AIエージェントを本番に載せる企業が増えるほど、静かに広がっているのが「安心しているのに、統制できていない」というギャップだ。2026年8月31日、調査会社 EMA（Enterprise Management Associates） がセキュリティ企業 Cequence 向けにまとめたレポート 『Agents Without Guardrails: The Agentic AI Governance Gap in the Enterprise』 は、まさにこのギャップを数字で可視化した。従業員1,000人以上の企業でエージェンティックAIを導入・評価中の IT/セキュリティ責任者202名 への調査で、94%が「自社のエージェントは必要以上の権限を持っていない」と確信している一方、実際に最小権限を実行できているのは33% にとどまる（Cequence/EMA、GlobeNewswire）。
homula はエンタープライズ向けの AIエージェント・インテグレーターとして、n8n / Dify / LangGraph や MCP を使い、企業の業務システムをエージェントへ安全につなぐ設計を手がけてきた。その現場から見ると、この「確信と実態のズレ」は精神論ではなく、棚卸し・権限設計・実行時の制御という具体的な三層の欠落 に落ちる。本稿ではレポートの一次データを整理し、なぜ統制の焦点が「エージェントが誰か（identity）」から「エージェントが何をしているか（behavior）」へ移りつつあるのかを、日本企業の打ち手とともに読み解く。
レポートが突きつけた「確信と実態のギャップ」
EMA/Cequence の調査で最も重いのは、多くの企業がインシデントを既に経験している という事実だ。主要な数字を整理する。
| 指標 | 数値 | 出典 |
|---|---|---|
| エージェントが想定スコープ外の行動をした経験 | 65% | Infosecurity |
| うち、測定可能な事業影響（データ露出・金銭損失・業務停止）が出た | 29% | SC Media |
| 実害の手前で食い止めた“ニアミス”を報告 | 36% | SecureWorld |
| 「過剰な権限は与えていない」と確信している | 94% | GlobeNewswire |
| 実際に最小権限で運用できている | 33% | 同上 |
| 部門横断でエージェンティックAIを既にスケール中 | 46% | Cequence/EMA |
「65%が想定外の行動を経験し、29%は実害まで出た」——これは実験室の話ではなく、本番環境で既に起きている出来事だ。Cequence 共同創業者兼CTOの Shreyans Mehta は、この確信の危うさをこう言い表している。
「私が引っかかったのは、92%が自社のガバナンス体制に自信を持っているという数字だ。ああいう自信は罠だ。だからこそ組織は問題を探すのをやめ、監視への投資をやめ、インシデントが会話を強制するまで認可チェックが形骸化していくのだ」（Cequence）
危険なのは「統制できていない企業」より、「統制できていると信じている企業」だ。確信は監視の手を緩めさせ、認可チェックの形骸化を見えなくする。94%と33%の差——61ポイントの空白——は、そのまま「気づかれていないリスク」の面積を表している。
ギャップは三層に分かれている
「安心と実態のズレ」を漠然と語っても打ち手にならない。レポートのデータは、ギャップが 棚卸し → 権限 → 実行時 の三層に積み重なっていることを示している。
第一層：棚卸し（見えているか）。 そもそも 47%の企業が、稼働中の全エージェントを確実に棚卸しできていない（Cequence/EMA）。数十のエージェントが本番で動く一方、その一覧すら持てていない。統制の議論は「何が動いているか分からない」時点で足元から崩れる。
第二層：権限（絞れているか）。 最小権限を実行できているのは33%。残りの約3分の2は、広い常時権限（standing access）を定期的に、あるいは稀にしか見直さない、もしくは一度も見直さない 形で運用している（SecureWorld）。プロビジョニング時に付与した権限が、そのまま棚上げされている構図だ。
第三層：実行時（止められるか）。 認可を エージェントが実際に行動しようとした瞬間に評価している企業は34.2% にとどまる（SecureWorld）。多くは付与時に一度チェックしたきりで、走行中の行動は素通りだ。結果として、想定外の行動を 数分以内に自動で検知・封じ込められるのは32.2% に過ぎず、54.5%は数時間かかり、手作業の対応 を要する（SC Media）。
