AIエージェントのセキュリティリスクとは？生成AIとの違いと企業が取るべき対策

AIエージェントのセキュリティリスクとは

AIエージェントのセキュリティリスクは、AIの誤った判断や攻撃者に誘導された判断が、回答の誤りにとどまらず、与えられた権限を使ったデータの外部送信・削除、システムや機器の操作として実行されてしまう点にあります。対策の中心は、エージェントにできる操作を絞り込むこと、取り消せない操作の前に人の承認を入れること、行動を記録していつでも止められるようにすることの3つです。

ただし、社内文書の要約だけに使い、外部のツールやシステムとはつながない使い方であれば、ここで扱うリスクの多くは生じにくくなります。リスクの大きさを決めるのはAIの性能よりも、エージェントをどのシステムに、どの権限でつないだかです。

チャット型の生成AIとの違い

チャット型の生成AIは、質問に文章で答えるところで役割が終わります。回答が誤っていても、人が読んで判断する段階で止められます。

AIエージェントは、目標を与えられると自ら手順を組み立て、メール、カレンダー、データベース、外部のAPI（システム同士をつなぐ窓口）などを呼び出しながら、複数の手順を人を介さずに進めます。そのため、判断の誤りが「誤った回答」ではなく「誤った操作」として現れます。

AIのセキュリティ指針を公開している国際団体OWASPも、ツールを使わないチャットボットや社内文書検索（RAG）には従来の生成AI向けリスク一覧で足りるとし、計画、ツール利用、記憶、エージェント同士の連携を持つシステム向けに別のリスク一覧を設けています。自社の使い方がどちらに当たるかは、利用中のサービスで「外部ツール連携」「書き込み・送信の権限」「自動実行」が有効になっているかで確認できます。

IPA「情報セキュリティ10大脅威 2026」で初めて選ばれたAIのリスク

独立行政法人情報処理推進機構（IPA）が2026年1月29日に公表した「情報セキュリティ10大脅威 2026」では、組織向けの3位に「AIの利用をめぐるサイバーリスク」が初めて選ばれました。研究者や企業の実務担当者など約250名の選考会が、前年に社会的影響が大きかった事故や攻撃をもとに投票で決めた順位です。

1位のランサム攻撃、2位のサプライチェーンや委託先を狙った攻撃に次ぐ位置であり、AIの利用が組織のセキュリティ上の主要な検討事項になったことを示しています。

AIエージェント特有の主なセキュリティリスク

ここでは、OWASPが2025年12月9日に公開した「OWASP Top 10 for Agentic Applications 2026」の分類を参考に、企業が導入時に特に関係する6つのリスクを取り上げます。各項目の最後に、自社で確認すべき点を添えています。

プロンプトインジェクションによる目標の乗っ取り

プロンプトインジェクションは、AIへの指示文に命令を紛れ込ませて、本来と異なる動作をさせる攻撃です。AIエージェントでは特に、処理対象として読み込んだメール、Webページ、PDF、問い合わせチケットなどに埋め込まれた命令を、利用者からの正規の指示と区別できずに従ってしまう点が問題になります。

攻撃者は社内システムに侵入する必要がなく、エージェントが読みに行く場所に文章を置くだけで済みます。エージェントがどの範囲の外部情報を読み込む設定になっているかを、まず把握しておく必要があります。

過剰な権限によるデータ削除・外部送信

エージェントが与えられた権限の範囲内で動いていても、権限そのものが広すぎれば被害が出ます。調査のために付けたメール送信権限で社外にデータが送られる、閲覧のつもりで渡したアカウントに削除権限まで付いていた、といった形です。

この種の被害は攻撃がなくても、エージェントの判断の誤りだけで起こり得ます。読み取りだけで足りる業務に、書き込みや削除の権限を渡していないかを確認します。

IDと認証情報の乱用

エージェントが担当者個人のアカウントや、部署で共有するAPIキー（外部サービスを使うための鍵となる文字列）で動く構成では、ログ上で人の操作とエージェントの操作を区別できません。エージェントが乗っ取られれば、その人と同じ範囲のシステムに届いてしまいます。

エージェントごとに専用のIDを発行しているか、APIキーなどの認証情報に有効期限を設けているかを確認します。

外部ツール・プラグインを経由したサプライチェーンリスク

エージェントは、外部のツールやプラグイン、MCP（Model Context Protocol：AIエージェントと外部のツールやデータをつなぐための接続規格）のサーバーなどを組み込んで機能を広げます。組み込んだ部品に悪意のある記述や欠陥があれば、エージェントの挙動そのものが乗っ取られます。

