コラム第935号：「自律型AI（Agentic AI）が暴く組織の死角～「見えないログ」と戦う現場のリアルと、経営陣の心理的麻痺～」

第935号コラム：名和　利男 理事（情報セキュリティ大学院大学 セキュアシステム研究所 客員研究員）
題：自律型AI（Agentic AI）が暴く組織の死角～「見えないログ」と戦う現場のリアルと、経営陣の心理的麻痺～

2026年7月16日、AIモデルやデータセット等の共有基盤を運営するHugging Faceは、本番インフラの一部に対する侵入を公表した。

同社の説明によれば、悪意あるデータセットを起点として、データ処理系に存在した二つのコード実行経路が悪用された。その後、処理ノードへのアクセス、クラウドやクラスタの認証情報の収集、複数の内部クラスタへの横展開へと進み、一連の活動は自律型AIエージェントの枠組みによって実行されたという。

同社が確認した攻撃者側の記録イベントは1万7千件を超えた。一方で、公開されているモデル、データセット、Spacesが改ざんされた証拠は確認されておらず、パートナーや顧客のデータへの影響については、公表時点で調査が継続していた。したがって、以下の事案認識は、現時点で同社が公表している範囲に基づくものである。(*1)

それでも、この事案が示した意味は小さくない。攻撃者がAIを質問応答やコード作成の補助に使ったのではなく、多段階の処理を組み立て、多数の操作を繰り返すための実行基盤として利用したと説明されているからである。

ただし、Agentic AIを、何でも自力で遂行できる万能の攻撃者と考えるべきではない。

ここでいうAgentic AIとは、人間が逐次指示し続けなくても、設定された目標の範囲でデータを参照し、計画を立て、ツールを呼び出し、結果に応じて次の行動を選択できるシステムを指す。英国NCSCの評価では、2026年3月時点の公開モデルは、32段階で構成された模擬的な企業ネットワーク攻撃を最後まで完遂できていない。また、長時間の処理では文脈を失い、同じ条件でも結果にばらつきが生じるなど、能力には明確な限界がある。(*2)

本当に警戒すべきなのは、完璧な知能ではない。不完全な能力であっても、休まず、低コストで、複数の経路を繰り返し試せることである。そして、その速度が、組織の中に以前からあったログの分断、過大な権限、曖昧な責任を増幅する。

自律型AIは、まったく新しい死角を作るだけではない。長年見過ごされてきた組織の死角を、機械の速度で露出させ始めている。

1．「見えないログ」とは、ログが存在しないことではない
Agentic AIの処理は、一つのシステムの内部で完結しない。
利用者から与えられた目標は、エージェントを制御するオーケストレータへ渡される。そこからモデルAPI、ブラウザ、業務SaaS、クラウド基盤、ID管理基盤、Model Context Protocol（MCP）等で接続された外部ツールへと処理が広がる。実装によっては、短期的な会話履歴や長期メモリにも情報が保存される。

現場で起きる問題は、すべてのログが消えているという単純なものではない。モデルAPIには入力と出力があり、SaaSには操作履歴があり、クラウドには監査ログがある。それでも、どの利用者の依頼から始まり、どのエージェントが、誰の権限を使い、何を参照し、なぜそのツールを呼び出し、次にどの処理を選んだのかを、一本の因果関係として再構成できない。

これが、本稿でいう「見えないログ」である。

見えていないのは、個々のイベントだけではない。イベントとイベントの間にある意味である。ログは大量に保存されているのに、説明に使える証拠がない。この状態は、ログがまったくない場合よりも厄介である。組織が「記録している」という安心感を持つ一方で、事故が発生すると、誰も事実関係を説明できないからである。

OWASPの「Top 10 for Agentic Applications for 2026」は、必要以上の自律性を与えない「Least Agency」と、エージェントの行動を継続的に把握する可観測性を重視している。同文書は、正規の認証情報の下でPowerShell、cURL、内部API等を連鎖させることにより、ホスト上に明確なマルウェアやエクスプロイトが現れず、ツールの悪用目的を識別しにくくなる想定例も示している。(*3)

