従業員が AI Agent をパソコンに導入すると、管理職がまず尋ねることの多い質問は、「社内でいったい誰が利用しているのか？」というものです。もちろん確認すべき点ですが、棚卸しを終えたからといって、リスクを管理できたとは限りません。たとえば、営業担当者は AI Agent で過去の注文を検索するだけでよいのに、システム上では管理者権限が付与されている場合があります。また、購買担当者が出所不明のスキルをダウンロードすれば、AI Agent がローカルファイルを読み取ったり、アプリケーション・プログラミング・インターフェース（application programming interface、API）を呼び出したり、さらには本来触れるべきではないデータを変更したりする可能性があります。
TechOrange の報道では、TeamT5 のシニアマネージャーである侯翔齡氏の見解として、企業はまず社内にどのような AI Agent が存在し、どのモデルが使用され、規定に準拠しているかを把握したうえで、権限、スキル、機密データへのアクセス状況を継続的に確認する必要があると伝えています。また、Gravitee の調査として、回答企業の8割以上が大規模言語モデル（large language model、LLM）または AI Agent を導入している一方、監視または保護の対象となっている AI Agent の割合は50％未満であるとも報じています。ただし、原文では回答企業の数、地域、業種別の分布が示されていません。そのため、この数字は企業が管理上の不備を確認するための注意喚起として捉えるべきであり、自社のリスク比率として直接当てはめるべきではありません。
棚卸し後は、AI Agent がアクセスできるデータも確認する
企業が棚卸しを終えると、「社内にどのような AI Agent があるか」を把握できます。次に確認すべきなのは、「それぞれの AI Agent が何を実行できるか」です。製品名、バージョン、インストール先だけでなく、各 AI Agent がアクセスするデータベース、共有フォルダ、ローカルファイル、API、外部ドメインを一覧化し、どの情報を読み取り、変更、削除、送信できるのかも明記する必要があります。この一覧があれば、IT、情報セキュリティ、事業部門の責任者が共同で、「この業務はデータの検索だけでよいのか、それとも本当にデータの変更が必要なのか」を確認できます。
営業の見積業務を例にすると、AI Agent が過去の注文や価格ルールを検索するだけであれば、注文を削除したり、顧客マスタを変更したりする権限は必要ありません。購買時の価格比較も同様です。業務上、仕入先の見積価格と納期を参照するだけでよいなら、管理者権限を削除し、呼び出せる API も制限すべきです。AI Agent が結果を外部サービスへ送信する必要がある場合は、接続先のドメイン、送信する項目、その接続が実際に業務上必要かどうかを一つずつ確認しなければなりません。利便性だけを理由に、すべての接続を許可してはいけません。
原文では、リスクを3つの方向に分類しています。ツールの用途説明が改ざんされるケース、ツールの出力に悪意のある要求が紛れ込むケース、スキルのサプライチェーンにあるコンテンツが変更されるケースです。いずれの攻撃であっても、最終的な被害の大きさは、AI Agent にどのような権限が付与されているかによって決まります。企業には、プロセス内に悪意のある指示が混入する可能性をあらかじめ想定し、データベース接続を社内ネットワーク内に制限したうえで、読み取り専用にすることを推奨します。外部ドメインへの接続は、まず一律に拒否し、その後、個別に審査して許可することで、想定される被害を抑えられます。ただし、権限の制限はスキルの審査に代わるものではありません。企業は、この2つの防御策をそれぞれ確実に実施する必要があります。
この段階では、まず具体的な取り組みを1つ実施できます。すでに本番稼働している業務を1つ選び、データの取得元から結果の送信先までを一覧化します。業務上、データの読み取り、変更、削除、外部接続が不要であれば、該当する権限を先に削除し、その後、業務責任者にプロセス全体を問題なく完了できるか確認してもらいます。
同僚が作成したスキルを、そのまま全社展開してもよいのか？
できません。スキル（Skills）は、定型的な指示、ツール、処理ルールを、繰り返し利用できる形にまとめたものです。企業がスキルを共通利用の対象にすると、その利用範囲は個人での試用から複数の部門へと拡大します。原文では、スキル内の指示が1行変更されるだけでも、AI Agent に環境データを攻撃者へ送信させる可能性があると注意を促しています。そのため、「同僚が使って問題がなかった」という事実だけでは、会社が利用を承認する根拠にはなりません。
企業には、スキルを「個人試用」と「社内共通」の2段階に分けることを推奨します。個人での試用期間中はテストデータのみを使用し、管理された環境で実行します。社内共通スキルへ移行する場合は、審査対象に加え、その業務を熟知する責任者を指定する必要があります。審査担当者は少なくとも、指示の内容、スキルが読み取るデータ、呼び出すツール、外部ドメインへの接続の有無、バージョン更新後の再確認担当者を確認しなければなりません。スキルの出所が不明な場合、明確な責任者が見つからない場合、または要求される権限が業務上必要な範囲を超えている場合は、展開を見送るべきです。
