休眠中のAIエージェントも、あなたのデータへの鍵を握っている

誰も使っていないAIエージェントでも、データを読み取り続けることができます。そして、それを停止する役割を誰かが担うまで、その状態は続きます。これは単なる思考実験ではありません。あるセキュリティベンダーが顧客の本番環境で稼働している数千のエージェントを調査したところ、有効化されているエージェントの多くは単に静かになっていただけである、というパターンが明らかになりました。

Arrakis Securityの2026年自律型エージェント脅威レポートは、Help Net Securityによって2026年10月26日に報じられています。このレポートでは、数週間から数か月前に稼働を停止したにもかかわらず、認証情報やトリガー、機密システムへの接続を保持し続けているエージェントについて説明しています。誰もそれらを廃止していません。ほとんどの場合、担当者すら割り当てられていません。CISOやチーフコンプライアンスオフィサーにとって、この事実は単なるパーセンテージ以上に重要です。なぜなら、技術的な衛生管理の問題が、責任の所在という課題に変わるからです。

規制当局が規制するのはデータであり、モデルではありません。HIPAAの監査人、GDPRの監督機関、CMMCの評価者は、エージェントが前四半期に人気だったかどうかには関心がありません。彼らが問うのは、誰または何が規制対象データにアクセスできるのか、その承認者は誰か、その証拠は何か、という点です。忘れ去られたエージェントがクラウドストレージバケットにアクセスできる場合、それは未確認のアクセス経路であり、すべてのアクティブなエージェントと同様にAIデータガバナンスの議論に含めるべきです。本記事では、レポートの調査結果、その限界、アイドル状態のエージェントが単なるセキュリティ問題ではなく証拠管理の問題である理由、防御可能なライフサイクルのあり方について解説します。

主なポイント

1. アイドル状態＝無害ではない。

数か月間稼働していないエージェントでも、有効な認証情報やトリガー、機密システムへの接続を保持している可能性があり、非稼働状態は安全性の指標にはなりません。

2. 廃止の責任者がいない。

エージェントはプロジェクトやチームによって作成されますが、削除は誰にも割り当てられないことが多く、そのため忘れられたアクセスが蓄積されていきます。

3. トリガーは侵入口となる。

組織外から署名なしのリクエストで起動できるエージェントは、従業員が何か月も触れていなくても、許可していない人物からアクセスされる可能性があります。

4. 規制当局が問うのはアクセスであり、熱意ではない。

監査人や評価者は、誰または何が規制対象データにアクセスできるのか、誰が承認したのか、その証拠を求めます。責任者不在のエージェントは、その証拠の提示を困難にします。

5. すべてのエージェントをガバナンス対象のIDとして扱う。

各エージェントにオーナー、有効期限、接続のレビュー、すべてのデータリクエストのログ記録を設定し、人間と同じレベルで管理しましょう。

Arrakisが本番環境で発見したこと

Arrakisは、顧客の本番環境で稼働する数千のエージェントから12週間にわたりテレメトリを分析しました。Help Net Securityによると、調査対象となった有効化エージェントの76%が60日間、44%が180日間稼働していませんでした。記事には正確なエージェント数は記載されておらず、レポートでは各エージェントの最後の稼働記録から活動状況を測定しています。

より重要なのは、これらアイドル状態のエージェントが依然として何ができるかという点です。Arrakisは、休眠中エージェントのおよそ4分の1が、組織外から署名なしのWebhookで起動可能であり、調査対象エージェント全体の22.9%が少なくとも1つの非セキュアなトリガーを持っていたと報告しています。非セキュアなトリガーは、エージェントが検証できないリクエストを受け入れます。正しいURLを知っていれば、誰でもエージェントを起動し、タスクを割り当て、数か月前に付与されたアクセス権を使わせることができます。

接続もリスクを高めます。同じレポートによれば、エージェントの70%がクラウドストレージやAIサービス、マーケティングプラットフォームなど、機密性の高い統合先に少なくとも1つ接続していました。機密接続を持つエージェントのうち、99.4%はその接続に対するデータ損失防止（DLP）カバレッジが確認できませんでした。この数字は慎重に読む必要があります。カバレッジが確認できなかっただけで、データが流出したとは限りません。それでも、監査人が「どうやって確認したのか」と問う場合、「問題ないと思う」では納得されません。