これは、EDRやXDRが無力になるという話ではない。端末上の単一イベントだけでは不十分になり、利用者とエージェントのID、使用された資格情報、ツール呼出し、ネットワーク通信、業務データへのアクセスを横断的に関連付ける必要があるという話である。

残すべきなのは、モデル内部の推論過程を可能な限り大量に保存することでもない。内部推論は取得できない場合があり、保存できたとしても、実際に何が実行されたかを証明する記録とは限らない。

必要なのは、エージェントの識別子、業務上の責任者、実行単位の共通相関ID、与えられた目標、使用したモデルと設定の版、参照したデータ、呼び出したツールと引数、利用した権限、ポリシーによる許可または拒否、人間による承認、他のエージェントへの処理委譲、実行結果、停止理由といった、外部から検証可能な行為の連鎖である。

ただし、プロンプトやツールの出力には、個人情報、認証情報、営業秘密が含まれる。何でも保存すればよいわけではない。通常の運用ログと証拠保全用ログを分離し、機微情報のマスキング、暗号化、閲覧権限、保持期間を設計しなければならない。

Agentic AI時代のログ設計とは、保存量を増やすことではない。後から意思決定と実行の経緯を説明できるよう、意味の連鎖を保存することである。

2．防御側のAIも、証拠を失わせる可能性がある
Hugging Faceは、1万7千件を超える攻撃者側の記録イベントをAIエージェントで分析し、通常であれば数日を要する作業を数時間で進めたと説明している。

その際、当初利用した商用API型の高性能モデルでは、実際の攻撃コマンド、エクスプロイト、C2関連情報を含む処理が安全機構によって拒否された。このため、同社は自社環境で稼働させたオープンウェイトモデルのGLM 5.2へ切り替えたという。攻撃者側が利用規約に拘束されない一方で、正当なフォレンジック分析が安全機構によって止められる可能性があるという、実務上の非対称性が表面化した。(*1)

もっとも、この教訓から、すべての企業が高性能なオープンウェイトモデルを自社保有すべきだと結論付けるのは適切ではない。

必要なのは、モデルの所有ではなく、事故発生時にも悪性コードや攻撃ログを安全に分析できる経路を、平時に検証しておくことである。自社運用モデル、機密情報を外部学習に利用しない専用環境、契約済みのインシデント対応事業者など、組織の規模とリスクに応じた選択肢がある。確認すべきなのは、実データに近い入力が拒否されないか、情報がどの国や環境へ送られるか、サービス停止時に代替手段があるか、分析結果と操作履歴を証拠として保全できるかである。

また、防御エージェントに端末隔離、アカウント停止、認証情報の変更、コンテナ削除、通信遮断等の権限を与えれば、封じ込めの速度は向上する。しかし、人間の確認を挟まない構成では、善意の自動処置によって揮発性メモリやコンテナの状態が失われ、侵害経路を特定できなくなる可能性がある。

証拠保全を優先するあまり、被害拡大を放置してよいわけでもない。重要なのは、封じ込めと証拠保全の優先順位を事故の最中に議論するのではなく、平時のプレイブックで決めておくことである。高影響の処置については、可能な範囲で実行前の最小スナップショットを取得し、実行命令、使用権限、承認者、処置結果を改ざん困難な形で残す。緊急性が高く保存を待てない場合の例外条件も、同時に定める必要がある。

本年2月の本欄で述べた「事後解析から証拠設計へ」という考え方は、Agentic AIによって一層重要になる。自動化の速度と証拠保全を対立させるのではなく、自動処置そのものの中に証拠生成を組み込むのである。(*7)

3．シャドーAIは「シャドーエージェント」へ変わる
これまでのシャドーAIでは、従業員が未許可の生成AIサービスへ社内文書やソースコードを貼り付ける行為が主に問題とされてきた。

今後、特に注意すべきなのは、個人契約のAIエージェントを、会社のメール、予定表、クラウドストレージ、CRM、開発環境等へOAuthで接続し、継続的な処理を任せる利用形態である。長期間有効な更新トークンやサーバ側の実行スケジュールが付与されていれば、利用者がブラウザを閉じた後も処理が続く可能性がある。