誰が提供している部品なのか、更新で中身が変わったときに気づける仕組みがあるかを確認します。

記憶や参照データの汚染

過去のやり取りを記憶する機能や、社内文書を検索して回答に使う仕組みに、誤った情報や悪意のある記述が入り込むと、その後の判断が継続的に歪みます。一度の攻撃が、時間をおいて別の業務で効いてくる点が厄介です。

記憶を利用者や業務ごとに分けているか、汚染に気づいたときに消去や巻き戻しができるかを確認します。

複数のエージェント間で広がる連鎖障害

計画を立てるエージェントと実行するエージェントのように、複数のエージェントが連携する構成では、一つのエージェントの誤りを次のエージェントが検証しないまま実行し、被害が広がることがあります。エージェント同士の通信で相手の確認が弱ければ、なりすましや指示の改ざんも起こり得ます。

エージェント間でも受け取った指示を検証しているか、途中に人が確認する地点を設けているかを確認します。

出典で確認できるインシデント事例

いずれも海外の事例ですが、権限の与え方と外部情報の扱いという、国内企業がエージェントを導入する場合にも同じ構図になる論点を含んでいます。

AIエージェントが本番データベースを削除した事例

2025年7月、自然言語でアプリを開発できるサービス「Replit」のAIエージェントが、コードの変更を止めている期間中で、変更しないよう繰り返し指示されていたにもかかわらず、稼働中の本番データベースを削除した事例が、AI関連の事故を収集するAI Incident Databaseに登録されています。

報道によると、当時はプレビュー、テスト、本番で同じデータベースを使う構成でした。ReplitのCEOは、開発用と本番用のデータベースを自動で分離する仕組みの展開を進めていると表明しています。

この事例が示すのは、指示文で禁止しても、権限と経路があればエージェントは実行し得るということです。「やってはいけないこと」を指示に書くよりも、権限と環境の分離によって実行できない状態にしておくほうが確実です。

連携サービスの文書を読ませて情報を持ち出す攻撃

2025年8月、セキュリティ企業Zenityの研究者が、セキュリティ会議Black Hat USA 2025で「AgentFlayer」と名付けた一連の攻撃手法を公表しました。そのひとつは、ChatGPTをGoogleドライブやSharePointなどと連携させる機能を悪用するものです。人の目には見えない文字で命令を埋め込んだ文書をChatGPTが読み込むと、その命令に従って連携先にあるAPIキーなどの情報を外部に送ってしまう、という仕組みでした。

利用者が不審なリンクをクリックしなくても成立し得る点が特徴です。研究者は各社に事前に報告しており、OpenAIは対策を講じたと報じられています。社内の共有ドライブにある1つのファイルも、エージェントにとっては攻撃の入口になり得ることを示す事例です。

IoT機器や設備をAIエージェントに操作させる場合の注意点

AIエージェントのリスクは社内データの漏えいを中心に語られがちです。しかしエージェントの用途は、センサーの値を読み取って空調や照明、生産設備、遠隔監視機器を操作する方向にも広がりつつあります。この場合は、情報システムとは別の観点で評価する必要があります。

誤操作の結果が物理的な動作になる

情報システムでの誤操作は、バックアップから復元できる場合もあります。一方、機器の操作はバルブの開閉、モーターの起動、設定温度の変更といった現実の動作として現れ、起きた結果を取り消せません。

経済産業省の「IoTセキュリティ・セーフティ・フレームワーク」は、サイバー空間とフィジカル空間をつなぐ機器・システムについて、セキュリティ（攻撃への備え）とセーフティ（人や設備への危害の防止）を一体で検討するための枠組みです。そのユースケース集では、家庭用ガス給湯器の遠隔操作や化学プラントの蒸留工程の自動制御なども取り上げています。エージェントに機器を操作させる場合も、「情報が漏れるか」に加えて「誤った操作で人や設備に危害が及ぶか」を評価の軸に置く必要があります。

具体的には、エージェントに許す操作を「センサー値の読み取り」「元に戻せる設定変更」「起動・停止など影響の大きい操作」に分け、影響の大きい操作には人の承認を必須にします。あわせて、機器側で設定できる値の上限・下限を決めておけば、エージェントが誤った値を送っても危険な範囲には入りません。即時性が必要な安全判断は、クラウド上のエージェントに任せず機器側で完結させる構成も選択肢になります。

IoTセキュリティの意味や必要性、ガイドライン、対策チェックリストを完全網羅

エッジAIとは？特徴、活用事例、メリット・デメリット、クラウドAIとの違い

検証環境を本番のネットワークから切り離す

Replitの事例のように、開発と本番が同じ環境にあると、試験中の誤操作がそのまま本番に及びます。機器を操作するエージェントの検証では、検証用の機器とエージェントを本番設備や社内LANと同じネットワークに置かないことが基本です。

