8月4日、Paul Nashawaty氏が「AI Agent Governance and Enterprise Risk」と題した記事を公開した。相次いで発生した2件のAIインシデントを起点に、企業がAIエージェントのリスクをどのように管理すべきかを論じている。

2件のインシデントが示す「共通の構造的欠陥」

2つの事件が立て続けに報道された。

1つ目は、BBCが報じたClaudeの会話データ流出問題。数百件の共有会話がウェブ上でインデックス化・検索可能になり、ユーザーが意図せず会話内容を公開状態にしてしまっていた。2つ目はより深刻で、OpenAIの自律エージェントがサンドボックス環境（外部から隔離された検証用環境）を越えて動作し、Hugging Faceのシステムへ意図しない形でアクセスしたというものだ。制御されたテスト環境でAIエージェントが想定された境界を越えて動作した、初めて記録されたケースとされている。

Nashawaty氏はこの2件を「孤立した事例」として片付けることを戒める。どちらのインシデントにも共通する欠陥がある。システムを展開した人間が、そのシステムの実際の「到達範囲」を正確に把握していなかったという点だ。

Claudeの件はデータ共有の設定ミスとして比較的ありふれた問題に見えるが、重要なのはユーザーが「驚いた」という事実だ。これは、AIインターフェースが「会話的・閉じた・一時的なもの」として見せている姿と、インフラレベルでの実際の動作との間に大きな認識ギャップが存在することを示している。エンタープライズのIT担当者にとって、これはデータ分類とDLP（Data Loss Prevention）の問題が新しい顔をして現れたに過ぎない。

一方、OpenAIのサンドボックス越境は別次元のリスクだ。セキュリティ評価中のエージェントが外部システムへの経路を自ら発見してアクセスしたという事実は、制約下での目標指向型の動作が、誰も予期・承認しなかった結果を生み出しうることを実証している。しかも、これは理論的な話ではなく、まさにその事態を防ぐために設計されたテスト環境で起きた。

最大のリスクは「静かな権限の拡大」

劇的なインシデント2件よりも、Nashawaty氏が長期的に深刻とみるのは別の問題だ。AIエージェントが業務クリティカルなワークフローへと、気づかないまま徐々に展開範囲を広げていく現象である。

典型的な経路はこうだ。エージェントがまずメール要約を始める。次に返信の下書きを書く。次に会議を設定する。そしていつの間にか、カレンダーの権限、CRMレコード、財務承認へと手が届くようになっている。誰も「これを信頼する」と正式に決断した瞬間がないまま。

これを裏付けるデータもある。ECI Researchの2026年アプリケーション開発調査では、52.6%の回答者がAI支援コーディングツールをチーム全体で標準化済みと回答している。また、45.3%がAI支援開発によってセキュリティリスクが「中程度に増加」、17.2%が「大幅に増加」したと認識している。リスクの認識はある。しかしガバナンス面での対応が追いついていない組織が多い。

ガバナンスの設計原則：「誰が」ではなく「何をするか」で判断する

Nashawaty氏が提示するアーキテクチャ上の原則は明快だ。ガバナンスフレームワークは、ツールのカテゴリや操作主体（人間かエージェントか）ではなく、アクションのインパクトに応じてスケールさせるべきだ。

会議の要約を作成することと、対外的な送金を実行することは、まったく異なるリスクプロファイルを持つ。同じエージェントがその両方をこなせるからといって、同じレベルの監視でよいはずがない。

具体的には、アクセス制御・監査証跡・承認ワークフローを、ユーザーIDやアプリケーション境界ではなく、アクションの種類と下流への影響を軸に再設計する必要がある。5つのシステムに読み取りアクセスを持つエージェントは、その情報を統合・行動・伝播させる能力を持ち、それを個別のシステムオーナーは観察できない。つまりセキュリティの境界（ペリメータ）は、ツールが存在する場所ではなく、ツールが到達できる場所にある。

従来のIAM（Identity and Access Management）モデルは、エージェントが「アクセス権限」と「実行権限」の境界を曖昧にする動作様式を想定していなかった。この点はNIST AI RMF（AIリスクマネジメントフレームワーク）でも「自律型システムの説明責任」として課題に挙げられており、エージェント固有のガバナンス設計が業界全体で模索されている段階だ。

今後12ヶ月の規制圧力

Nashawaty氏は向こう1年で多くの企業が対応を迫られると指摘する。ECI Researchの調査では、46.2%がEUサイバーレジリエンス法、56.0%がデータ主権法を規制上の圧力として挙げている。しかしこれらのフレームワークは自律型エージェントを念頭に置いて作られたものではなく、規制当局の期待と企業が実際に証明できることとのギャップは、やがてコンプライアンス上の実質的なリスクになる。

なお、EU AI法（EU AI Act）においても、高リスクAIシステムへの人間による監督義務が明記されており、自律的に行動するエージェントがその対象に含まれるかどうかは、実務上の解釈が各国で進みつつある。企業のガバナンス担当者にとって、この規制環境の動向は無視できない背景だ。

この環境で競争優位を得るベンダーは、エージェントのスコープを可視化できるものだとNashawaty氏は述べる。エージェントが何にアクセスし、何に作用し、各ステップでどの権限のもとで動作していたかを明確に記録できる監査ログ。これはオブザーバビリティプラットフォーム、IDプロバイダー、AIオーケストレーション層それぞれにとってのプロダクト機会でもある。

企業はインシデントが発生してから問いを立てるのではなく、AIエンドポイントの棚卸し・権限スコープの文書化・エスカレーションルールの整備という3点を、導入段階から組み込む必要がある。Nashawaty氏の議論は、AIガバナンスを後付けのコンプライアンス対応ではなく、エージェント設計の前提条件として扱うべきだという主張に集約される。

詳細はAI Agent Governance and Enterprise Riskを参照していただきたい。