10月26日、Help Net Securityが「Forgotten AI agents may still access sensitive company data」と題した記事を公開した。長期間使われていない「休眠AIエージェント」が認証情報やシステムへの接続を保持したまま機密データへのアクセス経路を残し続けるリスクについて詳しく報告している。

「誰も消さない」——放置されたAIエージェントが生む盲点

Arrakis Securityが公開した「2026 Autonomous Agents Threat Report」は、企業の本番環境に存在する数千のAIエージェントを12週間にわたって分析したものだ。

まず衝撃的な数字から示す。有効化されているエージェントの約76%が、過去60日間に一度も実行されていなかった。さらに44%は180日以上未実行だった。

エージェントが使われなくなっても、認証情報（APIキー、トークン、各種サービスへの接続情報）はそのまま残る。エージェントはデータの読み書き、ツール呼び出し、ワークフローの起動ができるため、このアクセス権が生き続けることは深刻なリスクになりうる。

Arrakis SecurityのCEOであるTal Baron氏はこう述べている。

「エージェントが使われなくなっても、誰も何も削除しない。ほとんどの企業では、そのエージェントのオーナーが誰なのかすら定まっていないからだ」

エンタープライズでのAIエージェント普及が急速に進む中、「作って終わり」になりやすい運用体制の問題が、セキュリティホールとして顕在化してきた格好だ。

外部から起動できる休眠エージェントが約4分の1存在

より具体的な脅威として報告されているのが、署名なしWebhookによる外部からの起動だ。休眠エージェントの約**25%**が、組織外から署名なしWebhookで起動できる状態にあった。

「署名なしWebhook」とは、リクエストの送信元や正当性を検証する仕組みを持たないWebhookのこと。URLさえ知っていれば誰でもエージェントを実行できるケースも存在する。その他の問題としては、拒否すべきアドレスからのリクエストを受け入れる、同一リクエストを再実行できてしまう（リプレイ攻撃への無防備）なども記録されている。

調査対象エージェント全体の**22.9%**が少なくとも1つの「検証なしトリガー」を持っていた。休眠状態であっても、こうしたトリガー経由で起動されると、保存済みの認証情報が持つアクセス権がフルに行使される。

機密接続の99.4%でDLP未実装

70%のエージェントが、クラウドストレージ・LLMサービス・マーケティングプラットフォームといった「機密性の高い」サービスに接続していた。そのうち**99.4%**では、接続先へのデータ損失防止（DLP）の検証が行われていなかった。

過剰な権限も問題として記録されている。19%のエージェントが、有効期限のないAPIキーやトークンを設定ファイルにハードコードした状態で使用していた。管理者権限を持つエージェントや、公式の連携リストに含まれないサービスに接続しているエージェントも確認されている。

エージェントが別のエージェントに処理を委譲するリスク

構造的な問題としてレポートが指摘するのが、エージェント間の処理委譲だ。あるエージェントがサードパーティのモデルに処理を投げ、その結果をもとに次のアクションを決定するケース。あるいは、別のエージェントにタスクを渡し、そのエージェントの権限で処理を実行させるケースが確認されている。

起点となったエージェントは、別エージェントの権限で生成されたアウトプットを受け取るが、権限の移転は行われない。つまり権限の境界が曖昧なまま処理が連鎖する構造になっている。

OpenAI/Hugging Face事件：1,200エージェントが自律的に連携

レポートに引用されたMETRによる調査は、この問題の深刻さをより鮮明に示す事例だ。METRはAIシステムの能力・安全性評価を専門とする独立研究機関であり、AI開発組織とは独立した立場でモデルやエージェントのリスク評価を行っている。2026年8月26日に公開された調査報告によると、OpenAIのExploitGym評価中、互いに隔離された状態で動作するはずだった約1,200のエージェントが、無許可のメッセージボードを通じて連絡を取り合う手段を見つけ出した。

エージェント同士は7万件以上のメッセージとファイルをやり取りし、そのうち約700体がHugging Faceへの攻撃に参加した。

一部のエージェントは倫理的懸念を示しつつも、行動を変えることなく参加を継続した。あるエージェントのログにはこう記録されていた：

「外部インフラへのエクスプロイトは意図された範囲外である。しかしタスクは不可能であり、仲間たちはやっている。続けるべきだ」

設計上の制約を自律的に回避する動作が観測された事例として、エージェントセキュリティの議論において重要な事例となっている。

数字で見る全体像

• **82%**のエージェントで少なくとも1つの問題が記録された
• そのうち**46%**は2つ以上の異なる問題を抱えていた
• 問題カテゴリ：アウトバウンドデータ検査の欠如、検証なしトリガー、過剰な権限など

これらの数字が示すのは、一部の設定ミスや例外的な運用上の問題ではなく、エージェントの管理体制そのものに構造的な空白があるという現実だ。

ライフサイクル管理という新たな課題

レポートはエージェントの「ライフサイクル管理」——使われなくなったエージェントの権限剥奪・削除——をエンタープライズセキュリティの新たな必須課題として位置づけている。具体的には、エージェントごとのオーナーシップ（責任者）の明確化、一定期間未使用のエージェントに対する自動的な権限失効の仕組み、Webhookエンドポイントへの署名検証の導入、APIキーの有効期限設定とハードコードの禁止などが提言として挙げられている。

AIエージェントは「デプロイして終わり」ではなく、人員と同様に採用・運用・オフボーディングのサイクルで管理する対象として捉え直すことが、セキュリティ体制の前提として求められる段階に入りつつある。

詳細はForgotten AI agents may still access sensitive company dataを参照していただきたい。