既存SaaSの更新で浸透するAIエージェント、1,000製品が認証基盤の管理外に

要点

• 調査対象となった約1,280のAI組み込みサードパーティ製品のうち、約1,000製品がシングルサインオン等の認証基盤から把握できない管理外の状態にある。

• 企業が自ら選定して導入する従来のAIと異なり、既存ツールの機能更新等を通じて事前の審査や決定を経ずに業務環境へ入り込むエージェントが急増している。

• 「Slack Code」のように、チャットの参加権限を引き継ぐだけでGitHubや本番インフラに接続可能な自律エージェントの実装が進んでいる。

• リスクの大半はモデル自体ではなく外部接続を担う「足場」にあり、金融大手やEU AI法の動向を背景に、到達範囲をリアルタイムに把握する継続的監視が求められている。

• 米セキュリティ専門メディア「The Hacker News」は2026年10月10日、企業内で利用されるサードパーティ製AIエージェントの実態レポートを取り上げ、多数のエージェントがセキュリティ管理の死角で稼働している現状を報じた。企業が明示的に選定・調達した従来のAIツールとは異なり、既存業務ソフトウェアのアップデート等を通じて自然発生的に浸透するエージェントが、認証基盤やガバナンスの盲点になっているという。

認証基盤をすり抜ける1,000のAI製品

「2026 State of Agent Security Report」の調査環境では、AIを組み込んだサードパーティ製品約1,280件のうち、シングルサインオン（1度の認証で複数システムを利用できる仕組み。SSO）の配下にあったのは約282件にとどまり、残る約1,000件はアイデンティティ管理基盤から不可視だったという。認証基盤は自らを経由して認証を行うシステムしか統制できないため、認証を経ない大半のエージェントが管理の対象外となっていると説明されている。

従来のAIセキュリティは、企業が導入を決定しゲートウェイ配下に配置したツールを前提に、モデル検査やプロンプト（AIへの指示文）の監視を行う明確な接点が存在した。しかし近年のエージェントは事前の導入決定を経ることなく、既存ソフトウェアの内部から届く点が根本的に異なると指摘されている。

導入審査をスキップする「Slack Code」の事例

事前の導入決定プロセスを省いて登場する具体例として、セールスフォースが2026年8月に発表した「Slack Code」が挙げられている。同機能は、ユーザーが会話内でコーディングエージェントをタグ付けするだけで、共有された文脈を読み取り、コード記述やプルリクエスト（コード変更の反映要求）作成を自律的に行う。

同機能は追加負担なくSlackのセキュリティモデルや権限を継承すると案内されているが、セキュリティ観点では、GitHubや本番インフラにアクセスできる自律アクターの統制が単なるチャットのチャンネル参加権限に委ねられている状態を意味する。新規ツールの導入手続きが存在しないため、従来のセキュリティ審査や監視体制を設ける機会そのものが失われているという。

3つの生成経路と境界を失う実行環境

レポートでは、エージェントの生成経路を3つに分類している。既存プラットフォームの製品更新で届く「継承型」、他社の実行基盤上で自社ロジックを動かす「設定型」、自社インフラで完全運用するオープンフレームワークの「構築型」である。

普及の大半を占めるのは「継承型」と「設定型」であり、主要業務アプリのエージェント基盤化に伴い急増している。リポジトリの検査やビルド時の制御が可能なのは最も規模が小さい「構築型」のみだという。しかし、いずれの経路であっても到達先は共通しており、CRM内で生成されたエージェントがデータウェアハウスを読み取ってチケット管理システムに書き込むなど、境界のないエンタープライズアプリケーション層全体で実行される。

モデルではなく「足場」を評価する4つの観点

エージェントのリスクの大半はモデル自体ではなく、外部接続や実行権限を制御する「スキャフォールディング（足場）」と周辺環境にあるとされる。そのため、以下の4つの観点による評価が提示されている。

• アイデンティティ: エージェントが登録され、責任を持つ人間が明確であるか。
• 権限: 動作が必要最小限であり、OAuthスコープ（外部連携の許可範囲）などが意図して付与されたか。
• 接続性: 直接・間接を問わず、どの製品やデータ、他エージェントに到達できるか。
• 活動: プロンプトの記述ではなく、実際の振る舞いとして何を実行しているか。

特に接続性の把握は従来の単体テストや質問票では測定できず、環境全体から影響範囲を捉える必要があると説明されている。

金融大手・EU規制の動向と継続的監視への転換

米大手銀行JPモルガン・チェースのグローバル最高情報セキュリティ責任者（CISO）であるパトリック・オペット氏は、サードパーティのサプライチェーンリスクを警戒し、エージェントに対しても初期状態では権限を与えず、境界外へアクセスする前に誰の代理かをIT部門が確認する運用を求めている。影響力を持つ大手の動きはやがて業界全体のセキュリティ要件へ波及するとみられている。

また、2026年に段階適用されるEU AI法では、AI資産の一覧化や責任者の特定、監督体制の証明が求められており、エージェントを把握できない組織は準拠が困難になる。

エージェント数が数百件規模に達するとスプレッドシート等による従来の手法は破綻するため、各エージェントの権限や到達範囲、実際の活動と変化をリアルタイムに把握し続ける監視体制の確立が求められていると結ばれている。