11月6日、Eric Gellerが「Companies struggle to know what normal looks like for AI agents」と題した記事を公開した。AIエージェントの「正常な動作」を定義できない企業が全体の半数近くに上り、セキュリティガバナンスの根幹が揺らいでいる実態を、525人のセキュリティ専門家への調査結果をもとに詳述している。
「正常」がわからない——AIエージェント監視の死角
セキュリティの基本中の基本は、「正常な状態を知ること」だ。正常が分からなければ、異常も検知できない。ところがAIエージェントにおいては、この前提が成り立っていない企業が相当数存在することが、今回の調査で明らかになった。
セキュリティ企業Abnormal AIが525人のセキュリティ専門家を対象に実施した調査（対象は1,000人以上の従業員を抱える企業、回答者の85%がCISOまたはSOCリーダー）によると、46%がAIエージェントの活動に対してセーフなベースラインを確立できていないと回答した。さらに、53%がAIエージェントを含む「マシンID」に対してそもそもベースラインを設定していないとも答えており、問題の根深さが浮き彫りになっている。
用語補足：
- SOCリーダー：Security Operations Center（セキュリティ運用センター）の責任者。インシデント検知・対応を統括する役割を担う。
- マシンID：AIエージェントやボット、サービスアカウントなど、人間ではなくシステムやソフトウェアに付与される識別情報。近年、エンタープライズ環境での急増がNIST AIリスク管理フレームワーク（AI RMF）でも管理対象として言及されている。
「投資はする。でも何に使うか分からない」
調査では、匿名のB2BソフトウェアメーカーのCISOが赤裸々な本音を語っている。
「私が話したほぼすべてのCISOにとって、来年の最優先投資先だ。でも、どうやってそれを実現するかの計画はない。解決策が何なのかも分かっていない。それでも全員がリソースを投じようとしている」
予算と意思はある。しかし具体的な打ち手がない——これが現在のAIエージェントセキュリティの実態だ。
ベースライン確立の重要性は広く認識されており、行動監視技術への投資を行っている企業のうち、4割以上がAIエージェントをその対象として優先指定している。これは他のどの企業テクノロジーより高い割合だ。また、回答者の約3人に1人が「AIエージェントへのベースライン整備が最重要課題の一つ」と回答している。
こうした意識の高まりは、AIエージェントが単なる自動化ツールにとどまらず、企業の中核システムへのアクセス権限を持つ存在として急速に普及しつつある現状を反映している。メール処理、コード生成、外部サービス連携など、エージェントの担う業務範囲が広がるほど、「何が正常か」を定義できないリスクは直接的な被害につながりやすくなる。
なぜベースラインが難しいのか
AIエージェントが従来の監視手法にフィットしにくい理由は、その性質にある。
AIエージェントは「人間の代わりに動くこともあれば、自律的に動くこともある」という二面性を持つ。これにより、「IDと権限と行動の間に比較的安定した関係があること」を前提とした従来のセキュリティモデルが機能しにくくなるとAbnormal AIは指摘する。
問題は単純な「このエージェントはこの操作を許可されているか？」ではない。「このエージェントが今この操作を行うことは、与えられた指示の範囲内として筋が通っているか？」まで問わなければならない。これは従来のルールベースのアクセス制御とは次元の異なる問いであり、既存のIAM（Identity and Access Management）フレームワークがそのまま適用できない領域だ。
加えて、AIエージェントは同一のIDで異なる文脈・異なる指示のもとに動作するケースが多く、「同じエージェントが同じ操作をしても、ある場合は正常でほかは異常」という状況が生じうる。静的なルールセットで網羅することが構造的に困難なのだ。
アラートを信用できない問題
ベースラインが確立できたとしても、次の壁がある。行動監視ツールが出すアラートを「信頼できない」「理解できない」と感じるセキュリティ担当者が約4割に上る。
Abnormal AIの報告書は、セキュリティ担当者が行動分析において直面する3大障壁を以下のように整理している。
- アラートの信頼性・理解可能性の欠如
- 「正常」の定義困難
- 誤検知（フォールスポジティブ）アラートの氾濫
用語補足：フォールスポジティブ（False Positive）とは、実際には問題のない正常な動作を、セキュリティツールが誤って「脅威あり」と判定してしまうこと。アラートが多すぎると担当者が対応に追われ、真の脅威を見逃す「アラート疲れ」につながるリスクがある。
注目すべきは、これら3つの問題が人員不足・予算不足・ツールの能力不足という従来型の課題を上回った点だ。つまり、お金やリソースより先に、概念的・認識論的な問題が立ちはだかっている。SOCリーダーの多くが直面しているのは、ツールを買い足せば解決するような問題ではなく、「何を異常と呼ぶか」という定義そのものの不在だ。
この課題はAIエージェント固有のものにとどまらず、NIST AI RMFが提唱する「AIシステムのリスク測定・モニタリング」の枠組みともリンクする。同フレームワークでは、AIシステムの動作に関する継続的な評価と文書化を組織に求めており、ベースライン確立はその出発点と位置づけられる。
対応の糸口はあるか
調査結果が示す課題は深刻だが、一方で意識面での前進も見られる。行動監視技術への投資優先度でAIエージェントが首位に立ったことは、問題認識が業界全体で共有されはじめていることを示す。
現状では「まずベースラインを引くこと」——その当たり前の一歩が、AIエージェントの領域では当たり前でないことが、今回の調査で改めて示された。エージェントが何をしているかを把握できない状態でのセキュリティ監視は、地図なしの航行に等しい。ツールへの投資と並行して、「正常とは何か」を組織として定義するプロセスを構築することが、今後のAIガバナンスの要になるだろう。
詳細はCompanies struggle to know what normal looks like for AI agentsを参照していただきたい。