私は、この状態を便宜上「シャドーエージェント」と呼びたい。

それは、従業員が一時的に利用した未許可サービスではない。社内システムに接続され、利用者が見ていない時間にも動作し得る、未登録の実行主体である。

IBMの2025年調査では、データ侵害を経験した世界600組織のうち、5社に1社がシャドーAIに起因する侵害を報告した。シャドーAIの利用度が高い組織では、低利用または利用のない組織と比べ、侵害コストが平均67万ドル高かった。また、AI利用を管理し、シャドーAIを検知する方針を持つ組織は37％にとどまった。ただし、これは侵害経験組織を対象とした調査であり、全企業における発生率を示すものではない。また、利用度とコストの関連を示すものであり、因果関係を直接立証した数字でもない。(*4)

IPAも「情報セキュリティ10大脅威 2026」において、「AIの利用をめぐるサイバーリスク」を組織向け脅威の第3位に初めて選出した。対策として、シャドーAI回避のためのAIサービス利用の検討、未許可・未認可サービスの禁止、利用規定の整備、個人アカウントによる業務利用の制限、通信ログやCASBを用いた利用状況の把握等を挙げている。(*5)

ただし、禁止通知だけで利用が消えるとは限らない。正式な申請に時間がかかる、認可済みサービスが業務に合わない、必要なデータやツールとの接続が用意されていない場合、利用は組織から見えにくい場所へ移る可能性がある。

経営は、認可済みの選択肢を迅速に提供するとともに、外部AIサービスへの通信、OAuth同意、APIキーやOAuthトークン等の資格情報、ブラウザ拡張機能、サービスアカウントやワークロードID等の非人間IDを継続的に把握しなければならない。

シャドーAI対策で管理すべき対象は、AIサービスの名称だけではない。組織のデータやシステムへアクセスできる実行主体と、その権限である。

4．経営陣が理解すべきなのは、モデルの数式ではない
本稿でいう「心理的麻痺」とは、経営者がAI技術を知らないことそのものではない。技術が複雑であることを理由に、意思決定、責任分担、予算措置を先送りする状態をいう。

典型的には、事業部門がIT部門へ、IT部門がセキュリティ部門へ、セキュリティ部門がベンダーへと判断を転送する。最悪の場合、「AIが自律的に判断したため詳細は分からない」という説明だけが残る。

これは、モデルの技術的なブラックボックスだけが原因ではない。責任を技術の複雑さの中へ溶かしてしまう、組織的なブラックボックスである。

経営陣がTransformerの数式を理解する必要はない。経営が理解し、決定すべきなのは、どのエージェントに、どのデータとシステムへの、どの程度の権限を与えるのか、どの行為は自動実行を認め、どの行為には人間の承認を必要とするのか、異常時に誰が停止させるのか、停止後に何を事実として説明できるのかという統治上の問題である。

2026年3月31日付の「AI事業者ガイドライン（第1.2版）」は、Agentic AI専用のガイドラインではないものの、AIガバナンスを非拘束的なソフトローとして位置付け、継続的なモニタリングと改善、経営層のリーダーシップ、合理的な説明のための記録を重視している。(*6)

しかし、ガイドラインを読んだだけで、自社のどのエージェントが顧客情報を参照できるのか、どのエージェントが社内システムへの書込み権限を持つのかが明らかになるわけではない。文書上のガバナンスを、実際の資産、権限、接続、証跡へ落とし込む作業は各組織に残されている。

経営会議では、AIの導入件数だけでなく、稼働するエージェントの台帳登録率、責任者設定率、高影響操作に対する承認統制の適用率、緊急停止試験の成功率、インシデント演習で行為の連鎖を再構成できた割合等を報告すべきである。単純な件数だけでは、AI活用の拡大によって数字が増えたのか、管理不備が増えたのかを区別できない。重要度別の比率と推移を見る必要がある。

AI活用の進捗だけを報告し、制御可能性と説明可能性を報告しない経営は、アクセルの踏み込み量だけを見て、ブレーキが作動するかを確認していないのと同じである。

5．「Agent Evidence Pack v0.1」を平時に作る
本年2月のコラムでは、インシデント時に必要となる証拠を平時から整理する「Evidence Pack v0.1」を提案した。