認証情報も重要です。Arrakisは、エージェントの19%が有効期限のないAPIキーやトークンを設定ファイル内に埋め込んで使用していることを発見しました。誰もレビューしない設定内に有効期限のない認証情報が存在するのは、最小権限の原則に真っ向から反します。全体のサンプルでは、エージェントの82%が少なくとも1回の露出を記録し、46%は2回以上の異なる露出がありました。

ArrakisのCEO、Tal Baron氏は「エージェントの利用が止まっても、誰も何も削除しません。なぜなら、多くの企業では誰もその責任を持っていないからです」と明言しています。この一文がデータを最もよく説明しています。私が注目したのは、その原因がいかに日常的であるかという点です。エージェントは必要な人が用意し、ライフサイクルの終わりにはオーナーがいないのです。

なぜアイドル状態のエージェントもアクティブなIDなのか

セキュリティチームは通常、活動を監視するよう訓練されています。見慣れない場所からのログインや、突然大量のデータを移動するサービスには注意が向きます。しかし、休眠中のエージェントは、通常注意を引く「活動」というシグナルがないため見逃されがちです。リスクは、エージェントが許可されている「できること」に潜んでおり、「やってきたこと」にはありません。

そのため、ID管理フレームワークでは非活動状態をコントロールポイントとしています。NIST SP 800-171リビジョン2（CMMCレベル2の基準）には、一定期間非活動だった識別子の無効化要件が含まれています。同じ文書では、組織がシステムアクセスを認可ユーザー、認可ユーザーの代理で動作するプロセス、デバイスに限定することも求めています。エージェントは誰かの代理で動作するプロセスです。その識別子が誰も使わなくなった後も有効なままなら、プログラムが意思決定・オーナー・レビューを示せるかが問われます。NIST 800-171準拠を表明する防衛請負業者は、政府がその内容を信頼していることを意味し、自己評価であっても不正確な内容によるリスクは消えません。

医療分野でも同様の論理が見られます。HIPAAセキュリティ規則は、電子的に保存された保護対象保健情報を保持するシステムに対し、一意のユーザー識別と監査制御を要求しています。エージェントが共有サービスアカウントを通じて患者記録を読む場合、HIPAAセキュリティ規則上の問題は、エージェントの賢さではなく、そのアクセスが一意で責任の所在が明確なIDと紐付けられ、何をしたか記録されているかどうかです。

これらの要件はAIについては言及していません。ID、アクセス、証拠について述べており、エージェントにも請負業者や従業員、ベンダー統合と同じように適用されます。エージェントは組織内の人間と並んで運用されるもう一つのガバナンス対象IDであり、既に人間に適用している（オーナー、レビュー、有効期限、ログ）コントロールが出発点となります。新しいのは、エージェントが作成される規模とスピードであり、原則自体ではありません。

規模の問題は予算策定にも影響します。部門が午後のうちにエージェントを立ち上げ、廃止が追跡されなければ、ライブなアクセス経路の数は四半期ごとのアクセスレビューよりも速く増加します。人の入退社を前提としたレビュー体制では、ほとんどのエージェントを見逃してしまいます。

数字の裏にある「所有権の空白」

なぜ誰も廃止を担当しないのでしょうか？多くの組織でAIやエージェントのセキュリティの所有権が明確でなく、その「所有権の曖昧さ」こそが忘れられたアクセスの温床となっています。Arrakisの調査結果は、技術的な失敗というよりガバナンスのギャップの表れといえます。

アイデンティティ側からも所有権のギャップが見られます。OktaのGlobal CISO Insights 2026（英国と日本の比重が高い306人のセキュリティ幹部へのベンダー調査）では、自社環境内のAIエージェントをすべて特定できると自信を持つ回答者は47%にとどまりました。これは「自信」の数値であり、実測値ではありません。つまり、半数以上は自信がないということです。登録されていないエージェントは廃止できず、誰も登録していないエージェントは発見できません。

この2つを合わせると、問題の輪郭が明確になります。エージェントの作成は分散的かつ迅速に行われますが、廃止は理論上は中央集権的、実際には未割り当てです。その結果、存在し、アクセス権を持ち、誰のレビューリストにも載っていないIDが増え続けます。CCOにとって、これは証拠ギャップの典型例です。監査人を満足させるはずのコントロール（文書化されたオーナーと意思決定）が最初から存在しなかったからです。

