Pathlockのレポートによれば、AIエージェントが財務・人事・調達・サプライチェーンの各ワークフローで権限を持つようになっている一方、組織の53%はビジネスシステム全体でAIエージェントが何を行っているかを完全には検証できていないことが分かりました。
現在、AIエージェントには業務レコードの作成、取引の承認、財務ワークフローの実行までもが許可されるようになっています。ERPセキュリティ企業のPathlockは、ほとんどの組織がAIエージェントの活動範囲がそれだけにとどまっているかどうかすら把握できていないと指摘しています。
同社の「2026 AI Governance Gap Report」によると、AIエージェントが財務、調達、人事、サプライチェーンといった事業上重要なアプリケーションにますます組み込まれているにもかかわらず、組織の79%が専任のAIガバナンスチームを設置していないことが判明しました。
Pathlockが調査した組織の半数以上が、これらのビジネスシステム上でAIエージェントが実行するアクションを完全には検証できないと回答しています。
Pathlockのガバナンス・リスク・コンプライアンス(GRC)専門家であるSusan Stapleton氏は、次のように述べています。「これまで数十年間、ガバナンスの焦点は誰がシステムにアクセスできるかを制御することにありました。AIエージェントはこれとは異なる課題をもたらします。それは、アクセス権が付与された後に実際に何が起きたのかを理解することです」。同氏はさらに、ビジネスアプリケーション全体にわたってAI主導のアクションをリアルタイムで検証・追跡・調査・説明できる能力こそが、組織のAI対応力を左右すると付け加えています。
コパイロットから財務業務の実行主体へと移行するエージェント
今回の調査結果から、企業がこれまで従業員だけに委ねてきた業務をすでにAIエージェントに任せ始めていることがうかがえます。
回答者のうち38%が、AIエージェントに取引先や各種業務レコードの作成・変更を許可していると回答しました。また35%はシステム横断のワークフロー実行を、28%は取引の承認を許可しています。さらに36%が、財務・会計分野においてすでにAIエージェントを導入済みか、導入を積極的に進めている段階にあると答えています。
特に注目すべき点として、約4分の1の組織がAIエージェントにバックエンドデータベースへの直接アクセスを許可していることが、CSOが事前に確認したPathlockのレポートで明らかになりました。
Pathlockの別のGRC専門家であるChris Radkowski氏は、「マシンアイデンティティの増加」「相互に連携し合う企業アプリケーションの拡大」「ビジネスプロセスを自律的に実行できるAIエージェントの台頭」という3つの潮流が同時に進行していると指摘します。
SysdigのシニアサイバーセキュリティストラテジストであるCrystal Morin氏は、こうした調査結果がマシンアイデンティティがなぜセキュリティ上の課題となりつつあるのかを示していると述べています。「自動化とAI主導の開発が爆発的に増加する中、人間のアイデンティティとマシンのアイデンティティとの間のギャップは、現代を象徴するセキュリティ課題のひとつになりつつあります」とMorin氏は語ります。「企業はマシンアイデンティティを新たなファイアウォールとして扱わなければなりません」。
追いついていないガバナンス体制
企業がガバナンス統制の導入を始めてはいるものの、レポートによれば、その大半は依然として「誰がアクセス権を得るか」に主眼を置いた従来の人間中心のセキュリティモデルに根ざしており、アクセス権付与後に自律システムが実際に何を行っているかには目が向いていないと指摘されています。
ビジネスシステム全体にわたってAIエージェントの活動を完全かつリアルタイムに可視化できていると回答した組織はわずか19%にとどまり、53%はAI主導のアクションを完全には検証できないと認めています。また、ほぼ半数(48%)が複数システムにまたがるAIの活動をエンドツーエンドで追跡できておらず、AI主導の結果がどのように生み出されたのかを再構築することが困難な状況です。
調査能力についても同様に未成熟な状態が続いています。AIに関するインシデントをリアルタイムで調査できる組織はわずか13%にとどまり、22%はAI主導のアクションを確実に調査すること自体ができていません。
Acalvioの最高経営責任者(CEO)であるRam Varadarajan氏は、従来型のセキュリティアプローチではもはや太刀打ちできないと指摘します。「実際の攻防がミリ秒単位で移り変わっている今、汎用的なAIや従来の『チェックボックス方式』のセキュリティ監査は、見せかけの安心感にすぎません」と同氏は述べます。「競争優位性を維持し、企業価値を守るためには、企業は受動的な防御から、ゲーム理論に基づく能動的な防御へと転換する必要があります」。
