ニュース
PwCとトレンドマイクロ、AIエージェントのリスクに関する共同レポートを公開――AIエージェントによる攻撃実験も紹介
2026年7月21日 06:15
PwCコンサルティング合同会社とトレンドマイクロ株式会社は17日、共同で取り組んだレポート「自律するAIの時代：AIエージェントのサイバーリスクと実践的ガバナンス」を公開した。
同日開催された説明会では、AIエージェントの自律レベルによって発生しうるリスクを示した上で、AIエージェントへの攻撃の実証結果を紹介。また、AIエージェントを安全に本番環境に投入するための「AI統制保証水準（AI-CAL：AI Control Assurance Level）」を提唱した。
PwCコンサルティング トラストコンサルティング事業部 執行役員パートナーの村上純一氏は、まず、「AIエージェントの自律レベルは6段階に分類できる」と話す。
自律レベル0は、人間がすべてを操作し決定するレベルで、自律レベル1は、AIが情報提供、分析、選択肢を提示し、人間の意思決定を支援するレベルだ。自律レベル2は、AIがタスクを実行するものの、人間がそのプロセスを常時監視し、必要に応じて介入するレベルである。
自律レベル3は、人間が事前に設定したルールやポリシーの範囲でAIが自律的に判断し実行するが、条件外の事象が発生した場合は停止するか人間に判断を仰ぐという条件的自律の段階だ。
自律レベル4は、与えられた目標に対しAIが自ら状況を認識して評価し、計画を立ててタスクを実行する。人間はプロセスを直接監視せず、結果の確認や例外的な状況でのみ介入する高度な自律レベルとなる。
そして自律レベル5では、人間が初期の目標のみ設定し、その後AIが自ら計画、実行、評価、目標修正を行い、人間の介入なしに継続的にタスクを実行するという、完全な自律に達した状態を示す。
村上氏は、「AIエージェントの自律レベルが高まるにつれ、直面するリスクの質そのものが変化する」と指摘する。自律レベルが低い段階での主なリスクは、AIが生成する情報の正確さや的確さ、データセキュリティやプライバシーなどだが、「自律レベルが高まると、意図しない行動が発生したり、設定したルールやポリシーのすき間を突かれて望まない行動が誘発されたりする可能性が高まる。また、複数のエージェントが連携して処理をするようになると、エージェント同士のやり取りや最終的な結果に至る経緯が把握しづらくなる」と警告する。
そこで村上氏は、AIエージェントで考慮すべき論点として、「非人間アイデンティティ（NHI）の管理」、「ヒューマン・イン・ザ・ループ（HITL）の設計および運用」、「外部環境との安全な相互作用」を挙げる。
NHIの管理については、NHIの作成や削除に関する正式なポリシーを持つ組織が約2割にとどまっている点を指摘。特に、「過剰な権限付与」「明確な所有権／説明責任の欠如」「可視性の欠如」が懸念されているとし、「これらは独立した問題ではなく、相互に影響し問題を悪化させる。個別対処ではなく、非人間アイデンティティのライフサイクル全体を管理するプロセスを構築し運用することが重要だ」とした。
HITLの設計と運用については、「AIエージェントの自律的な判断や行動に対する人間の関与と統制の仕組みが必要だ」と村上氏。これが欠けると、判断プロセスのブラックボックス化による説明不能、目標逸脱や計画の暴走、エージェント間（A2A）の委任による説明責任の希薄化といったリスクが生じるという。
外部環境との安全な相互作用については、「外部のデータやツール、システムと安全に接するための設計が求められる」と村上氏。対策を怠れば、信頼できないデータによる行動の乗っ取りやメモリ汚染、ツールの悪用による権限昇格やリソース浪費、サプライチェーンへのバックドア混入や学習データ汚染などのリスクが発生するとした。
AIエージェントによるサイバー攻撃の実験が成功
ここで、トレンドマイクロ スレット＆プロダクトマーケティング部 セキュリティエバンジェリスト・シニアスレットリサーチャーの佐藤健氏は、AIエージェントの実証環境でサイバー攻撃を実施するという同社の実験について紹介した。
ひとつ目の実験では、公開Webフォームから送信されたサポートチケットに不正な命令を紛れ込ませ、AIエージェントが通常業務として内容を読み取る際にその命令が発動する攻撃を検証した。AIエージェントはチケット本文を処理する過程でデータベースツールを連鎖的に呼び出し、認証トークンを含む機密情報を顧客レコードに書き込み、攻撃者が閲覧できる状態にしたという。
