AIツールの5件に4件、IT部門の監視外で稼働——新たな調査で判明

セキュリティ研究者らは、IT部門による監視に大きな抜け穴があること、公開される脆弱性の数が急増していること、そしてMCP(Model Context Protocol)のセキュリティリスクによって、AIエージェントのエコシステム全体が危険性を増していると警告しています。

AIセキュリティベンダーのRecoは、大企業から取得した匿名化プラットフォームのテレメトリデータ、公開されているModel Context Protocolサーバー、そして米国国家脆弱性データベース(NVD)の脆弱性公開情報を分析し、レポートThe State of Agent Security 2026としてまとめました。

その結果、AIツールの80%がIT部門の監視を受けずに稼働していることが判明しました。また中小企業(SMB)では、従業員1000人あたり推定414個もの未承認ツールが存在するといいます。

「AIエージェントは実験段階を脱し、日常の業務ワークフローに組み込まれるようになりましたが、私たちの調査結果によれば、企業のエコシステムにおいてIT部門の監視下に置かれているAIツールは全体の20%にすぎません」と、RecoのCEOであるOfer Klein氏は述べています。

「これにより、組織は新たなタイプの運用リスクにさらされることになります。アプリケーションに組み込まれたエージェントは、既存の権限やOAuth許可、ワークフローアクセスを通じて動作できるため、データを流出させたり、所有者が承認した範囲を超えた操作を引き起こしたりする『危険な組み合わせ』が生まれてしまいます」

AIエージェントのセキュリティリスクについてさらに読む: AI Agents Now the Enterprises Fastest Growing Exposed Attack Surface

今回のレポートで明らかになった監視体制の欠如は、AIエージェントをデータやアクションに接続するMCPサーバー500件を対象にしたReco社の分析結果を踏まえると、特に懸念すべき事態だといえます。

「そのうちちょうど半数がシェルコマンドを直接実行でき、プロンプトインジェクションの手口をオペレーティングシステムへのアクセスに直結させてしまいます。8割以上がローカルファイルの読み書きが可能で、およそ4分の3が外部へのネットワーク通信を行うことができます」とレポートは指摘しています。

「これらはエージェントが読み込むように設計されたツールであり、その数は数千にのぼりますが、多くの場合、審査プロセスを伴わないマーケットプレイスを通じて配布されています。ツール自体の防御も脆弱です。ローカルで動作せずネットワークエンドポイントを公開しているものは全体の4分の1強にとどまりますが、そのうち半数は認証機構をまったく備えておらず、リモートから到達可能でありながらホストレベルのアクセス権を持ち、しかも鍵のかかっていない状態にあります」

さらに深刻なことに、Recoの調査によれば、エージェントの実に3分の2近く(62%)が、コマンド実行・ファイルアクセス・ネットワーク送信という3つの機能を一つのパッケージ内で兼ね備えていることが分かりました。この組み合わせにより、「データを見つけ出し、それを操作し、そのままマシンの外へ持ち出す」ことまで一貫して行えるツールキットが成立してしまう、とRecoは指摘しています。

増加を続けるAI関連の脆弱性

今回のレポートでは、エージェントおよびLLMツールに関連する脆弱性637件も追跡調査の対象となりました。

このうち525件は過去18か月間に公開されたもので、CVSSスコア9.0以上の「緊急」評価を受けたものが少なくとも111件含まれています。月間の平均公開件数は、2023年から2024年にかけては5件未満だったのに対し、2025年1月以降は約29件にまで増加しています。

Recoは、脆弱性が公開されるペースがパッチ適用プログラムの処理能力を上回りつつあると警告しています。