Black Kiteの2026年AIサプライチェーンレポート：AIをめぐる取引関係に潜むリスク

Black Kiteの2026年AIサプライチェーンレポート：AIをめぐる取引関係に潜むリスクによると、高度なAIを提供する企業にも、よく見られるサイバーセキュリティ上の弱点がある。同社がAI企業18,160社を対象に外部評価を行ったところ、調査対象の34.2%で重大な未修正の脆弱性が確認され、メール認証に弱点がある企業はさらに多かった。

このレポートの中心的な主張は、AIを導入することで生じるのは、単なるソフトウェア上の関係にとどまらないということだ。顧客は、サプライヤーのインフラ、製品を構成するコンポーネント、そして連携機能に付与された権限に伴うリスクも引き受ける。AIツールが業務システム内で処理を実行できるようになるにつれ、こうした取引関係も、他の重要なサプライヤーと同様に精査する必要がある。

「AIサプライチェーンは、特殊な形で失敗しているわけではありません。ありふれた形で失敗しているのです」と、Black Kiteの最高調査・インテリジェンス責任者、Ferhat Dikbiyik氏は述べた。この調査結果により、パッチ適用、認証情報の保護、連携機能へのアクセスが議論の中心に据えられている。

AIサプライヤーの大規模な集団に見られる基本的なセキュリティ上の欠陥

Black Kiteは、商用企業データベースをもとに調査対象企業を選定し、事業内容の説明と公開ウェブサイトを確認して、各社の製品またはサービスの中核にAIが位置づけられていることを確かめた。企業単位のセキュリティ状況に関する分析には、2026年9月と10月のデータを使用している。

評価の結果、次のことが明らかになった。

• 34.2%の企業で、外部から確認できる重大な未修正の脆弱性が少なくとも1件見つかった。
• 9.8%の企業で、CISAの既知の悪用済み脆弱性（KEV）カタログに掲載された脆弱性が確認された。
• 61.7%の企業にDMARCの弱点があり、DKIMとSPFの弱点はそれぞれ37.3%、11.2%で確認された。
• 29.7%の企業が、Black Kiteのランサムウェア脆弱性指数で同社の重大とする基準値である0.4以上に達していた。
• 6.8%の企業について、情報窃取型マルウェアが収集した記録に、関連する企業のログイン情報が含まれていた。

これらの指標が示すのは、それぞれ異なる事柄だ。KEVに掲載された脆弱性は、世界のどこかで悪用された履歴が記録されていることを意味するが、その存在だけで今回の調査対象となったサプライヤーが攻撃を受けたとは言えない。同様に、ランサムウェアへの脆弱性スコアは、調査の優先順位を決めるための指標であり、特定の企業がランサムウェア被害に遭う確率を示すものではない。

AIサプライヤーも通常の企業ドメインや業務プロセスを運用しているため、メール認証は重要だ。認証の適用が不十分だったり、強制されていなかったりすると、AI製品自体が高度な技術を備えていても、ドメインのなりすましが容易になる可能性がある。DMARC、DKIM、SPFの数値には重複があるため、合算してはならない。

AIのブランド力よりもサプライヤーの役割が重要

このレポートでは、エコシステムを大きく6つの活動グループに分類している。モデル、コンピューティングインフラ、データサービスなどの基盤技術は、全体の約10%を占める。日常業務向けアプリケーションは約31%であり、他の組織向けにAIを開発・導入する企業は約23%を占める。

この分類からは、知名度の高いモデルプロバイダーだけに注目していては、企業がさらされるリスクのかなりの部分を見落とす理由が分かる。インテグレーター、クラウドサービスプロバイダー、データを扱う企業、カスタマーサービスプラットフォームは、顧客のシステムや情報に近いところで業務を行うことがある。

こうした役割を担う企業では、認証情報に関する問題が特に顕著だった。Black Kiteによると、情報窃取型マルウェアの記録に関連する企業ログイン情報が含まれていた割合は、クラウドAIソリューションプロバイダーで19.9%に上った。モデルおよびプラットフォーム開発企業では4.1%だった。データおよびラベリング企業は13.9%、カスタマーサービスプラットフォームは11.5%だった。

懸念されるのは、こうした認証情報がまだ有効な場合に何へのアクセスを可能にするかであり、露出したログイン情報がすべて使用されたと決めつけることではない。サプライヤーの審査では、発見された問題を購入するサービスに結びつけて評価する必要がある。無関係な業務ツールに使う認証情報と、顧客向けの本番環境にアクセスできる認証情報とでは、もたらし得る影響が大きく異なる。

