認証情報の有効期限が切れていたにもかかわらず、AIエージェントはそれを使い続けていました。四半期分ものトラブルの末、ようやく誰かがこの障害の原因を、誰もログを監視していなかった非人間アカウントにまで遡って突き止めたのです。中堅企業のシステムがそれだけの期間、機能不全に陥っていたことになります。
その間ずっと、このエージェントは顧客記録やソースコード、人事ファイルにまでアクセスできる状態でした。機密データへの接触を追跡するツールはもともと従業員向けに設計されたものであり、半自律的なアカウントが自らドアを開け始めた瞬間、その追跡の糸は途切れてしまいます。そして、そのリスクはエージェントがアクセスできるデータを持つ企業自身にのしかかってきます。
1Passwordは2026年5月下旬から6月上旬にかけて、米国の大企業に勤めるセキュリティ担当者とエンジニアリング担当者1,000人を対象に調査を実施しました。回答した開発者のうち46%が、現時点で本番環境でAIエージェントを稼働させていることが分かりました。
承認範囲を超えてデータにアクセスするエージェント
これらの企業のエージェントは、法的にも競争上にも重要な意味を持つ資料にアクセスできる状態にあります。回答者の71%が、自社のエージェントは機密情報にアクセスできると答えました。
しかも、そのアクセス範囲は承認された範囲とほとんど一致していません。約10社に4社の割合で、エージェントは承認されていないデータにまでアクセスしていました。調査全体で見ると、エージェントは承認された量のおよそ2倍のデータに触れていたことになります。ある中堅企業でIT運用を担当する人物は、この感覚を身をもって味わったと語ります。
「アクセス権限が広すぎたせいで、AIエージェントが誤ったシステムからデータを取得してしまいました。その結果、不正確なレポートが生成されてしまい、原因を突き止めるまでにかなりの時間がかかりました」
必要以上に長く生き続ける認証情報
そのアクセスを支える認証情報は、往々にして長期間放置される傾向にあります。開発者の40%が、タスク終了後もアクセスが有効なまま残る、システムやシークレットへの永続的なアクセス権をエージェントに付与していると回答しました。失効しない認証情報に、乏しいログ記録が重なれば、障害の原因追跡は困難を極めます。ある中堅企業のシニアネットワーク管理者は、まさにその状況を経験しました。
「先四半期、AIエージェントが期限切れの認証情報を使い続けていたことが原因で、大規模なシステム障害が発生しました。誰もそれに気づいておらず、障害が起きて初めて発覚したのです。原因の特定には非常に時間がかかりました。というのも、非人間アカウントの監査証跡が現状ほぼ存在しないに等しく、まさに大混乱でした」
エージェントに引き継がれるこうした習慣は、開発者自身がふだん自分のシークレットをどう扱っているかに由来しています。約4分の1の開発者が、認証情報をスクリプトや設定ファイルにハードコーディングしています。シークレット管理のベストプラクティスの浸透は遅々として進まない一方、企業側はタイトな納期の中でエンジニアにコードを出荷させ続けたいと考えています。1PasswordのVP of Productを務めるJason Meller氏は、この20年間このせめぎ合いを見続けてきました。
「セキュリティツールはこの20年間、人々にスピードを落とすよう求め続けてきましたが、人々はこの20年間ずっとノーと言い続けてきました。ここから得られる教訓は、開発者にもっと研修が必要だということではありません。安全な選択肢が同時に簡単な選択肢にならない限り、これは決して実現しないということです」
信頼できないコンテンツにエージェントが操られる
信頼できないコンテンツによって、タスクの途中でエージェントが乗っ取られてしまうこともあります。開発者の47%が、ウェブページや文書、メール、ツールの出力に紛れ込んだ指示にエージェントが従い、意図しない行動を取ってしまった経験があると回答しています。
「この結果は衝撃的ですが、私たち独自の調査結果とも一致しています」とMeller氏は述べます。「私たちのテストでは、モデルはフィッシングの認識についてはほぼ完璧な精度を示すことが分かりました。しかし、認識できたからといって、エージェントがタスクの途中で処理を止めるとは限りません。多くの場合、エージェントは指示に背くよう騙されているわけですらなく、単に危険な結果につながる要求に忠実に従っているだけなのです」
その被害はインシデントログにも表れています。エージェントを利用している開発者のうち33%が、過剰な権限を持つ非人間アイデンティティに起因する侵害やセキュリティインシデントが自社で発生したと回答しました。開発者の4分の3近くが、不正確な出力からデータ漏洩に至るまで、エージェントによる何らかの意図しない結果を経験したと報告しています。
責任の所在について誰も一致していない
エージェントの行動について誰が責任を負うのか、意見は一致していません。エージェントが被害を引き起こした場合に誰が責任を問われるべきかを尋ねたところ、回答は組織図全体にばらばらに分散しました。65%が、自分とは別の誰かが責任を負うべきだと答えています。Meller氏は最も大きな数字には目もくれず、ある小さな数字に注目します。
「私が気になるのは24%や19%という数字ではありません。気になるのは、エージェント自身に責任があると答えた5%です。エージェントを解雇したり訴えたりすることはできません。この回答が示しているのは、この議論がまだ交わされていないということです」と同氏はHelp Net Securityに語りました。
では、責任の所在はどこにあるべきなのか、Meller氏に尋ねてみました。
「責任は、エージェントにアクセス権を認可した人物が負うべきです。このエージェントにこのシステムへのアクセスを与えると決めた人物こそが、誰がプロンプトを打ち込んでいたかにかかわらず、そのアクセスによってエージェントが何をしたかについて責任を負うべきなのです。この考え方は居心地の悪いものです。なぜなら、アクセス権の付与には実質的な道義的重みが伴うことを意味するからです。エージェントに鍵を渡しておきながら、意図しない場所へ向かった際に肩をすくめて済ませるわけにはいきません」
1Passwordは現在、それぞれの認証情報の発行を特定のエージェントのアイデンティティと、それを認可した人物の両方に紐づける、クレデンシャルブローカーの開発を進めています。
能力の向上のたびに繰り返し開くギャップ
Meller氏は、能力が飛躍的に向上するたびに同じパターンが繰り返されているのを目の当たりにしています。新たな能力が加わるたびに、それまで誰もリスクとして認識していなかったシステムへの新たな経路が開かれてしまうのです。ガバナンスの整備は、たいていインシデントが起きた後にようやく着手されます。同氏は、進歩を測る一つの指標を示してくれました。
「注目すべき最初の兆候は、エージェントを導入する前に誰かがセキュリティ部門に相談しているかどうかです。現状のパターンは、まず導入、その後にガバナンスの後付け、インシデント発生、そしてようやく本来のポリシー策定という順序です。スコープを検討する段階からセキュリティ担当者がその場に同席するようになり、事後検証の場だけに呼ばれる存在でなくなったとき、組織は一つの転換点を越えたと言えるでしょう」
翻訳元: https://www.helpnetsecurity.com/2026/07/29/1password-ai-agent-governance/