審査担当者は、コードだけを確認すればよいわけではありません。品質管理レポートを例にすると、情報セキュリティ担当者は接続やファイルアクセスの状況を確認できますが、どの項目が業務上必要であり、どの結果を社外へ送信できるのかを判断できるのは、品質管理部門の責任者だけです。そのため、IT、情報セキュリティ、事業部門がそれぞれの担当範囲を確認し、承認者、スキルのバージョン、承認日を記録する必要があります。すべての個人試用スキルを一度に社内標準へ組み込む必要はありません。まずは利用者数が最も多いスキルや、機密データを扱うスキルから着手できます。
権限を制限した後も、なぜ毎月ログを確認する必要があるのか？
権限、スキルのバージョン、業務プロセスはいずれも変更される可能性があります。そのため、企業は最初の承認を永久に有効なものとして扱うべきではありません。原文では、AI Agent の稼働開始後も継続的に評価・確認し、インシデントが発生してから対応するのでは遅いとしています。企業は追跡可能な監査ログ（audit log）を保存し、どの AI Agent がいつ、どのデータを読み取り、どのツールを呼び出したのか、いつ権限が変更されたのか、誰が監査ログをダウンロードしたのかを記録して、後から確認できるようにする必要があります。
毎月の確認で、膨大なログを最初から最後まで読み返す必要はありません。IT、情報セキュリティ、事業部門は、あらかじめいくつかの定例確認項目を設定できます。たとえば、勤務時間外に大量のデータを読み取っていないか、未承認のドメインに接続していないか、本来は検索だけを行う業務に書き込み権限が追加されていないか、共通スキルのバージョンが変更されていないか、といった項目です。異常項目ごとに対応責任者と完了期限を指定する必要があります。システムからログをエクスポートできても、定期的に確認する担当者がいなければ、そのログを管理に活用することはできません。
EgentWrX は、企業が活用できる複数の仕組みを提供しています。企業は、AI Agent から社内データベースへ社内ネットワーク経由で読み取り専用接続を行い、社外への接続はまず一律に拒否したうえで、ドメインごとに個別に許可できます。同僚が独自に作成したスキルを全社展開する場合は、事前に管理画面での審査を通過しなければなりません。AI Agent の操作は、エクスポート可能な監査ログとして記録され、ハッシュチェーン（hash chain）によって記録が改ざんされていないかを検証できます。管理者が監査ログをダウンロードした操作も記録されます。ただし、どのデータを使用可能とするのか、誰が承認を担当するのか、どのくらいの頻度で確認するのかは、企業側であらかじめ決める必要があります。プラットフォームが提供するのは実行と追跡のためのツールであり、どのリスクを許容するかは、最終的に管理職が判断しなければなりません。
棚卸し後は、まず機密データを扱う業務、または外部接続が必要な業務を1つ選んでテストすることを推奨します。不要な権限を削除し、共通スキルを確認したうえで、毎月ログをチェックします。すべての異常に対応責任者と完了期限が設定され、期限どおりに完了したかを追跡する担当者も決まった段階で、同じ取り組みを他の部門へ展開します。
よくある質問
AI Agent の棚卸しでは、製品とバージョンだけを記録すれば十分ですか？
十分ではありません。製品とバージョンに加えて、各 AI Agent が読み取れるデータ、呼び出せる API、使用するアカウント権限、接続する外部ドメインを一覧化し、用途と責任者も明記する必要があります。これにより、後から確認する際に、どの権限を削除すべきか判断できます。
検索だけを行う AI Agent には、どのような権限を付与すべきですか？
まずは読み取り専用権限を付与し、アクセスできる範囲を、業務の遂行に必要なデータベース、項目、ファイルに限定します。業務プロセス上、データの書き込みや削除が本当に必要な場合は、別途承認プロセスを設計する必要があり、管理者アカウントをそのまま使用してはいけません。
同僚が独自に作成したスキルは、いつ全社で利用できるようになりますか？
会社が指示の内容、データへのアクセス範囲、外部接続を確認し、責任者を指定した後であれば、共通スキルとして提供できます。個人での試用期間中はテストデータを使用し、スキルのバージョンが更新された場合は、内容と権限を再度確認する必要があります。
毎月、どのような AI Agent のログを確認すべきですか？
まず、異常なデータアクセス、未承認の外部接続、権限の変更、共通スキルのバージョン変更、管理者による監査ログのダウンロード履歴を確認します。異常ごとに対応責任者と完了期限を指定し、次回の確認時に改善されたかどうかを再確認する必要があります。
参考資料
- AI のリスクがハルシネーションから誤った行動へ――TeamT5 が企業の防御策を分析：ガバナンスは「可視化」から始まる — TechOrange による、企業の AI Agent リスク、エンドポイントの棚卸し、継続的な確認に関する TeamT5 の見解を紹介した記事。