AIサプライヤー自身も依存関係を抱えている

このレポートの第2段階では、AI製品を支えるソフトウェアコンポーネントを調査している。Black Kiteは、n8n、Langflow、LiteLLMに関連する問題が見つかったAI企業を105社特定した。これらのツールは、モデル、ワークフロー、連携サービスの間に位置することがある。

共通の依存先があると、ベンダー登録簿上では多様な調達先を確保しているように見えても、リスクが集中する可能性がある。別々に購入した複数のAIサービスが、同じワークフロープラットフォーム、モデルルーター、ライブラリ、またはクラウドインフラに依存している場合がある。そのため、共通レイヤーにセキュリティ上の問題が発生すると、複数のサプライヤーとの関係にまたがる連携対応が必要になり得る。

実務上の論点は、サプライヤーが影響を受けたコンポーネントを特定し、どの環境で使われているかを把握したうえで、速やかに修正または隔離できるかどうかだ。顧客は、そのコンポーネントがどの認証情報や権限を保持しているかも把握する必要がある。ソフトウェアの脆弱性が他のシステムへの侵入経路となる場合、影響がより深刻になるからだ。

MCPの調査結果が示す、連携機能の権限の重要性

Black Kiteは別途、179社のAI企業に帰属するとされる、公開情報から確認可能なModel Context Protocol（MCP）サーバーのエントリー305件を調査した。これらのエントリー全体で1,732件の指摘事項が記録され、そのうち48.8％が「高」または「重大」と評価された。重大と評価された77件の指摘事項のうち、87％はコードインジェクションまたはコマンドインジェクションに関するものだった。

MCPは、AIアプリケーションがツールやデータソースに接続するための標準化されたインターフェースを提供する。実装によっては、接続されたサーバーが、文書の読み取り、データベースへの問い合わせ、レコードの更新、その他の操作を実行する機能を公開する場合がある。そのため、広範な権限を持つ脆弱なコンポーネントは、AIアプリケーション自体にとどまらず、より広い範囲を危険にさらす可能性がある。

分母が重要である。48.8％という数値が示すのは記録された指摘事項の割合であり、脆弱なAI企業全体の割合でも、本番環境に導入されたMCPの割合でもない。データセットの対象は、公開情報から確認可能なリポジトリ、パッケージ、ホスト型コンポーネントである。ドメインの帰属情報だけでは、本番環境で実際に使用されているとは確認できず、非公開のMCP環境は分析の対象外だった。

企業のチームにとっては、接続先を一覧化し、必要な作業に限って権限を付与し、アクセス権をどれほど迅速に取り消せるかをテストすることが重要となる。サプライヤーを外部から調査しても、顧客が自社の環境内で付与した権限のすべてを把握することはできない。

調査結果を過大解釈せずに活用する方法

この調査は外部から実施され、評価対象企業のシステムにはアクセスしていない。重大な脆弱性に関する指摘は、通常、確認されたソフトウェアのバージョンと公表済みの脆弱性を照合したものだが、Black Kiteは脆弱性の悪用を試みていない。企業の6.5％で報告されたボットネット関連の兆候と、44.3％で報告された異常なネットワーク活動は、調査が必要なものの、それだけで侵害があったと証明するものではない。

可視性の違いも比較に影響する。Forbes AI 50を対象とした補足調査では、52％で重大な脆弱性に関する指摘があり、28％ではインフォスティーラーの記録に関連する認証情報が見つかった。デジタル上の足跡が大きいほど問題を観測する機会も増えるため、こうした数値を、どの種類の企業が最も安全かを単純に順位付けするものと見なすべきではない。

Black Kiteは、サプライヤーのリスク露出分析やランサムウェアへの脆弱性を示す指標など、第三者のサイバーリスクに関する情報提供とモニタリングを手がけている。同社のレポートは、対象集団と手法を明示したベンダー作成の調査であり、すべてのAI企業を網羅した調査でも、警告対象となったシステムがすべて侵害されたことを示す証拠でもない。

運用上、最も重要なポイントは、サプライヤー、その依存関係、そして製品に付与されるアクセス権という3つの要素を併せて評価することだ。2026年AIサプライチェーンレポート：AIとの関係に潜むリスクでは、AIベンダーの評価にこのアプローチを適用するための、Black Kiteによる詳細な調査結果と手法が紹介されている。