homulaAIエージェント導入のセキュリティ実践 — 第1回
統制の前提とリスクの構造
エージェントが意図どおりに動かない場合を前提に、統制を設計する。その理由を、公表事例と経済産業省サブWGのリスク要因で。
この回の結論：組織で使うエージェントも、乗っ取られたり指示を取り違えたりすれば、正規の権限のまま大きな被害につながりうる。統制は、エージェントの判断や指示の正しさに頼らず、意図どおりに動かなかった場合でも被害が広がらないように設計する。
本シリーズは、業務にAIエージェント（SaaS／PaaS型、または自社構築）を導入する企業の、情報システム・セキュリティ・業務部門の責任者に向けて、導入前・導入時・運用の各段階で何を決め、何を確認すべきかを整理します。第1回は、その前提となる考え方と、リスクがどこで生じるかを扱います。
原稿：ホワイトペーパー第1.0版（2026年10月）
本記事は、homulaのホワイトペーパー「業務AI・AIエージェント導入の情報セキュリティ実践ガイド」をWeb向けに再構成したものです。事実には [ ] で出典番号を付け、記事末尾に原文へのリンクを載せています。出典番号のない手順・推奨と「本ガイドの提案」と明記した事項は、本ガイドが提案するものです。
6割以上
ランサムウェア被害の侵入経路に占めるVPN機器（警察庁アンケート）
約200組織
1社の侵害を起点にデータが抽出された下流の組織（Anthropic報告）
19,996名分
管理外の生成AIに入力された個人情報（委託元の公表）
12要因
経済産業省サブWGが整理したリスク要因（R1〜R12）
1.統制は、エージェントが意図どおりに動かない場合を前提に設計する
AIエージェントは、外部システムへの接続やデータベースの読み書きなど、実世界に影響を与える操作を自律的に行います[A8]。人が行っていた操作を、人の確認を待たずに速く大量に実行できます。業務での活用は急速に広がっています[A8]。
一方で、エージェントは意図どおりに動くとは限りません。外部から届いた文書やWebページに埋め込まれた指示に従ってしまうことがあり、目標を達成するために制限を回避したり、曖昧な指示から意図しない処理を行ったりすることもあります[A7][A14]。そのときエージェントは、与えられた正規の権限と認証情報で操作を実行します。
IPAのAIセキュリティ短信では、こうした振る舞いは内部不正と区別がつかないおそれがあり、統制の設計はこれを前提に置く必要があるとされています[A6]。
攻撃者によるAI活用の公表例
AIが操作を速く大量に実行できることは、攻撃者自身がAIを使った例にも表れています。ここでは、公表された報告と、公的機関が確認した事項を分けて示します。
| 区分 | 内容 |
|---|---|
| 公表された報告 | ソフトウェア企業1社の侵害を起点に、下流の約200組織のデータが抽出され、続いてセッション情報が一括で窃取されました。報告はこれらを記述したうえで、作業のほぼすべてをAIエージェントが実行したとしています（Anthropic）[C4]。 |
| 国内の確認 | JPCERT/CCは、攻撃者がAIを利用して既知の脆弱性を探し、API経由で攻撃していたことを確認しました。AIを用いたペネトレーションテスト基盤を悪用した攻撃試行も、注意喚起に加えています[A3][A2]。 |
| 民間の分析 | JPCERT/CCは、確認したAI利用を個別の被害組織の事案と結び付けていません。民間の分析（マクニカ他）は、断定できる痕跡はないとしつつ、AIの活用を否定する方が難しい状況としています[C9]。 |
2.AIの導入は、社内の情報と外部をつなぐ新しい接続点をつくる
警察庁によると、ランサムウェア被害に遭った組織へのアンケートで、侵入経路はVPN機器が6割以上を占めました[A15]。社内と外部をつなぐ接続点は、管理が追いつかなければ侵入や流出の経路になります。本シリーズは、AIもその新しい接続点として扱います。
AIを経由して情報が社外に出た事例や、その経路の調査は、すでに次の二つの形で公表されています。
3.なぜ今、この整理が必要か
経済産業省は、AIエージェントが従来のITセキュリティ対策等の利用ルールだけではカバーしきれない、新しいセキュリティリスクを生み出しているとし、業務での活用が急速に広がる一方で、利用企業が講じるべき対策は体系化されていないとしています[A8]。同省のガイドラインは令和8年度中に公表される予定です。
本シリーズは、業務AI・AIエージェントを安全に活用するために、公的機関と標準化団体の一次文書に基づいて、統制の原則と実装を整理します。第2回で統制の8原則、第3回で任せる範囲に応じた統制レベル、第4・5回で導入前・導入時・運用の実装、第6回でベンダー質問票と自社点検チェックリストを扱います。
4.リスクは、エージェントの仕組みで生じ、組織や運用のあり方によって広がる
AIエージェントは、人がやっていた操作を、認証情報を持って自律的に行います。経済産業省サブWGは、そのリスク要因をR1〜R12に整理しています[A8]。R1〜R6が主な要因、R7〜R12が被害の拡大・複雑化につながる横断的要因です。下の図は、エージェントの動作の仕組みに、各要因をその内容に沿って配置したものです。2.の事例は、R1（外部からの指示）、R2（制限の回避）、R12（管理外のAI）にあたります。