三層はそのまま導入順序でもある。見えないものは絞れず、絞っていない権限は実行時に止められない。 棚卸しを飛ばして「実行時の監視ツール」だけを入れても、監視対象の母集団が欠けたままになる。順序を守ることが、統制の費用対効果を決める。
なぜ焦点が「誰か」から「何をしているか」へ移るのか
EMA の結論はシンプルだ——「エージェントが“何であるか”ではなく、“何をするか”を統べよ（Govern what agents do, not just what they are）」（Cequence/EMA）。
この転換の背景には、identity（同一性）ベースの統制の限界がある。エージェントに固有IDを割り当て、誰であるかを検証することは前提として必要だ。だが IDが分かっても、その瞬間の行動が“任されたタスクの範囲内か”は判定できない。Cequence の整理を借りれば、数千件の顧客レコードをダウンロードする、無関係の管理APIを呼ぶ、数百件の返金を発行する——こうした振る舞いが妥当かどうかは、認証情報の正しさとは別の問いだ（Cequence/EMA）。
だからこそ EMA が推奨するのは、タスク単位の認可を“実行時に”評価し、スケール展開の前に自動検知・封じ込めを備える ことだ。これは homula がこれまで説いてきた「ツール単位の承認ゲート」や「シャドーMCPの発見」「非ヒューマンIDの最小権限」といった論点と、根っこで一致する。統制の重心は、静的な権限付与から、行動の一つひとつを実行時に検証し、記録し、必要なら止める 動的な制御へ移りつつある。
homulaの観点——三層を「開く」と「統べる」で同時に埋める
homula はエンタープライズ向けの AIエージェント・インテグレーターとして、業務システムをエージェントへ 開く力 と、その行動を 統べる力 を一気通貫で設計することに価値の中心を置いている。EMA/Cequence が示した三層のギャップは、まさにこの両輪で埋める対象だ。
- 棚卸し（第一層）：まず「何が動いているか」を可視化することが出発点になる。野良のエージェントやツール接続を洗い出し、オーナー（責任者）に紐づける作業は、統制以前の前提だ。Agens は MCP を活用した統合基盤として 200以上のツールと構築ゼロで接続 でき、接続面を標準化された一つの層に集約する。散在する接続を“見える一箇所”へ寄せること自体が、棚卸しの土台になる。
- 権限と実行時（第二・第三層）：Agens Control は、承認フロー・DLP・RBAC・5年分の監査ログ を提供する。付与時に一度きりで終わらせず、重い操作（データ持ち出し・外部書き込み・不可逆な処理）は人の承認を挟み、行動を監査ログとして残す——EMA が言う「実行時の認可」と「自動検知・封じ込め」を、単発の実装ではなく組織のルールとして執行できる形にする。94%と33%の差を縮めるのは、標語ではなく、この執行と証跡の仕組みだ。
- 判断軸を自社に残す：AIエージェント・ブートキャンプ では、業務棚卸しからプロトタイプ、ROI試算までを 3〜5日 で回す。「どのエージェントに、どの権限を、どの承認・監査とともに与えるか」という判断軸そのものを、外注ではなく自社の資産として持ち帰れる。
エージェントを本番で走らせる力を 開く ことと、その行動を 統べる ことは切り離せない。片方だけでは、94%の“安心”が33%の“実態”に追いつかないまま、想定外の行動が積み上がる。
まとめ
EMA/Cequence の『Agents Without Guardrails』が突きつけたのは、3つの事実だ。
第一に、確信と実態のギャップは既に実害を生んでいる。65%が想定外の行動を経験し、29%は測定可能な事業影響を被った。にもかかわらず94%が「権限は過剰でない」と確信し、最小権限を実行できているのは33%にとどまる。第二に、ギャップは棚卸し（47%が全数把握できず）→権限（33%しか最小権限にできず）→実行時（34.2%しか行動時に認可を評価せず）の三層 に積み重なっている。第三に、EMA の処方箋は明快で、統制の焦点を「エージェントが誰か」から「何をしているか」へ移し、実行時に認可を評価し、スケール前に自動検知・封じ込めを備える ことだ。
賢いモデルを選ぶより先に、自社のエージェントを「見える化し、権限を絞り、行動を実行時に統べる」設計を持てているか——それが、安心を実態に追いつかせる分かれ目になる。
自社のエージェントが「見えているか・絞れているか・止められるか」を点検する第一歩は、棚卸しと承認・監査の設計です。安心を実態に変えるところから、一緒に始めましょう。