IPA短信が紹介する企業調査——エージェントの範囲外行動は回答企業の約65%が経験、統制は「ツール呼び出し層」で効かせる

※ 本記事は2026年10月6日時点の公開情報に基づきます。提供状況は変化するため、最新情報は各社公式発表等をご参照ください。

IPA（情報処理推進機構）は2026年9月28日、「AIセキュリティ短信 2026年9月号」を公開しました。2026年8月11日から9月6日までのAIとセキュリティの話題を、各トピックの一次情報源を特定したうえでAIを用いつつ要約したものです。IPAは、個々の事例の記載内容の正確性・妥当性をIPAとして保証するものではないと明記しています（出典: IPA）。

約65%という数字——誰の調査かを分けて読む

技術責任者として数字の出どころを見ると、短信が紹介するのは、Enterprise Management Associates（EMA）が2026年8月に公表した、従業員1000人以上の企業の調査（標本202件）で、短信は対象を北米・ヨーロッパ・アフリカの企業と記しています。IPAの要約では、回答企業の約65%が、AIエージェントが意図した範囲の外で行動した経験を持ちます。内訳は、測定可能な影響が出たものが29%、被害に至る前に捕捉した未遂が36%です。回答企業のうち、エージェントの認可を行動の実行時点で評価しているのは34.2%で、21.3%は払い出し時に与えた常時有効な権限に基づいています。この調査はIPA自身のものではなく、短信の区分は【ベンダー調査】です（出典: IPA）。

なお、中小企業の数字ではない点には注意が要ります。対策としてIPAが紹介するSANSとAWSの文書は、システムプロンプトによる指示は統制ではなく、ツール呼び出し層でのdefault-deny（原則拒否し、許可したものだけ通す）を最も重要な設計様式に挙げています（出典: 同上）。例えるなら、プロンプトの指示は口頭の注意、ツール呼び出し層の制御は入退室ゲートです。

行動ごとに認可する設計——CrowdStrikeと「未提供」の注記

IPAは、行動単位の認可の具体例としてCrowdStrikeの公表を紹介しています。同社のAgentic Identity Providerは、エージェントに常設の資格情報を持たせず、作業に必要な範囲と期間に限った短期のアクセスを代理で仲介する、と説明されています。同社が2026年6月に公表したContinuous Identity for AI Agentsは、行動ごとに認可し、脆弱性や人事上の状態など文脈の変化で直ちに失効させる方式です（出典: IPA）。

以上は同社自身の説明（IPAの区分は【当事者公表】）です。同社は、9月2日の発表には未提供の機能の説明が含まれると注記しています。どの機能が該当するかは短信から分かりません（出典: 同上）。製品名より、常設の資格情報を持たせない、状況が変われば失効させるという考え方が参考になります。

攻撃側のAIは速いが、突かれたのは既知の弱点

Palo Alto NetworksのUnit 42は、人間の攻撃者がフロンティアAIモデルと攻撃特化のエージェント型AIフレームワークを使って企業ネットワークを侵害した事案を報告しました。AIの利用は、攻撃者が身代金の交渉で伝えたものです。IPAの要約によると、Unit 42は、人間の攻撃者なら約2週間を要する侵入の手順が10時間未満に圧縮されたとしています（出典: IPA）。

IPAはエグゼクティブサマリーで、この事例の背後にいる運用者は人間であり完全自律型の攻撃には当たらないと指摘しています。また、分業型マルチエージェント攻撃で確認された侵害はいずれも、露出したサービス、未修正の既知の脆弱性、窃取・推測された認証情報といった既知の弱点に帰着し、ゼロデイ脆弱性や高度な技術は使われていないと整理しています。AIの寄与と既知の弱点の寄与は分けて読む必要がある、という姿勢です（出典: 同上）。Unit 42が対策に挙げたのは、資格情報の失効とCI/CDの凍結を同時に行う封じ込めと、AIエンドポイントおよびAPIキーの棚卸しです（出典: 同上）。

中小企業への翻訳——渡している権限を点検する

私たちの提案は次の4点です。

1. 渡している資格情報を一覧にする。 AIツールに渡したキーやトークンを洗い出します。

2. 常時有効な権限を減らす。 範囲と期間を限る形を、まず1つの業務で試します。

3. 「禁止」はプロンプトではなくツール側に書く。 許可リストにない操作は通さない形にします。

4. 止め方を先に決める。 異常時に誰が何を失効させ、何を止めるかを決めておきます。

まとめ

• IPAは2026年9月28日にAIセキュリティ短信9月号を公開。参照元の記載に準じた要約であり、個々の事例の正確性・妥当性はIPAとして保証しないと明記している
• 短信が紹介するEMAの調査（従業員1000人以上、標本202件）では、回答企業の約65%がエージェントの範囲外行動を経験し、実行時点で認可を評価するのは34.2%
• SANSとAWSの文書は、システムプロンプトの指示は統制ではなく、ツール呼び出し層のdefault-denyが最も重要な設計様式とする。CrowdStrikeは、9月2日の発表に未提供の機能の説明が含まれると注記している
• IPAの要約によると、Unit 42の報告では、人間の攻撃者なら約2週間を要する侵入の手順が10時間未満に圧縮された。IPAは、AIの寄与と既知の弱点の寄与は分けて読む必要があるとする

エージェントの安全をプロンプトの工夫だけに頼らず、渡す権限を絞り、止める場所をツール呼び出しの層に置く。攻撃側のAIが速くなっても突かれたのが既知の弱点であったなら、足元の権限と露出の点検から始めるべきだと私たちは考えます。