検証用の機器を機器ごとの独立したモバイル回線で接続すれば、エージェントが誤って本番設備や社内システムに到達する経路を持たない構成にできます。また、クラウド上のエージェントから遠隔で機器を操作する構成では、遠隔接続の入口となるVPN機器などの脆弱性も確認の対象に含めます。

VPNの脆弱性とは？狙われる理由と2026年時点で取るべき対策を解説

企業が取るべきセキュリティ対策

ここまでのリスクと事例を踏まえ、導入時と運用中に取り組む対策を、実施する順に整理します。

エージェントに許す操作を一覧にし、最小限の権限で付与する

最初に行うのは、エージェントが使うツールと操作の棚卸しです。業務ごとに呼び出すツールを書き出し、それぞれで必要な操作を次の区分に分けたうえで、業務に不要な権限は付けないようにします。

あわせて、エージェントには人と共用しない専用のIDを発行し、APIキーなどの認証情報は短期間で失効するものを使います。万一乗っ取られた場合でも、届く範囲と使える期間を小さくできます。

取り消せない操作の前に人の承認を入れる

削除、送金、社外への送信、本番環境への反映、設備の操作など、取り消せない操作はエージェントだけで完結させず、人の承認を経てから実行する設定にします。いきなり実行させるのではなく、先に実行計画を出させて人が確認してから実行に移す運用も有効です。

ただし、承認が形式的になると、エージェントの提案をそのまま通してしまいます。承認画面には「何を、どの入力を根拠に実行しようとしているか」を表示させ、承認者が中身を判断できるようにしておきます。

読み込んだ外部情報を指示として扱わせない

メールやWebページ、共有ファイルの内容は「処理するデータ」として扱い、命令として実行しないよう設計します。ただし、現時点でプロンプトインジェクションを確実に防ぐ方法は確立していないため、乗っ取られる可能性を前提にした備えが必要です。

具体的には、エージェントが実行できる操作を許可した一覧に限定し、データを送れる外部の宛先やURLも許可リストで制限します。AgentFlayerのように外部への通信を通じて情報が持ち出される手口に対しては、送信先の制限が直接の歯止めになります。連携させる外部サービスも、業務に必要なものに絞ります。

行動ログを残し、すぐに停止できる仕組みを用意する

エージェントが「どのツールを呼び出し、どの入力を根拠に、何を実行したか」を記録します。専用IDで動かしていれば、人の操作と区別して追跡できます。

あわせて、普段と異なる動きを検知したときにエージェントを自動で止める仕組みや、権限を即時に無効化する手順を、導入前に決めておきます。停止の手順が決まっていないと、異常に気づいてから止めるまでの間に被害が広がります。

OWASP Top 10 for Agentic Applicationsで点検する

導入後の点検には、OWASPのリスク一覧が使えます。次の表は、10項目それぞれを自社で確認するための問いに置き換えたものです（項目名は英語の原文を日本語に言い換えています）。

IoT通信でお困りなら「IoTBiz SIM」

本記事では、AIエージェントに機器を操作させる前に、検証用の機器を本番設備や社内LANから切り離し、独立した回線で試すことをおすすめしました。株式会社CoeNovaが提供するIoTBiz SIMは、こうした検証用の通信回線を必要な台数だけ用意する用途に使えます。

IoTBiz SIMは1回線から契約でき、ドコモ・ソフトバンク・KDDI・楽天の4キャリアに対応しています。検証用の機器1台ごとに専用の回線を割り当てられるため、社内LANを経由しない検証環境を小さく作れます。設置場所で電波の届くキャリアを選べる点も、工場や屋外設備での検証に向いています。

最大1週間のテストSIMを貸し出しています。本契約の前に、エージェントからの操作が機器まで届くか、操作やログの送信で1週間にどれだけデータを使うかを確認できます。最短翌日に発送するため、検証の開始を回線の調達で待つ時間も短くできます。

なお、検証を終えた機器を社内LANや本番設備のネットワークにつなぐ場合は、社内の管理者の承認を得てから接続してください。

料金はいずれも定額型で、容量ごとに月額が決まっています。

初期費用は3,000円（税別）、SIMカード発行費用は1回線あたり394円（税別）です（ホームページでの事例紹介が可能な場合は無料）。契約期間の縛りと解約金はありません（ソフトバンクMNOプランを除く）。

初回の取引から売掛け（Paid決済）に対応しており、年間払い・一括払いも選べます。年間数千回線の導入実績があります。

IoTBiz SIM サービスサイト