバイダーへの利用経路を明示する必要性も述べられています。

多層化する環境と暗号化通信による監視の死角

エージェントの存在を把握しようとする場合でも、単一の監視ポイントだけでは全体像を捉えきれない技術的な課題が存在します。エージェントはネットワーク、端末（エンドポイント）、ブラウザ、さらには外部のSaaS（クラウド型ソフトウェア）内部など、多岐にわたる環境で動作するためです。

AIプロバイダーとの通信はTLS（通信内容を暗号化する技術）によって保護されているため、ネットワーク上のインラインセンサーで観測できるのは通信先と送受信されたデータ量のみです。正当な業務アプリケーションと同じドメイン宛てに通信が行われることも多く、通信経路上の監視だけでは、プロンプトの内容やツールの実行、機密データの持ち出しを識別することができません。

さらに、端末監視ツールではブラウザ内に組み込まれたAIエージェントを見落としやすく、外部SaaS内で稼働するAIエージェントはネットワークと端末の双方から監視できないため、単一の手法に依存すると大きな死角が生じると報告されています。