そのAIエージェント版として、私は「Agent Evidence Pack v0.1」を作ることを提案したい。これは既存の標準名称ではなく、各組織が実務を始めるための便宜的な呼称である。

まず、稼働中または試行中のエージェントについて、業務上の責任者、技術上の責任者、利用目的、リスク区分、使用するモデルと提供者、接続先、利用するサービスアカウント等の非人間ID、APIキーやトークン等の資格情報、付与された権限、扱うデータ、ログの所在と保持期間、人間による承認地点、緊急停止手段を一つの資料にまとめる。

次に、可能な範囲で一連の実行に共通相関IDを付与し、モデルAPI、ツール呼出し、クラウド監査ログへ関連付ける。外部SaaSやID基盤へ相関IDを直接記録できない場合は、オーケストレータ側で、外部サービスのイベントIDや時刻との対応表を保持する。

重要なのは、完成度の高い台帳を作ることではない。インシデントが発生した際に、誰に聞けばよいか、どの認証情報を無効化すべきか、どこで停止できるか、どのログを保全すべきかを短時間で判断できる状態を作ることである。「v0.1」とするのは、不完全でも作り始め、演習と実運用を通じて更新することに意味があるからである。

経営陣を含む机上演習では、「未登録のエージェントが顧客情報を外部へ送信した可能性がある。AIサービス側のログ保持期間は短く、社内ではOAuth接続を許可した利用者を直ちに特定できない」といった、あえて証拠が欠けたシナリオを扱うべきである。

そこで問うべきなのは、モデルが何を考えたかではない。何分で実行主体を特定できるか、どの時点で停止できるか、どの範囲まで事実として説明できるか、顧客や当局への報告を誰が承認するかである。

証拠がそろっていない状況で判断を止める取締役会は、本番でも同じ状態に陥る可能性がある。その停止を演習で発見し、責任者と判断基準を事前に決めておくことが、心理的麻痺への最も現実的な対策となる。

おわりに
Agentic AIは、すべてのサイバーリスクを新たに作り出す魔法の技術ではない。

アクセス制御、ログ管理、委託先管理、インシデント対応、経営責任といった従来からの問題に、速度、反復性、接続範囲を加える技術である。ログが分断され、権限が過大で、責任者が曖昧な環境では、誤作動や悪用による影響が、従来より速く、広い範囲へ伝播し得る。

多くの企業にとって、本質的な問いは、Agentic AIを使うか使わないかだけではない。利用するのであれば、その自律性を観測可能で停止可能な状態で与えるのか、見えないまま与えるのかである。

「見えないログ」と戦う現場を孤立させず、経営陣が技術の複雑さを理由に判断を放棄しないこと。その両方を実現できる組織だけが、自律型AIを一時的な流行ではなく、制御可能な業務能力として使い続けることができる。

(*1) Hugging Face, “Security incident disclosure — July 2026”, 2026年7月16日。
https://huggingface.co/blog/security-incident-july-2026
(*2) UK National Cyber Security Centre, “Thinking carefully before adopting agentic AI”および“Why cyber defenders need to be ready for frontier AI”。
https://www.ncsc.gov.uk/blogs/thinking-carefully-before-adopting-agentic-ai
(*3) OWASP GenAI Security Project, “OWASP Top 10 for Agentic Applications for 2026”。 https://genai.owasp.org/download/52117/?tmstv=1765059207
(*4) IBM, “Cost of a Data Breach Report 2025”に関する公表資料。
https://newsroom.ibm.com/2025-07-30-ibm-report-13-of-organizations-reported-breaches-of-ai-models-or-applications%2C-97-of-which-reported-lacking-proper-ai-access-controls
(5) IPA「情報セキュリティ10大脅威 2026」組織編。
https://www.ipa.go.jp/security/10threats/10threats2026.html
(*6) 総務省・経済産業省「AI事業者ガイドライン（第1.2版）」、2026年3月31日。
(*7) デジタル・フォレンジック研究会、コラム第910号「能動的サイバー防御の時代、フォレンジックは『事後解析』から『証拠設計』へ」。
https://digitalforensic.jp/2026/02/02/column910/

※著作権は、名和氏に属します。
※本稿は筆者の見解であり、IDFの見解を示すものではありません。