AIエージェントを「追えない、止められない」 約半数が経験する“暴走”、浮上する3つの盲点：AIエージェントを自動停止できる組織は17.5％

APIセキュリティベンダーSalt Securityの調査では、約半数の組織がAIエージェントによる意図しない行動を確認していることが分かった。一方で組織は、AIエージェントの想定外の行動を自動的に止められていない。対策として何が求められるのか。

[＠IT]

　APIセキュリティベンダーSalt Securityは2026年10月13日（米国時間）、AIエージェントとAPIのセキュリティに関する調査レポート「The State of Agentic AI and API Security 2H 2026」を公開した。調査は、380を超える組織のセキュリティとテクノロジーの専門家を対象に、AIエージェントに関する過去12カ月の経験を聞いたものだ。

　調査では、回答者の86.4％が、自組織で少なくとも1つのAIエージェントを稼働させていると回答。半数超は10以上のAIエージェントを稼働させている。

　AIエージェントの普及と同時に、その稼働に伴う新たな課題も浮上している。49.8％の組織は、「誰も意図、予期、許可していない行動をAIエージェントが過去1年に取ったことを確認した、または疑っている」と回答。想定外の行動には、外部APIの呼び出しやデータの変更、AIエージェントがアクセスすべきでなかったデータへのアクセスなどが含まれる。

AIエージェントの“暴走”に対応できない　企業が抱える3つのギャップ

　AIエージェントによる想定外の行動が多くの組織において経験される一方、予期しない振る舞いを始めたAIエージェントを自動で停止できる組織は17.5％にとどまっている。

　今回の調査からは、企業がAIエージェントを使う上で十分に対策を打てていない“3つのギャップ”が浮き彫りになった。

　Salt Securityは、AIエージェントの導入が急速に進む一方、多くの組織でセキュリティ対策が追い付いていないと指摘する。その背景として、AIエージェントの動作の仕組みが、従来のセキュリティ対策の前提を変えつつあることを挙げている。

　調査では、回答者の76.8％が「自組織のAIエージェントが、APIを呼び出す他のAIエージェントやツールを呼び出している」と回答した。

　AIエージェントは、ユーザーからの1つの指示を基に、複数のシステムやサービスをまたいで一連の処理を実行できる。その過程で、最終的な行動が元の指示から何段階も離れる可能性がある。

　Salt Securityは、個々のAPIリクエストや単一のセッションを前提に対策を講じてきたセキュリティチームにとって、こうした動作は根本的な変化を意味すると指摘する。

　同社は、企業のAIエージェントに対する統制能力には、主に「可視性」「封じ込め」「インフラ」の3つのギャップがあると説明している。

1．可視性のギャップ：AIエージェントが何をしたのか分からない

　全てのAIエージェントについて、最初の指示からエージェントの判断、ツールやAPIの呼び出し、最終的な結果まで、一連の行動を一貫して追跡できる組織は12.5％にとどまった。

　60％超の組織では、特定のAIエージェントが前日に何をしたかを把握するために、数時間から数日にわたる手作業が必要になるという。

　こうした状況では、AIエージェントが想定外の行動を取った際、何が起きたのかを特定するまでに時間がかかる。こうした調査・対応の遅れがインシデント対応上の問題になる。

2．封じ込めのギャップ：検知できても自動で止められない

　前述の通り、本番環境で予期しない振る舞いを始めたAIエージェントを自動で停止できる組織は17.5％にとどまった。大半の組織では、問題が発生した場合に手動で介入するか、アプリケーションをオフラインにする必要がある。

　Salt Securityは、AIエージェントの問題行動を事後的に検知しても、それだけでは被害を防げないと指摘する。何が起きたかを記録することはできても、既に実行された操作を取り消したり、その後の行動を止めたりできるとは限らない。

3．インフラのギャップ：管理できていないMCPサーバの存在

　回答者の32.9％が、許可されていない「MCP」（Model Context Protocol）サーバ、IT部門が把握していないシャドーMCPサーバ、設定に誤りがあるMCPサーバのいずれかを、過去12カ月に少なくとも1つ発見したと回答した。

　MCPは、AIエージェントが外部のツールやデータにアクセスするための仕組みであり、企業のAPIやデータベース、各種サービスへの接続にも利用される。セキュリティチームが存在を把握できず、検証や監視もできないMCPサーバは、適切に保護できない攻撃対象領域になる。

AIエージェントの安全運用に必要な3つの条件

　問題を検知できても、止められなければ意味がない。 自動停止できる組織が17.5％にとどまる現状は、AIエージェントのセキュリティ対策が「検知」だけでは不十分であることを物語っている。

　Salt Securityは、AIエージェントを安全に活用する上で、企業が確認すべき3つのポイントを挙げている。

1. どのようなAIエージェントが存在し、それぞれ何にアクセスできるのか
2. AIエージェントが何をしたのか、その行動を数日ではなく数分で再構成できるか
3. 意図しない行動が取り返しのつかない結果を招く前に、AIエージェントを停止できるか

　同社は、これらはAIエージェントの自律性を持続可能なものにするために必要だと説明する。業務遂行に必要なアクセス権限をAIエージェントに与えながらも、その行動を把握し、統制し、必要に応じて停止できる状態を維持することが求められるという。