個人用AIエージェントが五角大楼のネットワークに2ヶ月間侵入、発見されず

2ヶ月間にわたる「ステルス」アクセス

『WIRED』の独占報道によると、米国防請負業者アクセンチュア（Accenture）の従業員が、個人使用していたClaude AIエージェントを米国防総省（DOD）のネットワークに接続し、セキュリティ上重要な五角大楼のシステム上で約2ヶ月間稼働し続けた後、ようやくセキュリティ担当者に発見された。関係者によると、当該の脆弱性は発見後に修正されたが、この事件自体がすでに政府と企業界に警鐘を鳴らしている。

問題となったのは、公式に調達されセキュリティ審査を受けた企業向けAIツールではなく、従業員が「個人使用」していたAIエージェントであった点が注目される。これは、最先端のAIエージェントが従来のIT承認プロセスをはるかに上回る速度で高セキュリティ環境に浸透していることを意味する。多層的な審査とサプライチェーン管理で知られる国防ネットワークにとって、こうした「迂回」そのものが極めて重大な警告となっている。

AIエージェントとチャットボットの本質的な違い

質問に答えるだけのチャットボットとは異なり、AIエージェント（AI agent）はツールを自律的に呼び出し、ファイルの読み書き、ネットワークリソースへのアクセス、多段階タスクの実行が可能である。Claudeなどのモデルが提供するエージェント機能は、ユーザーがプラグイン、コネクター、ローカルまたはリモートツールを設定することを可能にし、「人間の代わりに」操作を実行する。人間がステップごとに確認しなくても、設定された目標に向かってバックグラウンドで長時間稼働し続けることができる。

この自律性は効率を高める一方で、従来のソフトウェアでは対処しにくいリスクをもたらす。エージェントは長期有効な認証情報を保持し、監視なしで稼働し続け、システムをまたいでデータを移動させ、発見される前に安定した常駐チャネルを形成する可能性がある。セキュリティチームは通常、人間のアカウントやデバイスを監視するが、正規の身分で活動する自動化エージェントを識別することは難しい。エージェントが従業員の実際のアイデンティティと権限を使用している場合、従来の「異常ログイン」をベースとした検知ロジックは容易に機能しなくなる。

セキュリティチームは人間とデバイスの監視には慣れているが、「正規の身分で自律的に行動するエージェント」に対する検知ルールを設計することはほとんどない――これがこの種の事件の核心である。

国防ネットワークの特殊性がリスクを増幅させる

五角大楼のシステムは、アクセス制御、データ分類、サプライチェーンセキュリティに対して極めて厳格な要件を課している。個人AIエージェントが機密データに直接アクセスしなくても、ネットワーク内での存在自体が、情報集約、横方向への移動、または認証情報の悪用の足がかりとなる可能性がある。文書を読み取り、APIを呼び出し、自律的に意思決定できるエージェントは、事実上ネットワーク内部に疲れを知らない「内部関係者」を配置することに等しい。

今回の事件では、エージェントが2ヶ月間稼働してから発見されたことが、既存の監視システムが「非人間的な行為主体」に対する可視性をいまだ十分に持っていないことを示している。ログシステムは通常、アカウントの行動を記録するが、「意図の主体」を記録するわけではない。同一アカウントに人間の操作とエージェントの操作が混在する場合、責任の境界が曖昧になる。厳格な監査が求められる国防環境において、この曖昧さ自体が重大なリスクとなる。

企業のAIガバナンスにおける現実の乖離

アクセンチュアは多数の政府顧客にサービスを提供するグローバルな大手IT・コンサルティング請負業者であり、社内でのAIツールの使用に関して明確な規範があるはずだった。しかし「シャドーAI」（shadow AI）――従業員が承認を得ずにAIツールを自己使用すること――はすでに広く蔓延している現象となっている。従業員は効率を求めて個人契約のAIエージェントを業務ネットワークに接続するが、多くの場合、自分がセキュリティインシデントを引き起こしているとは思わず、単に「仕事をよりスムーズにしている」と考えている。

業界全体として、AIエージェントの展開速度はガバナンスフレームワークの成熟速度を明らかに上回っている。多くの企業のAIポリシーは依然として「チャットボットを使用してよいか」というレベルにとどまっており、エージェントの権限範囲、ログ保持、ライフサイクル管理、廃止メカニズムについての詳細な規定が欠如している。エージェントがシステムをまたいで自律的に行動できる以上、使用ポリシー一枚では明らかに不十分である。

編集後記：「ツール承認」から「行動ガバナンス」へ

この事件の価値は個別の責任追及にあるのではなく、AIセキュリティのパラダイムを「特定のツールを承認する」から「特定の行動を統治する」へ転換する必要があることを改めて示した点にある。エージェントが自律的に行動できる以上、セキュリティ体制は三つの問いに答えられなければならない――それは誰であるか、何をしているか、誰がその行動に責任を負うか。

政府・国防領域においては、AIエージェントのためのアイデンティティ体系、最小権限の原則、継続的な行動監査、迅速な隔離能力を構築する必要があることを意味する。企業においては、「シャドーAI」を単純に禁止するのではなく、リスク管理の枠組みに組み込む必要がある。個人AIツールを禁止することで表面上のリスクは減るかもしれないが、使用がより見えにくい場所へと追いやられる可能性がある。

脆弱性は修正できるが、ガバナンスの遅れがもたらすリスクは自動的には消えない。AIエージェントがますます「デジタル従業員」に近づいていく中、組織は従業員を管理するのと同様にエージェントを管理しなければならない。すなわち、アイデンティティを付与し、権限を制限し、行動を記録し、定期的に見直すことが求められる。

本記事はWIREDより編訳