IRONSCALESの報告書、AIエージェントがフィッシングの新たな標的になりつつあると指摘

受信トレイの持ち主である従業員をだます必要は、もはやありません。代わりに、その従業員に代わって受信トレイを読み取るソフトウェアを標的にできます。これが、IRONSCALESの新しい報告書「ディープフェイクから二重エージェントへ：AI主導のサイバーリスクの新たな姿」が示す中心的な警告です。同報告書によると、行動を実行できるツールの企業での導入は、それらを取り巻くセキュリティ対策の整備よりも速く進んでいます。

企業の委託を受けて実施されたCensuswideの調査では、回答者の77%が、過去1年間に自社のAIエージェントまたはツールが、悪意のあるコンテンツ、誤解を招くコンテンツ、あるいは許可されていないコンテンツに基づいて行動したと答えました。これより少ないものの、依然として相当数にあたる57%が、少なくとも1件の確認済み事例を報告しました。これらの数字は、より大きな合計に含まれる疑いのある事例も含め、回答者が報告したインシデントを示すものであり、成功した侵害の件数を独立に検証したものではありません。

調査結果は、より明るい動きとともに発表されました。ディープフェイク対策への投資が増加する一方で、報告された金銭的損失は軽減しました。両方の結果が示すのは、セキュリティ責任者が直面する実務上の課題です。人を対象に構築された防御を捨てることなく、自動で判断を下す存在にも保護を広げる必要があります。

AIエージェントは重要なシステムにアクセスできる

Censuswideは、従業員数1,000人から10,000人の企業に勤務する、米国の中間管理職以上のITおよびサイバーセキュリティ専門家501人を対象に調査を行いました。参加者の年齢は25歳から55歳で、調査は2026年9月9日から17日に実施されました。したがって、結果が示すのはこの企業サンプルの傾向であり、AIを利用するすべての企業の状況ではありません。

このサンプルでは、回答者の96%が、自社で従業員に代わって行動できるAIエージェントまたはツールを利用していると答え、52%がその導入は広範に進んでいるとしました。同報告書では、メッセージの読み取りや返信、ファイルへのアクセス、ワークフローの開始ができるツールを含む、幅広い定義を採用しています。

こうしたツールを利用している企業のうち、67%はチケット管理システムまたはヘルプデスクへのアクセスを許可し、56%はクラウドストレージへのアクセスを許可しています。メールまたはメッセージへのアクセスを許可している企業は49%でした。また、30%は財務、請求、調達、または決済システムへのアクセスを許可しています。社内へのアクセスを認めず、公開ウェブに限定していると答えた企業はわずか19%でした。

質問に答えることと、行動を実行することの違いは重大です。誤った要約は読み手を誤解させるおそれがありますが、業務システムに接続されたツールは、情報を移動させたり、ワークフローを開始したりすることもできます。ツールに付与された権限によって、ミスの影響がどこまで及ぶかが左右されます。

受信トレイはエージェントにとっても侵入経路

AIエージェント関連のインシデントを報告した回答者のうち、42%は、AIツールが悪意のあるメールやメッセージを要約した、またはそれに基づいて行動したと答えました。また、41%は、攻撃者がフィッシングやソーシャルエンジニアリングにAIツールを利用したと報告しました。これらの分類は重複する可能性があり、後者には、被害者自身のエージェントが侵害されたとは限らない、攻撃者によるAIの利用も含まれます。

この点は重要です。この調査は、複数の種類のAI関連の不具合をひとまとめにして示しているもので、すべてのインシデントで同じ攻撃手法が使われたと立証するものではありません。それでも、エージェントが取り込むコンテンツと、連携機能に許可されている操作の両方を組織が検証する必要がある理由を示しています。

リスクを理解するうえで有効なのは、情報と権限を分けて考えることです。メッセージに指示が含まれていても、受信トレイに届いたというだけで、その指示が承認されたことにはなりません。ソフトウェアが連携するシステム全体で操作できる場合、この境界を維持することは、アクセス制御とワークフロー設計の一環となります。

IRONSCALESのメールセキュリティプラットフォームは、この侵入経路に重点を置く同社の姿勢を反映しています。同社によると、APIベースのアプローチでは、AI分析、自動調査、人間による脅威インテリジェンスを組み合わせ、フィッシングシミュレーションやMicrosoft Teams向けのディープフェイク対策も提供しています。こうした機能は、調査スポンサーの見解を理解するうえでの背景情報となりますが、この調査が同社製品の有効性を独立に評価したわけではありません。