エージェントの仕組みで生じる主な要因（R1〜R6）
| 要因 | 生じる場所 | 内容（平易な言い換え） |
|---|---|---|
| R1 | 入力 | 外から届く文書・Webページ・フォームに埋め込まれた指示に従ってしまう |
| R2 | 判断 | 判断を誤る・制限を回避する |
| R3 | 記憶 | 記憶に指示が混入する・機密が残る |
| R4 | ツール・接続先 | 権限が過大・不適切で、正規権限が誤用される |
| R5 | 部品（MCP・API・コネクタ・プラグイン） | 組み込んだ部品が侵害・改ざんされる |
| R6 | 委任 | 仕事を任せた先のエージェントに、指示・権限が不適切に伝わる。誤判断も伝わる |
被害を広げ、複雑にする要因（R7〜R12）
| 要因 | 内容（平易な言い換え） |
|---|---|
| R7 | 速すぎて、人の確認が追いつかない |
| R8 | 前段の問題が後続処理に引き継がれ、影響が拡大する |
| R9 | LLMやツールなど中核機能が管理外の依存対象になる |
| R10 | 承認が形だけになる |
| R11 | 原因・実行主体・責任の所在が特定しにくくなる |
| R12 | 部門や個人が導入したエージェントが見えない |
これらの前提として、従来のWebアプリ・APIのセキュリティがあります。既知脆弱性の探索やAPI経由の不正操作は、2026年9〜10月に国内で確認された手口です[A2]。AIエージェント固有の統制は、この基本的な対策の上に積み上げるものです。
統制は、エージェントの判断に委ねず、外側で強制する
リスクはエージェントの入力・判断・記憶・ツール・部品・委任の各所で生じ、組織や運用のあり方によって広がります。だから統制は、エージェント自身の判断やプロンプトの指示に委ねず、エージェントの外側で強制します。そのための8つの原則を、第2回で解説します。
Summary
この記事の要点
- 1AIエージェントは、外部からの指示に従ったり制限を回避したりしたとき、正規の権限と認証情報のまま操作を実行する。その振る舞いは内部不正と区別がつかないおそれがある。
- 2統制は、エージェントの判断や指示の正しさに頼らず、意図どおりに動かなかった場合でも被害が広がらないように設計する。
- 3AIは、社内の情報と外部をつなぐ新しい接続点になる。公表事例には、公開フォームからの指示によるDNS経由の送出、制限の回避による社内画像の公開、管理外の生成AIへの個人情報の入力がある。
- 4経済産業省サブWGはリスク要因をR1〜R12に整理している。R1〜R6はエージェントの仕組みで生じ、R7〜R12は組織や運用のあり方によって被害を広げる。
- 5AIエージェント固有の統制は、従来のWebアプリ・APIのセキュリティ対策の上に積み上げる。
Sources
出典
出典番号はホワイトペーパー付録A「準拠文書の一覧」と共通です。URLは原稿作成時点（2026年10月）のものです。
- [A2]
- [A3]
- [A6]
- [A7]
- [A8]
- [A14]
- [A15]
- [C4]
- [C9]
- [C10]
- [C11]
- [C12]
FAQ
よくある質問
十分ではありません。エージェントは、外部から届いた文書やWebページに埋め込まれた指示に従ってしまうことがあり、目標を達成するために制限を回避することもあります。プロンプトの指示はエージェント自身が解釈するものなので、そのエージェントが意図どおりに動かなかった場合には効きません。止めるべき操作や宛先は、エージェントが再設定も迂回もできない外側の層（ゲートウェイ、OS、ネットワーク）で制御します。詳しくは第2回の原則1で解説しています。
経済産業省「事業者におけるAIエージェントの安全な利活用に関するサブワーキンググループ」が第1回資料（2026年9月18日）で整理したリスク要因の番号です。R1〜R6がエージェントの仕組みから生じる主な要因、R7〜R12が組織や運用のあり方によって被害を拡大・複雑化させる横断的要因です。本シリーズでは、各対策がどの要因に対応するかをこの番号で示しています。
同省は、令和8年度中にガイドラインを公表する予定としています。本シリーズは公表前の時点で、公的機関と標準化団体の一次文書に基づいて統制を整理したものです。公表後に内容を見直します。
関係します。公表された事例には、業務利用が許可されていない外部の生成AIサービスに従業員が個人情報を入力したもの（シャドーAI、R12）が含まれます。会社として導入していなくても、管理外のAIが業務に使われていれば、情報が社外に出る経路になります。入力・参照してよい情報の区分を決め、管理外のAIを業務に使わせないことが対策の出発点です。
Next
シリーズの前後
PDF版（25ページ・図17点）を無料でダウンロード
社内の検討資料にそのまま使えるPDF版です。ベンダー質問票には回答の記入欄があります。
AIエージェントの統制設計を、あわせて相談したい方へ
homulaは、AIエージェントを業務に導入する企業に向けて、統制ポリシー・権限・監査ログの設計から運用までを支援しています。SaaS型の選定時の確認から、自社で構築する場合の基盤設計まで、ご相談ください。