1つのポリシー、数千のエージェント：企業のAIガバナンスはなぜ大規模化すると破綻するのか

自律型AIエージェントの導入をめぐる議論の多くが、重要な課題としてガバナンスに焦点を当ててきたのは、もっともなことだ。Gartnerは最近、企業の40％が2027年までに自律型AIエージェントの格下げまたは廃止に踏み切ると予測した。原因は技術の失敗ではなく、ガバナンスの失敗だ。Gartnerのシニアディレクター兼アナリスト、Shiva Varmaによれば、問題の根源は「二者択一型のガバナンス」にある。つまり、エージェントを完全に制限するか、全面的に信頼するかのどちらかで、その中間を設けない考え方だ。

現在、多くの組織は、AIツールを全面的に禁止するか、十分な安全策を講じずにエージェントを導入するかのどちらかに傾いている。どちらの方法も、規模を拡大してもうまく機能しない。IT部門が外部のAIツールを禁止しても、シャドーAIは発生する。開発者は当然、何かを作り、問題を解決したいと考える。ガバナンスが過度に官僚的だと感じられれば、統制を迂回し、作業を進めるために未検証のツールを使うようになる。一方、安全策が不十分であれば、組織はセキュリティ、コンプライアンス、運用上のリスクにさらされ、それらは時間とともに増大していく。

課題は、AIエージェントを一律に統治することはできないという点にある。画一的な静的アプローチによるガバナンスの時代は終わりつつある。システムごとに基盤となるソフトウェア、機能、アクセス権限、自律性の度合いが異なり、リスクプロファイルも同じではないからだ。機械の速度で動くソフトウェアに、産業時代の静的な統制を適用してもうまくいかない。効果的なガバナンスを実現するには、各エージェントを支えるソフトウェアサプライチェーンを組織が把握し、エージェントがもたらすリスクに応じて統制を調整する必要がある。

エージェント型ソフトウェア開発環境のガバナンス

実効性のある統制を行うには、エージェントを構成するすべてのソフトウェア要素を適切に管理する必要がある。多くのチームは、こうしたエージェントを「信頼性が高く、信頼できる」と誤って捉え、その機能やセキュリティに影響する標準的な構成要素を見落としている。

自律型AIエージェントはどれも、見慣れた構成要素の積み重ねでできている。基盤モデル、企業データや外部システムに接続するMCPサーバー（Model Context Protocol）、機能を拡張するプラグイン、そしてエージェントの振る舞いを指示するスキルファイルだ。ITリーダーは、次の点を念頭に置く必要がある。

• AIエージェントはソフトウェアのエコシステム：モデル、MCP、ツール、プラグイン、スキル、オープンソースソフトウェアを含む標準的な構成に依存している。
• MCPサーバーにはリスクがある：エージェントを企業データに接続し、ほかのソフトウェアと同様にダウンロードできる。安全性が確認されていなければ、ハッカーにシステムへの侵入を許すおそれがある。たとえば、JFrog Securityの最近の調査では、次のようなソフトウェアサプライチェーン上のリスクがmcp-run-pythonで明らかになっている。そこには、サーバーサイドリクエストフォージェリ（SSRF）の脆弱性（CVE-2026-25904）と隔離の欠如に関する脆弱性（CVE-2026-25905）が含まれ、MCPが完全に乗っ取られる可能性がある。
• プラグインはリスクをさらに高める可能性がある：エージェントによって必要なプラグインは異なる（たとえば、OpenAIのプラグインはMicrosoft Copilotでは動作しない）。そのため、企業は多くの種類のプラグインを使い分けることになり、悪意あるプラグインが1つあれば、機密情報が盗まれるおそれがある。
• スキルがエージェントの振る舞いを定める：これらの指示ファイルは、エージェントに作業方法を指示する。開発者はコミュニティの情報源からファイルを取得するため、スキルが改ざんされると、気づかないうちにエージェントの動作が変わるおそれがある。
• オープンソースソフトウェアのリスク：エージェント型コーディングを使って構築されたソリューションのあらゆる機能は、その実現にオープンソースのバイナリを活用することを基盤としている。コーディングエージェントは、リスクに気づかないまま、安全なパッケージの代わりに悪意あるパッケージを同じように簡単に利用してしまう可能性がある。
• 可視化が鍵：多くのチームはこうした問題の存在を把握しておらず、エージェントが非常に脆弱な状態に置かれている。組織はいまだに、徹底した検査ではなく信頼を頼りにソフトウェア依存関係を管理している。