もうひとつの実験では、本人確認（KYC）システムを対象に、パスポート画像の中に監査メモを装った不正命令を埋め込む攻撃を実証した。画像がOCR処理された後も隠しテキストが残り、AIエージェントが旅券情報を抽出する際にその命令が作動、ほかの顧客の氏名や旅券番号などのパスポート情報を窃取することに成功した。
これらの結果から、佐藤氏はAIエージェントにおける構造的な問題として、「制約されたUIと広範なデータベース権限との間に生じる権限ギャップが、エージェントを事実上の権限昇格の橋渡し役にしてしまう」と指摘。また、不正な命令が通常業務データに紛れ込み、後からAIエージェントが処理する際に発動する保存型インジェクションは、「侵入と発動の時間差によって検知が難しくなる」と説明した。
さらに、AIエージェントに許可された正規のツールが連鎖的に悪用され、追加の不正プログラムを使わずとも情報流出が成立してしまう構造が明らかになったほか、AIエージェント自体が新たなアタックサーフェスとなり、今後攻撃者の標的として狙われる可能性が高まると警告した。
AI統制保証水準（AI-CAL）とは
こうしたリスクを示した上で、PwCではAIエージェントを安全に本番環境に投入できる水準を定義する「AI統制保証水準（AI-CAL：AI Control Assurance Level）」を提唱している。
AI-CALは、AIの自律レベルに応じて、どの統制要件を満たせば本番投入できるかを判断するための評価基準だ。PwCコンサルティング トラストコンサルティング事業部 ディレクターの柴田健久氏は、「AIエージェントのリスクは、権限、計画、ツール実行、記憶、外部接続などが連鎖して顕在化するため、個別対策の有無だけでは本番投入の可否を判断できない。AI-CALは、こうした投入判断を技術論だけでなく、経営層にも説明可能な形で整理するための枠組みだ」としている。
AI-CALの水準は、保証水準1（AIの自律レベル1～2）、保証水準2（AIの自律レベル3）、保証水準3（AIの自律レベル4）、保証水準4（AIの自律レベル5）となっている。
AI-CAL1は、AIをあくまで人間の補助に限定し、利用ポリシーで誤用を防ぎ、使えるツールを最小限に絞り、入力や承認などの履歴が追跡できるようにするという、人間中心の最低限の安全枠を定義した水準だ。
AI-CAL2は、AIが条件付きで自律行動することを許可しつつ、JIT（Just-In Time）権限や承認ゲート、サンドボックスを採用。また、計画・ツール実行・メモリを時系列で追跡できるようにするという、限定自律を安全に許容するための最低限の構造を定義した水準となる。
AI-CAL3は、AIが高度に自律して多段タスクを進める状況でも全行動をエンドツーエンドで追跡し、危険な連鎖を途中で部分停止でき、長期記憶の完全性を保証してループや再帰処理に対する上限設定を置くという、連鎖自律を安全に維持するにあたって最低限の統制構造を定義した水準となる。
そしてAI-CAL4は、複数エージェントが自律連携する環境で、委任チェーンを完全に管理し、通信境界と共有状態を隔離しつつ、全体停止までの多段階の制御を備えるという、システム横断の自律を安全に成立させるにあたって最低限の構造を定義した水準となる。
柴田氏は、「AIエージェントは、思考、計画、ツール実行、記憶、連携が組み合わさって動作するため、一部の統制不備が全体のリスクにつながる。一部の領域だけで高い対策水準を確保していても、本番投入可否の判断は全体として行う必要がある」とし、AI-CALの評価では複数の機能ドメインと観測性や制御性を合わせて確認するようにと強調する。
優先的に整備すべき領域としては、「権限管理の確立」「観測性・制御性の基盤整備」「AI-CAL評価プロセスの制度化」の3点だと柴田氏はいう。
権限管理は、通常の入力と高権限エージェントの間に生じるギャップこそが攻撃の根本原因であることから、エージェントの識別や最小権限、JIT権限、代理権限、承認ゲートといった予防の基盤を形成するという。観測性・制御性の整備は、予防が破られた後に「気づいて止める」ための基盤で、入出力ログや計画履歴、ツール呼び出し、メモリー更新の追跡、部分停止や権限縮退といった仕組みが不可欠だ。
AI-CAL評価プロセスの制度化は、モデル更新やツール追加、共有メモリ導入によってリスク水準が変動する現実を踏まえ、導入時審査や変更時再評価、承認権限、経営層への報告を通じて統制判断を継続的に維持するための枠組みだ。これら3領域は論理的に連動しているため、「企業はこの順序を意識しつつ、可能な限り並行して整備を進めることが望ましい」と柴田氏は述べた。
