調査期間中の中央値となる企業において、AIツールを週に1回以上利用する割合は34％から59％へと拡大している。これに伴い、企業ごとの平均的なプロンプトの送信数も約3倍に急増した。

　この利用拡大をけん引しているのが、自律的に動作するAIエージェントだ。特にソフトウェア開発におけるコーディング分野での伸びが著しく、AI技術を利用した開発ツールの導入率は42％から84％へと倍増した。

• Claude Code：75％の企業で利用
• Codex：58％の企業で利用

　2025年にはこれらのツールの導入率は1％未満だったことを踏まえると、開発現場におけるAIエージェントの活用が急速に進んでいることが分かる。

変容するセキュリティリスクの構造

　利用形態の変化は、発生するセキュリティ違反の傾向に如実に表れている。従来、AI関連のセキュリティアラートのほぼ100％は、従業員が社内の機密データを外部のAIサービスに送信してしまう「アップストリーム（上り方向）のデータポリシー違反」だった。この違反自体は現在も微増傾向にあるものの、全体に占める割合は90％を下回っている。

　代わって急増しているのが、「ダウンストリーム（下り方向）のデータポリシー違反」だ。これは、MCPやRAG（検索拡張生成）を活用して社内データと連携したAIツールが、エンドユーザーのアクセス権限を超えた機密データを返してしまう事象を指す。MCPの利用ユーザー数とトランザクション数が数カ月間で大幅に増加しており、企業のシステムがAIツールによって深く相互接続されることで、情報漏えいのリスク経路が複雑化している。

攻撃の高度化と深刻な脅威

　意図的な攻撃手法も高度化の一途をたどっている。AIモデルのガードレール（安全策）を回避する「プロンプトインジェクション」や「ジェイルブレーク」がその代表例だ。特に、外部のデータソースに悪意ある指示を埋め込む間接的なプロンプトインジェクションは、AIモデルの制御を奪い、接続されたバックエンドシステムへと被害を波及させる恐れがある。

　件数自体は少ないものの最も深刻な脅威となるのが悪意あるプログラムの実行だ。AIツールがマルウェアやシステムを破壊するシェルコマンドを生成し、それをAIコーディングエージェントが人の確認なしに実行したり、社内のコードベースに組み込んでしまったりする危険性が指摘されている。

　こうしたAIネイティブな脅威に加え、従来型の手法をAI向けにアレンジした攻撃も確認されている。

• AIルアー
  • AIツールの正規のインストーラーを装った偽インストーラーを用いてマルウェアをダウンロードさせる手法
• AIリンク
  • AIツールの応答に、悪意あるWebサイトへのリンクを紛れ込ませる手法

データ主権の重視とゼロトラストセキュリティの再構築

　多角化するリスクへの対策として、企業もデータ主権を重視したAIの選定に動き出している。独自のデータ隔離や暗号化を提供する「Amazon Bedrock」の利用が増加している他、データを外部に出さないローカルシステムでのAIモデル実行ツール「Ollama」も41％の企業が利用している。

　企業は今後、AIツールとの通信を単なるデータのリクエストとしてではなく、潜在的な「実行ベクター」として扱う必要がある。従来のシャドーAI対策にとどまらず、MCPのトラフィックやローカルシステムで稼働するAIツールを含めた、全てのAIツールのやりとりを可視化するためのゲートウェイやプロキシの導入が不可欠だ。

　単一の防御策に依存するのではなく、CI（継続的インテグレーション）/CD（継続的デリバリー）パイプラインへの脅威スキャンの組み込みや、振る舞い検出を通じた侵害後の兆候把握など、多層的なゼロトラストセキュリティの構築も欠かせない。AIツールを活用した業務プロセスの変革を推進するためには、それに伴う新たなリスクを正確に把握し、包括的な管理とガバナンスの体制を整備することが不可欠だ。