効果的なAIガバナンスにおける記録システムの役割

企業向けAIエージェントの導入競争は、時代遅れの発想では勝ち抜けない。あらゆるワークフローに一律で煩雑な手動承認プロセスを課せばイノベーションが阻害される一方、エージェントを監視しなければ、不必要なリスクが生じる。

AIを安全に大規模展開するには、パッケージ、バイナリ、MCP、スキル、依存関係などのソフトウェアコンポーネントを統治・保護するために、組織は多層的なアプローチを採用しなければならない。記録システムを確立すれば、企業は使用するすべてのコンポーネントを選定し、使用前にすべてをスキャンし、開発ライフサイクルの適切なタイミングでポリシーを適用するとともに、即座にロールバックできる体制を維持できる。そうすれば、次の脆弱性が公表されたとき、「自社は影響を受けるのか」という問いに、数日ではなく数分で答えられる。

しかし、AIエージェントは、より広範で、はるかに速いペースで変化する攻撃対象領域を生み出します。自律性の高いエージェントは、ツールの呼び出しを連鎖させ、データにアクセスし、コードを実行しながら、1分間に何百もの判断を下すことができます。その速度には、従来の導入時点での統制では追いつけません。事前審査や承認プロセスが引き続き重要な役割を果たすとしても、それだけでは、機械並みの速度で稼働するシステムを守ることはできません。

こうしたエージェントには、実行時に動的に制御し、異常な挙動を発生した瞬間に検知して、被害が広がる前に介入できる仕組みが必要です。いわばサーキットブレーカーのようなものです。問題が起きた瞬間に、侵害されたスキルへのアクセスを取り消す、信頼できないデータコンテキストを切断する、特定のツール呼び出しをブロックするといった対応を行います。

「一律対応」からの脱却

硬直的で一律なガバナンスは、失敗への確実な道筋です。この問題に先手を打てる時間は残り少なくなっており、エージェントの導入が加速するにつれて、ガバナンス上の負債も膨らんでいきます。そこで、セキュリティとエンジニアリングのリーダーが今すぐ取り組み、企業システムの強化に役立てられる4つのステップを紹介します。

1. すでに稼働しているものを洗い出す。ほとんどの企業は、組織内のAIエージェントを完全には把握できておらず、それらを動かすMCPサーバー、プラグイン、スキルファイルとなると、なおさらです。リスクを評価したり、何かを統制したりするには、まず何が存在するのかを知る必要があります。
2. AIコンポーネントをソフトウェア成果物として扱う。MCPサーバー、スキルファイル、プラグインは設定ではなくコードであり、オープンソースの依存関係と同じサプライチェーンリスクを伴います。サードパーティ製ライブラリに適用するのと同じ審査、スキャン、来歴追跡を実施してください。
3. 自律性のレベルに応じてエージェントを分類し、それに合わせて制御を調整する。自社にとって「自律性が高い」とは何を意味するのかを定め、その基準に沿った階層型のポリシーフレームワークを構築します。自律性の高いエージェントには、導入時のチェックだけでなく、実行時の制御が必要です。最も機密性の高いシステムから始め、対象を徐々に広げていきましょう。
4. 人間の開発者もエージェント型の開発者も迂回しないよう、ガバナンスを十分に迅速に機能させる。シャドーAIは、利用時の摩擦が原因で生じます。新しいMCPサーバーの承認に2週間かかるなら、開発者は別の方法を見つけるでしょう。AI開発の実際の進行速度に合わせて拡張できるのは、明確なポリシーを適用する自動スキャンだけです。

すべてのエージェントを一律に扱うのではなく、それぞれがもたらす実際のリスクを反映させることで、ガバナンスははるかに効果的になります。今後、他社をリードする企業は、各エージェントの実態に合わせてガバナンスを適用し、あらゆる境界でポリシーを適用し、すべてのコンポーネントを可視化し、問題が起きた瞬間にチームが対応できるようにする記録管理システムを備えた企業です。