OWN NEWS GATHER
← 戻る
The Hacker News

企業内AI利用のリスク、上位5％のヘビーユーザーと野良拡張機能に集中か　米アカマイ調査

要点

  • 米アカマイの調査により、企業内AI利用の上位5%を占めるヘビーユーザーが下位50%の12倍の頻度でAIを活用し、業務プロセスに深く組み込んでいる実態が判明した。

  • 企業内で行われるAI対話の47.11%が個人アカウント経由であり、会社のメールアドレスを使って個人向けフリーミアム契約を結ぶケースも14.4%に上る。

  • 企業向け専用プランでは9割以上が組織管理下にある一方、「ChatGPT」や「Claude」などの一般向けログインでは6割以上が個人アカウントのまま利用されている。

  • AI関連のブラウザやIDE拡張機能の約75%が高権限を要求しており、その16.31%に既知の脆弱性が含まれていることが明らかになった。

  • 米サイバーセキュリティ企業のAkamai（アカマイ）は2026年8月24日、企業における人工知能（AI）の利用実態とセキュリティリスクを分析した調査レポート「State of the Internet: Enterprise AI Usage Risk Report 2026」を公開した。実環境のテレメトリデータ（利用状況などの運用ログ）や脅威分析をもとにまとめられた同レポートでは、社内全体のごく一部であるヘビーユーザーの行動や、管理外の個人アカウント・拡張機能の利用が、企業のセキュリティ対策における大きな盲点となっている実態が報告されている。

上位5%のヘビーユーザーが業務へ深く浸透させる実態

レポートによると、企業内でAIを最も頻繁に利用する上位5%のパワーユーザーは、利用頻度が低い下位50%の従業員と比較して12倍のペースでAIモデルと対話しているという。一般的な従業員のAI対話は平均5プロンプト程度で終了するのに対し、上位5%の層は日常的に18プロンプト以上の継続的なやりとりを行っていることが確認された。

Akamaiでエンタープライズ・セキュリティ製品およびエンジニアリング部門のバイスプレジデントを務めるオー・エシェッド（Or Eshed）氏は、AIが単なる業務効率化ツールを超えて、社内の重要領域にアクセス権を持つ仮想的な同僚のように扱われ始めていると指摘する。同氏は、セキュリティ部門が全社的な大規模言語モデル（LLM）の利用制限に注力する一方で、熱心な一部のユーザーが独自の判断で多様なツールを基幹業務に組み込むことで、組織のガードレール（安全基準）の外側に大きな脅威面が生み出されていると説明している。

管理アカウントと個人アカウントの二極化

調査では、企業内で行われるAI対話全体の47.11%が、企業の統合管理下にあるアカウントではなく個人の認証情報を通じて行われていることも判明した。利用するプラットフォームによって統制状況には極端な差が見られる。

ガバナンス機能が組み込まれたエンタープライズ向け製品では、「Gemini Enterprise」で98.15%、「Microsoft Copilot M365」で90.55%の対話が企業管理下のIDで行われていた。これに対して、「DeepSeek」（99.8%）、「Microsoft Copilot Standard」（63.92%）、「ChatGPT」（61.36%）、「Claude」（61.09%）では、利用の大半が個人アカウント経由となっている。

さらに、企業内AI対話の14.4%において、従業員が会社のメールアドレスを使用して個人向けの「フリーミアム」（無料版および個人有料版）プランに登録している実態も確認された。エシェッド氏によると、会社のメールアドレスを使っていても契約自体が企業管理外である場合、プロンプトに入力された機密データがAIモデルの公開学習データとして再利用される恐れがあるという。

ニッチツールと拡張機能に潜む脆弱性

企業が把握していないツールの導入は、チャット型AIにとどまらない。従業員が独自に選んだAIツールを持ち込む「BYOAI（Bring Your Own AI）」の流れに伴い、ニッチなAIサービスやブラウザ・IDE（統合開発環境）向けの拡張機能が無管理のまま導入されている。

レポートによると、中規模企業の17.7%、大企業の9.53%の従業員が少なくとも1つ以上のAI拡張機能を使用している。これらの拡張機能のうち約75%がシステムへの高権限または重大なアクセス権限を要求しているほか、16.31%には既知の脆弱性（CVE番号が付与されたセキュリティ上の欠陥）が含まれていることが判明した。これは、一般的なブラウザ拡張機能における脆弱性保有率（10.80%）を上回る水準だという。エシェッド氏は、こうした管理外のツールがユーザーのアクティブなセッションや機密データに直結する経路となり、次世代の攻撃インフラとして悪用される危険性を警告している。

セキュリティ責任者に求められる把握対象の転換

Akamaiはレポートの中で、CISO（最高情報セキュリティ責任者）をはじめとするセキュリティ担当者が取り組むべき課題は「従業員がAIを使っているかどうか」ではなくなっていると論じている。AIの利用が前提となった現在においては、社内のどの部門がAIに最も依存し、どのツールがどのような権限で動いているのかを、攻撃者に先んじて正確に把握することが急務になっているとしている。

元URL