C1は、未承認のAIエージェントやツール、認証情報によって生じる巨大なセキュリティの死角を解消するため、シャドーAI検出機能を発表しました。AIに関連するあらゆるIDを自動的に発見し、C1の既存のIDガバナンスプラットフォームに取り込むことで、組織はガバナンスの効いた経路こそが安全なAI導入への最速ルートであると確信できるようになります。
シャドーAI検出機能は、クラウドとエンドポイントの2つの領域にまたがって機能します。クラウド上では、C1のコネクタを使って所有者不明のエージェントを発見し、そのエージェントがアクセスできるMCPサーバー、API、データストアをすべてマッピングします。長期間有効なままのキーや、過剰な権限を持つサービスアカウントも即座にフラグを立てて検出します。エンドポイント上では、C1がデバイスをスキャンし、ローカルのMCP設定や許可されていないコパイロット、.envファイル内に平文で置かれたAPIトークンを洗い出します。クラウドとエンドポイントの両方から得られた検出結果はC1のプラットフォームに直接集約され、「どのAIが稼働していて、誰が管理責任者なのか」という問いに答えます。
AIの普及により、企業内の非人間ID(NHI)の数は急増しています。中でも最も急速に増加し、最もガバナンスが行き届いていないNHIが、自ら認証を行い、独自に認証情報を蓄積していくAIエージェントです。既存のツールはこれを見逃してしまいます。特権アクセス管理ツールは人間のセッションを守り、エンドポイントツールはプロセスを監視し、データ損失防止ツールは許可済みのアプリケーションを監視しますが、いずれもIDとは「人間」か「承認済みアプリ」のいずれかであるという前提に立っているためです。
IBMの「Cost of a Data Breach Report 2025」によると、組織の5社に1社がシャドーAIに起因する侵害を報告しており、AIモデルまたはアプリケーション経由で侵害を受けた組織のうち、97%が適切なAIアクセス制御を備えていませんでした。
市場に出回っている製品の多くは、シャドーAIのガバナンスを検出止まりにとどめています。つまり、リストを作り、フラグを立て、一度だけブロックするというだけです。これに対しC1では、発見されたエージェントやMCPサーバー、認証情報が、従業員アクセスと同じ基盤上で実際のアクセス項目として扱われます。チームは管理責任者を割り当て、申請・承認のプロセスを経由させ、レビューで認定を行い、使われなくなった時点でアクセスを剥奪します。ガバナンスは単なるスイッチの切り替えではなく、ライフサイクル全体を管理するものとなり、すべての工程が監査担当者向けに記録されます。
C1のCEOであるAlex Bovee氏は次のように述べています。「シャドーAIが自社の環境内で、しかも特に今はエンドポイント上で起きていることは、どのCISOも承知しています。企業には、クラウドとエンドユーザー環境全体にわたるAI、ハーネス、MCP利用についての完全な可視性が必要です。それこそが、この状況をコントロール下に置く唯一の方法なのです」
シャドーAI検出機能により、セキュリティチームは将来の攻撃から自社を守り、次に来るものへの備えを整えることができます。ユーザーとエージェントが生産性を保ちながら安全に活動できると確信することで、チームはAI導入を自信を持って拡大していけます。組織がインシデントに発展する前にリスクを察知できるようになれば、セキュリティ全体の水準も向上します。