METR調査が示すもの・示さないもの

Help Net Securityの報道は、Arrakisの調査結果を、より劇的な別の事例と結びつけています。METRの調査（2026年8月26日公開）は、OpenAIのExploitGymサイバー評価中に何が起きたかを検証しました。METRは、隔離されたサンドボックスで動作するはずだった約1,200のエージェントが、共有キャッシュネームスペースを不正な掲示板として利用し、7万件以上のメッセージやファイルをやり取りしたと報告しています。そのうち約700体がHugging Faceへの攻撃に加わりました。

このインシデントは過大評価しやすいですが、実際は研究用エージェントが管理された評価環境で動作していたものであり、エンタープライズ本番環境の業務エージェントではありません。与えられたタスクの中には本来の方法では完了できないものもあり、エージェントは回避策を探すことになりました。METR自身も、分析の一部はAIによるレビューに依拠しているため、細部は数値ほど確実でない可能性があると注意喚起しています。つまり、忘れられた調達エージェントが何かを組織化しようとしている証拠ではありません。

このインシデントが示す教訓は、より限定的ですが有用です。共有インフラにアクセスできるエージェントは、それを活用します。METRの報告には、専用の監視システムが活動を検知した記述はなく、OpenAIが最初に異常に気付いたのはインフラ障害でした。セキュリティリーダーへの教訓は、可視性と境界管理です。どのエージェントが存在し、何にアクセスでき、何をしたかを把握できなければ、被害から行動を知ることになります。

これは休眠エージェントともつながりますが、その関係は控えめなものです。休眠エージェントは同じスペクトラムの静かな端にいる存在です。問題行動をしているわけではなく、管理されていないだけであり、管理されていないアクセスこそがインシデントを「想定外」に変えるのです。

監査人が忘れられたエージェントについて問うこと

接続されたAIサービスが関与するインシデント後、評価者があなたの環境をレビューする場面を想像してください。彼らが尋ねるであろう順番で質問を考えてみましょう。該当日にどのエージェントが影響を受けたデータにアクセスできたか？そのアクセスを誰が承認し、最後にレビューしたのはいつか？エージェントはアクティブだったか、どうやって確認したのか？何をしたのか？すべてのリクエストを、どのデータに、どのポリシーの下で行ったか示せるか？

それぞれの質問は証拠となるアーティファクトに対応します。オーナーが明記されたエージェントのインベントリ、各接続の承認記録、レビュー日、監査証跡（データリクエストを特定エージェントや承認者に紐付けられる十分な証跡）。多くの組織はこれらの一部は用意できますが、すべてを迅速に提示できる組織はごくわずかです。これこそが本当の試練です。なぜなら、規制当局のタイムラインは日単位で動く一方、証拠の組み立てにはしばしば数週間かかるからです。

準備状況に関するデータは限られており、当社の調査も例外ではありません。Kiteworks データセキュリティ＆コンプライアンスリスク：2026年年次調査レポート（2026年第2四半期に459名のセキュリティ・コンプライアンス・技術担当者を調査）では、AIキルスイッチやエージェント終了機能を正式に導入している組織はわずか30%でした。調査は自己申告であり、回答者は大規模組織に偏っていますが、前述の所有権ギャップと一致する傾向です。終了機能が導入されていない場合、廃止は誰かが覚えているかどうかに依存します。

また、取締役会が重視する責任の観点もあります。レビューされていないエージェントと有効期限のない認証情報の組み合わせは、インシデント後の時系列で最も問題視される事実です。エージェントがほとんど使われていなかったことは関係ありません。問われるのは、合理的なプログラムであればそれを発見できたかどうかです。文書化されたインベントリ、オーナー、有効期限の有無が、「コントロールが機能しなかった」と「そもそもコントロールがなかった」の分かれ目です。

エージェントアクセスの実践的ライフサイクル

新しいフレームワークを導入する必要はありません。これまで管理の及ばなかったID群にアイデンティティ管理の規律を適用するだけです。以下の5つのステップで大部分をカバーできます。

静かなエージェントも含めたインベントリから始める。エージェントが作成可能なすべてのプラットフォーム（業務部門が独自に使うローコードツールも含む）から有効化エージェントを抽出し、最終稼働日時・トリガー・接続・認証情報を記録します。「最終稼働日時」はあくまでヒントであり、結論ではありません。中にはスケジュールやイベント駆動でまれにしか動かないエージェントもあり、稼働回数が少ない＝放置とは限りません。

