会場で繰り返し耳にしたテーマは「可視化」だ。「見えないものは守れない」という原則があるが、今の組織は「何を知らないのかさえ分からない」状況にある。

　Trend Microの法人向けブランド「Trend AI」はセキュリティアプローチの4本柱の筆頭に可視化を据えた。LastPassは、従業員がアクセスしている範囲を情シスが把握できていない現状を受け、ブラウザ拡張機能を用いたSaaSアプリケーション検出機能を構築した。ESETもXDR（Extended Detection and Response）にAI観測機能を組み込み、管理者が環境内でどのAIツールが使われているかを一元管理できる仕組みを整えている。

　厄介なのは、もはや対象が「ChatGPT」のようなチャットbotだけではない点だ。AIは既に業務アプリケーションの中に組み込まれており、アプリケーションごと遮断することは現実的でない。例えば「Canva」を許可しているなら、それはAIを許可しているのと同じだ。Canvaの背後には複数のLLMがあり、エンタープライズデータ層がそれらに供給されている。Microsoft Copilot、Google WorkspaceのGemini、Adobeの統合機能なども同様だ。多くのアプリケーションが目立った宣伝もなしに、静かにAI機能を実装している。ChatGPTのドメインをブロックするアプローチは、既に形骸化した「2024年流の回答」にすぎない。

　筆者の調査でも、IT意思決定者の72％が「AIポリシーを策定済み」と回答した一方で、エンドユーザーでその内容を知っているのはわずか44％だった。さらに53％のユーザーが「未承認のAIツールを使っている」と認めている。IT部門の想定と現場の実態との乖離（かいり）は深刻で、AIが日常ツールに溶け込むにつれ、この溝はさらに深まるだろう。

AIの禁止は、さらなるシャドーAIを生むだけ

　企業がAIツールの利用を禁じ、代わりに（多くの場合、機能で劣る）社内用ツールをあてがうと、現場は「抜け道」を探し始める。例えば、スプレッドシートのスクリーンショットを個人のスマホアプリ経由でアップロードしたり、ネットワークフィルターをすり抜けるツールへコピー＆ペーストしたりといった具合だ。これらは、元の問題よりも追跡がはるかに困難だ。

　Islandの主張が印象的だった。同社は、IT部門が「ノー」ではなく「イエス」といえる環境を目指している。AIの利用を頭ごなしに禁止するのではなく、生産性を損なわない形でガードレールを設け、データを保護すべきだという考えだ。LastPassも同様の議論を展開している。強力なセキュリティ制御を備えた「承認済みツール」を従業員に提供すれば、彼らはそれを使う。提供しなければ、彼らは勝手に抜け道を作る。BYODやモバイルデバイスの普及期に学んだ通り、「全てをブロックする」手法は通用しない。私たちはAIと共生する方法を学ぶ時期に来ている。

　筆者が好む比喩を紹介したい。サードパーティー製AIを禁止したり社内ツールを導入したりして「データ漏えい（DLP）問題を解決した」と強弁するのは、照明をパッとつけて「ゴキブリ問題を解決した」と言うようなものだ。ゴキブリは物陰に隠れただけで、そこに存在し続けている。ただ見えなくなっただけなのだ。

エージェント型AIのセキュリティは、まだ誰も解決できていない

　展示会場で「エージェント型」という言葉が飛び交う中、一部の企業は「自律型AIがもたらす革命」の本質を理解していた。エンドユーザーが、自分と全く同じように振る舞うエージェントを走らせたとき、何が起きるか。それがエージェントによる行動なのか、ユーザー本人によるものなのか、どう判別すべきか。エージェントが書いたスクリプトやアプリケーションの安全性と正確性をどう担保するのか。

　Trend AIが紹介した事例が、この現状を完璧に象徴している。ある企業の最高経営責任者（CEO）が、200のAIエージェントを配備するよう命じた。これに最高情報セキュリティ責任者（CISO）はこう答えたという。「ランサムウェアへの対処法なら分かります。しかし、AIエージェントが乗っ取られた場合にどうすべきかは、見当もつきません」

　解決の糸口は、自律型エージェントに対するアイデンティティー管理と詳細な制御にある。LastPassや1Passwordといったパスワードマネジャーはこの課題に挑んでいるが、自律型エージェントに「ユーザーの代理」として認証情報をどう使わせるかという難問が残る。人間がリアルタイムで承認する仕組みならともかく、ユーザーがコーヒーを飲んでいる間にエージェントが勝手に航空券を予約したりSaaSへアクセスしたりするような場合、まだ決定的な正解はない。この分野の標準規格も存在しないのが現状だ。

　さらに「Model Context Protocol（MCP）」の問題もある。ESETが6万件以上のMCPをスキャンしたところ、そのセキュリティ状況は「完全に支離滅裂な状態」だったという。Palo Alto NetworksがKoi Securityの買収に動いたのも、この領域をカバーするためだ。

　最も衝撃的だったのは、メールセキュリティ企業の知見だ。エンドユーザー向けエージェントは、受信メールを瞬時に処理してしまうので、APIベースの事後検知型セキュリティツールが動作する前にアクションを完了させてしまうという。これはAI特有の脆弱（ぜいじゃく）性を突く攻撃の入り口となり、メールセキュリティプラットフォームの在り方そのものを変える可能性がある。

視線は再び「エンドポイント」へ

　RSACでの対話を通じて気付いたもう1つの変化は、エンドポイント、つまりPCへの注目が再燃していることだ。長年、ブラウザアプリケーションの普及によりPCの重要性は二の次とされてきた。AI PCという言葉も登場しこそしたが、これまでは決定的な活用例に欠けていた。しかし、AIエージェントと「トークンエコノミクス」がその状況を変えようとしている。

　実際の業務に耐えうるエージェントは、クラウドだけで完結するものではない。デバイス上のローカルデータやスクリプト、小型LLMを組み合わせ、必要に応じてクラウド上の高度な推論を利用する形が主流になる。これにより、エンドポイントは単なる「端末」から、AI処理の「アクティブな参加者」へと昇格する。

　また、知識労働者がエージェントを使い始めると、クラウドのトークン消費量は膨大になり、予算管理上の大きな課題となる。そうなれば、手元のデスクで眠っている計算リソースを活用する方が、コスト面でも合理的だ。NVIDIAのジェンスン・フアンCEOも「GTC 2026」で同様の主張を展開している。このテーマについては、後日あらためて深く掘り下げたい。

その他の潮流

　他にも多くのテーマがあった。CrowdStrikeによるSeraphicの買収や、ZscalerによるSquareXの買収により、ブラウザセキュリティが突如として脚光を浴びている。Islandはもはや単なるブラウザではなく、ワークスペースプラットフォームとしての地位を固めつつある。

　メールやメッセージングセキュリティの分野では、「ヒューマンリスクマネジメント」が最重要課題となっている。KnowBe4やProofpointなどの各社は、エンドユーザーの行動を可視化し、教育や意識向上につなげるソリューションを競い合っている。

　また、エンドポイントの管理とセキュリティの統合も加速している。自律的なエンドポイント管理により、ユーザーが抱える多様なデバイス、OS、アプリケーションを扱うチームやツール、プロセスの一元化が進んでいる。

　筆者にとって、RSAC 2026は、エンドユーザーコンピューティングとデジタルワークスペースがかつてないほど刺激的な領域になったことを証明するイベントとなった。