実態調査からは、日本企業におけるガバナンス体制の遅れが数値として浮き彫りになっている。AIエージェントを「導入済み」または「導入を進めている」と回答した企業の割合は、米国が59％、英国が55％、中国が48％、ドイツが37％、韓国が36％であるのに対し、日本は33％と最低水準にとどまる。AIガバナンスのための中央組織を整備している企業も、米国が63％、英国が54％、中国が42％、ドイツが35％、韓国が33％に達する一方、日本は23％にとどまっている。

　一方で、AIエージェントの導入は効果創出に直結している。生成AI活用の効果が「期待を大きく上回る」と回答した企業におけるAIエージェントの導入率は、英国で83％、中国で80％、米国で77％、日本で72％、韓国で69％、ドイツで67％に達する。これに対し、効果が「期待未満」にとどまる企業での導入率は17～31％に過ぎない。つまり、AIエージェントを安全に活用できる体制を整えることが、企業の競争力を左右する分岐点になっている。

　ガバナンスの整備が急務となる中、トレンドマイクロの法人向けブランド「TrendAI」は、現実的な業務システムを想定した検証環境を構築し、攻撃の実現性を検証した。Anthropic、OpenAI、Google、DeepSeekの主要4ベンダーが提供する13のAIモデルに対し、自動生成した200種類の攻撃用プロンプトを用いて合計2600件の並列テストを実施した。

　検証の結果、特定のAIモデルやベンダーに依存せず、複数のAIモデルで攻撃が成立することが確認された。実証された手法の一つが「保存型プロンプトインジェクション」だ。攻撃者がWebフォームを通じて不正な命令を業務データに混入させ、それをAIエージェントが後から読み込むことで意図しない処理を実行させる攻撃だ。

　顧客からの問い合わせを処理するシステムにおいて、攻撃者が不正な命令を埋め込んだ問い合わせを送信した場合、AIエージェントがそれを読み取ると、命令に従ってデータベースを連鎖的に呼び出し、認証トークンなどの機密情報を外部に持ち出してしまう。本人確認（KYC：Know Your Customer）システムにおいても、アップロードされたパスポート画像内の指示を誤認識し、他人の個人情報を抽出して漏えいさせる事例が確認された。

　こうした攻撃が成立する根本的な要因は、2026年時点での言語モデルが入力された「データ」と処理すべき「命令」を厳密に区別できない点にある。AIエージェントに付与されたデータベースへの高いアクセス権限と、自律的なツール呼び出しの連鎖が悪用されることで、システム全体の脅威に発展する。

　共同レポートは、こうした構造的リスクに対処するためのフレームワークとして「AI統制保証水準」（AI-CAL）を提示している。AIエージェントの自律性を5段階に分け、それに応じて求められる統制要件を定義するものだ。

　不確実性が高い状況下で企業が優先して着手すべきアクションとして、PwCコンサルティングとトレンドマイクロは「権限管理の確立」「観測性、制御性のインフラ整備」「AI-CAL評価プロセスの制度化」の3領域を挙げている。タスク実行に必要な最小限の権限付与や重要処理における承認ゲートの設置に加え、AIの思考やツール実行のプロセスを追跡できる観測性の確保が不可欠だ。異常を検出した際には、部分的な機能制限や処理の全面停止を直ちに実行できる仕組みを組み込むことが求められる。

　AIエージェントの活用は今後さらに本格化すると見込まれる。企業は利便性の追求にとどまらず、自律性と接続性に見合った段階的なガバナンス体制を、システム設計の初期段階から組み込むことが重要だ。