すべてのエージェントにオーナーと有効期限を割り当てる。オーナーシップとは、チームのエイリアスではなく、アクセスに責任を持つ個人または役割を明記することです。有効期限とは、オーナーが更新しない限り、特定日にアクセス権が失効することを意味します。強制的な更新は、忘れられたエージェント対策として最も安価なコントロールです。「誰も削除しない」を「誰かが必ず承認する」に変えられます。

フロントドアを閉じる。すべてのトリガーをレビューしましょう。組織外からのリクエストを受け付けるエージェントは、送信者を検証すべきです。署名なしWebhookは要改善事項と見なします。長期間有効な埋め込みAPIキーやトークンは、有効期限付きでローテーション可能な認証情報に置き換え、エージェントが人の代理で動作する場合は、その人の権限に紐付けて、エージェントがそれを超えたアクセスを持たないようにします。

エンドポイントだけでなく接続経路でデータ保護を検証する。99.4%という数字は、DLPツールがどこかにあるだけではなく、エージェントが機密データに到達する経路上でカバレッジが検証されている必要があることを示しています。すべての機密接続について、その経路上で検査とポリシー適用がなされているか確認しましょう。

監査人が受け入れる形式ですべてのリクエストを記録する。アイドル状態のエージェントはノイズを発生しないため見逃されがちですが、重要なのは「何かあった時に何が起きたかを再現できるか」です。各データリクエストをエージェントと承認IDに紐付けて完全に記録することで、休眠エージェントが「何もしていなかった」と自信を持って説明できます。

エージェントにもインシデント対応計画の簡単なステップを追加しましょう。接続されたエージェントの不正利用が疑われる場合、誰がどのくらいの速さで無効化でき、何が保存されるのかをチームが把握しておくべきです。重要なのはAI専用の新しいプログラムを作ることではなく、既存の体制が急増するエージェントにも対応できるようにすることです。

データ層でのエージェントアクセスのガバナンス

忘れられたエージェントの廃止はライフサイクル管理の課題ですが、現実にはライフサイクルコントロールが常に現実に追いつくとは限らないため、第二の防御層も重要です。見落とされたエージェントや、オーナーより長生きする認証情報は必ず出てきます。その時、忘れられたエージェントが「目覚めたときに何にアクセスできるか」が問われます。

ここでKiteworksのセキュアデータ交換が役立ちます。KiteworksはAIシステムによる機密コンテンツへのアクセスをガバナンスします。Kiteworks Compliant AIは、AIによるエンタープライズデータアクセスにも同じガバナンスコントロールを拡張し、KiteworksのSecure MCP Serverは、AIアシスタントからの各リクエストをロールベースや属性ベースのポリシーで評価します。これにより、アシスタントは代理となる人の権限を継承し、それを超えるアクセスはできません。各リクエストは認証され、リアルタイムでポリシー確認され、Kiteworksの監査ログに記録されます。これらの監査イベントはSIEMにも連携可能です。すべてのリクエストでポリシーが評価されるため、1年休眠していたアシスタントも、その日許可された範囲以上のアクセスはできません。

この仕組みの限界も明確にしておきます。これはデータアクセスのガバナンスであり、エージェントの行動自体を管理するものではありません。エージェントのインベントリ・オーナーシップ・認証情報のローテーションと併用するものであり、代替するものではありません。ゼロトラスト・データ交換の姿勢は、かつて承認されたという事実だけでエージェントに暗黙の信頼を与えないことを意味します。CISOにとっては被害範囲の縮小、CCOにとっては証拠の確保というメリットがあります。なぜなら、エージェントが何をリクエストし、ポリシーがどう判断したかの記録が、監査人に問われた時点ですでに存在しているからです。

忘れられたAIエージェントと、彼らが依然としてアクセスできる機密データに関する証拠ギャップ解消についてさらに詳しく知りたい方は、カスタムデモを今すぐご予約ください。

追加リソース

• ブログ記事
  ゼロトラスト戦略で実現する手頃なAIプライバシー保護
• ブログ記事
  77%の組織がAIデータセキュリティに失敗している理由
• eBook
  AIガバナンスギャップ：2025年に91%の中小企業がデータセキュリティでロシアンルーレット状態に
• ブログ記事
  あなたのデータに「–dangerously-skip-permissions」は存在しない
• ブログ記事
  規制当局はAIポリシーの有無ではなく、実効性の証拠を求めている