承認プロセスはあるものの、セキュリティ部門が主導することはまれ

行動を実行できるAIツールを組織で利用している回答者479人のうち、78%が、エージェント、アシスタント、プラグイン、コネクターの主な承認者としてIT部門を挙げました。セキュリティ部門を挙げたのはわずか6%で、14%は複数の部門が共同で承認すると答えました。

主な承認者であることと、何らかの形で関与することは異なります。この数字は、残りすべての承認プロセスからセキュリティ部門が排除されていることを示すものではありません。一方で、大きなアクセス権を持つツールに関する判断は、通常、セキュリティ部門以外が主導していることを示しています。

インシデントを報告した企業のうち、39%は、従業員がセキュリティ部門なら承認しなかったであろうアクセス権をAIツールに付与したと答えました。この結果は、ガバナンス上の問いを具体化しています。コネクターを有効にする前に誰が権限を評価し、ツールが予期しない動作をした場合に誰がその権限を取り消せるのでしょうか。

同報告書は、自信と実装の間に隔たりがあることも明らかにしています。回答者の93%がインシデント対応計画にAIエージェントが含まれていると答え、84%がAI主導のインシデントを特定できると確信していました。しかし、正式な方針、管理策、インシデント対応プロセスがすべて整っているとしたのは52%にとどまりました。また、35%は、技術的な管理策が限定的な方針があると報告しました。

ディープフェイクによる損失は減少したが、脅威は続く

ディープフェイクに関する調査結果は、同じ属性の回答者500人を対象にCensuswideが2025年に実施した調査と比べ、より明るい傾向を示している。防御策への積極的な投資は37％から48％に増加した。金銭的損失を報告した組織のうち、損失額が10万ドル以上だった割合は63％から49％に減少し、100万ドル以上だった割合も6％から3％に低下した。

金銭的損失を受けた組織の推定平均損失額は、約28万ドルから22万5,000ドルに減少した。これらの推定値には、報告された損失額の範囲の中間値を用いている。各調査では損失について異なる質問をしているため、この比較からは、損失がなかった回答者、わからないと答えた回答者、回答を希望しなかった回答者を除外している。

報告書は、投資の増加と損失の減少が同時に起きたからといって、一方が他方を引き起こした証明にはならないと明確に注意を促している。また、インシデントがなくなったわけでもない。ディープフェイク関連のインシデントを少なくとも1件報告した割合は84％で、2025年の85％と比べてわずかに低下した。報告書での定義は幅広く、加工された画像や改ざんされたメールから、リアルタイムの音声・動画によるなりすましまでを含む。

優先事項が競合するという問題もある。ディープフェイク対策を最優先事項とする割合は71％から60％に低下した一方で、実際に行動を起こせるAIがセキュリティ予算に新たな需要をもたらしている。損失の減少は、脅威が去ったと決めつけるのではなく、何が効果を上げているのかを検証するきっかけとなる。

会話だけでなく、実行される操作も保護する

IRONSCALESは、エージェントの承認プロセスにセキュリティ部門を関与させること、権限を制限すること、操作を監視すること、従業員とエージェントの両方を標的とする攻撃を想定してインシデント対応をテストすることを推奨している。こうした提言は、報告書が示す2つのテーマを結び付けている。欺瞞的なコンテンツは依然として危険だが、操作を実行する権限を持つソフトウェアによって、そうした欺瞞がもたらす結果は変わり得る。

企業のチームにとっては、どのエージェントが存在するのか、それぞれがどのシステムにアクセスできるのか、どの操作に人間の確認が必要なのかを把握することを意味する。ログから、ツールが何を読み取り、何を実行したのかを再構成できる必要がある。テストでは、従業員が不審なメールを見分けられるかどうかだけでなく、信頼できないメッセージが許可済みのワークフローに影響を及ぼし得るかどうかも検証すべきだ。

この報告書の最大の貢献は、導入状況、自信の度合い、実際に導入された管理策の間にある隔たりを明らかにした点にある。読者は、調査の質問項目、方法論上の留意点、提言を、報告書の全文ディープフェイクから二重スパイのエージェントへ：AI主導のサイバーリスクの新たな姿で確認できる。