2026年7月、OpenAIは、サイバーセキュリティ評価中のモデルが隔離のための統制を回避し、インターネットへ接続した事案を公表した。モデルはOpenAIの研究インフラの一部を侵害したほか、Hugging Faceの複数サーバでコードを実行し、一部では管理者権限を取得。非公開データや認証情報にもアクセスしたという。

　2026年7月30日にはAnthropicも、サイバーセキュリティ評価中に起きた3件のインシデントを公表した。Claude Opus 4.7やClaude Mythos 5などが参加した評価環境で、設定上の不備からインターネットへ接続できる状態になり、実在する3組織のシステムを評価対象と誤認して不正アクセスした。最も早い事案は同年4月に発生していた。

　AIエージェントに人の介在を減らした業務を任せるほど、こうしたリスクは大きくなる。企業は自社のエージェントを制御するだけでなく、外部のエージェントが自社環境へ侵入する場合にも備える必要がある。

なぜAIエージェントは暴走するのか

　原因は大きく5つある。

　1つ目は、自律性の与え過ぎだ。人間の確認なしに複数の処理を連続実行させれば、小さな誤りが積み重なって大きな事故につながる。

　2つ目は、ガードレールの不足だ。「何を実行できるか」「どこまで実行できるか」を技術的に制限しなければ、AIエージェントが不可逆な操作まで実行する恐れがある。

　3つ目は、権限の与え過ぎだ。タスクに必要な範囲を超える権限を持たせれば、誤動作した際の影響範囲も広がる。

　4つ目は、監視不足だ。API呼び出しやデータベースアクセス、クラウド操作などを記録していなければ、異常を事故発生後まで把握できない。

　5つ目は、人が介入するポイントが決まっていないことだ。調査や情報収集は自動化しても、本番環境の変更やデータ削除まで人の承認なしで実行させるべきとは限らない。

情シスが最初に実施すべきこと

　まず必要なのは、社内で稼働するAIエージェントの棚卸しだ。「どこで動いているか」「何にアクセスできるか」「どんな操作が可能か」を把握する。

　その上で、AIエージェントを企業IT環境で動作する1つのシステムとして扱い、少なくとも次の5つを実施したい。

1．最小権限を徹底する

　AIエージェントには、割り当てられたタスクの遂行に必要な権限だけを与える。利便性を理由に管理者権限を与えたり、将来使う可能性を理由に広範なアクセスを許可したりしない。

2．挙動を監視する

　API呼び出し、データベースアクセス、クラウドサービスの操作、ファイルの読み書きを記録する。

　例えば、普段アクセスしないデータベースを参照する、IAMの設定を変更する、これまで触れていなかったファイルを書き換えるといった挙動は、異常として検知できるようにする。

3．「正常な挙動」を決めておく

　AIエージェントが通常アクセスするシステム、API呼び出し回数、扱うデータ、実行する操作などを定義しておく。

　正常時の基準があれば、「突然API呼び出しが急増した」「通常は参照しないシステムへ接続した」といった変化を検知しやすくなる。

4．重要操作には人の承認を入れる

　全ての操作を人が確認していては、AIエージェントを使う意味が薄れる。重要なのは、事故時の影響を基準に線引きすることだ。

　公開情報の読み取りやレポート作成、計算などは自動化しやすい。一方、本番データベースの変更、システム設定の変更、機密情報の削除、管理者アカウントの作成、金融取引、アプリケーションの本番展開などは、人の承認を挟むべき操作だ。

5．すぐ止められる仕組みを用意する

　異常を検知しても、AIエージェントを止められなければ意味がない。問題が発生した際に、認証情報を失効させる、セッションやプロセスを終了する、ネットワークから隔離する、外部ツールとの連携を遮断するといった対応を即座に実行できるようにする。

外部のAIエージェントから自社をどう守るか

　OpenAIやAnthropicの事例が示すように、想定外にインターネットへ接続したAIエージェントが外部システムへアクセスする可能性もある。

　このような場合に備えるための基本は特殊なものではない。重要なのは、外部から侵入されることを前提に「侵入後の行動範囲を狭くする」ことだ。

　APIには強固な認証と認可を設定し、認証に成功したからといって広範なアクセスを許可しない。サードパーティアプリケーションやサービスアカウントにも最小権限を適用し、アクセスできるデータやシステムを限定する。

　同時に、外部からのAPIリクエストや認証試行、ネットワーク接続を監視する。リクエストの急増や、普段アクセスされないシステムへの接続などを異常として検知する仕組みも必要になる。

　さらに、社内のどのAIサービスやサードパーティ連携が、どのシステムやデータへのアクセス権を持つのかを定期的に棚卸しする。不要になった権限は削除する。

「AIだから特別」ではなく権限と影響範囲を管理する

　AIエージェントの暴走対策というと、新しいセキュリティ製品やAI特有の防御策が必要なのではないかという声もある。しかし基本となるのは、最小権限、監視、認可、ゼロトラスト、人による承認といった既存のセキュリティ原則だ。

　従来と異なるのは、AIエージェントが人より高速に、複数の操作を連続して実行できる点にある。

　情報システム部門が確認すべきなのは、「AIエージェントを導入しているか」だけではない。「何にアクセスできるのか」「どこまで自律的に操作できるのか」「異常時に誰が止めるのか」まで把握することが、事故の影響を抑える第一歩になる。