AIエージェントのセキュリティ対策を進める手順

AIエージェントのセキュリティ対策は、対象業務を1件に限り、外部連携・操作範囲・人の確認点など、すでに決めた統制を利用前に試すことから始めます。利用中はログと例外から実効性を確かめ、効かない場合は範囲を広げず、修正または停止します。この二段構えが基本です。

AIエージェントのセキュリティ対策は「入れる」と「確かめる」に分ける

実務では、利用前に統制を入れる段と、利用中にその統制が効いているかを確かめ続ける段を分けます。

総務省・経済産業省の「AI事業者ガイドライン（第1.2版）」別添5は、AI利用者向けに、利用前の知識・技能の習得、基本的な動作確認、ログ管理体制の整備と、利用中の定期的な確認を別々に示しています。このガイドラインは法令上の義務ではなく、非拘束的なソフトローです。

以下の順序は、その「利用前／利用中」の切れ目と一次資料をもとにした編集上の整理であり、公式に定められた標準工程ではありません。すでに決めた「どの操作を許すか」「どの場面で人が判断するか」を、実際に効かせて確かめるための流れです。

区分	先に行うこと	主担当	残す証拠
利用前	対象・外部連携・操作範囲を固定し、想定内と想定外の動作を試す	業務責任者とIT・情報管理担当	対象カード、連携一覧、試験結果
利用前	ログを残せることと、停止・報告が通ることを確かめる	IT・情報管理担当	ログ見本、停止試験、連絡記録
利用中	範囲を限って稼働し、定期的に適正な範囲・方法かを確かめる	業務責任者	定期確認記録、例外、差し戻し
利用中	更新後の再試験と、不要なエージェントの停止を行う	所有者とIT・情報管理担当	変更差分、再試験、停止記録

利用前｜対象を1件に限り、確認範囲と担当窓口を固定する

最初は、すでに利用目的と操作範囲が決まっている1件だけを対象にし、検証の窓口と停止連絡先を固定します。

対象業務を選ぶ方法や、どこまで操作を任せるかを決める方法は、要件定義の領域です。ここではそれをやり直さず、決定済みの内容を検証できる形にします。最低限、次の内容が一枚で追えれるようにしてください。

• エージェントの表示名と固有の識別情報
• 作成者、所有者、業務上の窓口、停止を依頼する先
• 対象業務と、正常に完了したと言える状態
• 読み取り、外部送信、更新、確定、削除のうち許可済みの操作
• 人の判断が必要な条件と、取り消し・復旧の方法

経営責任者は、対象業務とリスク対応方針が一致していることを確認します。業務責任者は正常終了と業務上の誤りを判定し、IT・情報管理担当は連携先、ログ、停止方法を検証します。専任部門がない場合も、「業務上の正しさ」と「設定・記録の正しさ」を1人の感覚だけで同時に合格にしないことが重要です。

この段階で全社展開を前提にしないことには、民間側の根拠もあります。ガートナージャパンが2026年5月21日に発表したプレスリリースは、従業員が権限管理のプロセスに十分習熟するまで、特にリスクの高い自律的・再帰的なエージェントは、全社一斉展開ではなく範囲を制限する重要性を指摘しています。これは公的資料ではなく、民間調査会社の見解です。本稿では発表日とは別に、2026年8月1日にプレスリリース本文を確認しています。

利用前｜外部連携と操作範囲を見える化する

試験を始める前に、入力経路、参照先、出力先、外部サービス、使用する認証情報を1本の流れとして見える化します。

AI事業者ガイドライン第1.2版は、AIエージェントでは多様な入力経路や外部連携が増えるため、被攻撃対象が拡大することを指摘しています。そのため、チャット画面の入出力だけではなく、メール、ファイル、データベース、カレンダー、業務システムなど、エージェントが読み取りまたは変更するすべての経路を対象にします。

確認対象	自社で確かめること	提供元・開発元へ確かめること	確認できない場合
外部連携	業務上許可済みの接続先か、送受信の目的が一致するか	連携先と実際に授受するデータ、接続の取り消し方法	その連携を外す
操作権限	許可した読み取り・送信・更新・確定・削除と設定が一致するか	業務遂行に必要な範囲へ権限を制限できるか	読み取りや下書きまでに縮小する
参照データ	対象業務に必要な情報だけが候補になっているか	エージェントの判断に不要な属性や参照先を外せるか	影響の小さい検証用データに置き換える
人の判断	重大な影響や被害が生じ得る場面で判断が人へ戻るか	承認待ち、拒否、タイムアウト時の動作	該当操作を実行対象から外す

表の「提供元・開発元へ確かめること」は、主体を意図的に分けています。「権限を業務遂行に必要な最小限に設定する」は別添4のAI提供者向け、「必要最小限のデータ入力・参照」は別添3のAI開発者向けの記述です。AI利用者である自社への公式要求として書き換えず、提供元・開発元への確認事項として扱います。

利用前｜決めた統制が効くかを試験する

正常に完了することだけでなく、不正な入力、情報不足、許可外の操作、連携失敗のときに、決めた通り拒否・中断・人への引き継ぎが起きるかを試します。

AI事業者ガイドライン第1.2版には、AIエージェントが自律的な動作の中で、人間が意図しない商品の注文やファイル削除などを行う可能性が示されています。したがって、正常系のデモが通るだけでは合格にできません。削除できないはずのデータを削除するよう求める、存在しないレコードを更新するよう求める、承認を拒否するといった試験が必要です。

試験シナリオ	期待する統制	合格の証拠	不合格時の対応
許可した読み取りと出力	正常終了し、参照先と出力が追える	入力、参照先、出力、実行者の記録	ログを修正して再試験
許可外の外部送信	送信せずに拒否または人へ戻す	送信先、拒否理由、引き継ぎ先の記録	外部連携を切り離して設定を修正
重要データの確定・更新	影響が重大な場合は人の判断を介在させる	承認待ち、承認者、承認または拒否の記録	実行を停止し、判定条件を再確認
情報不足や矛盾した指示	推測で確定せず、中断または照会する	中断理由、照会内容、再開条件の記録	例外の取扱いを修正
外部サービスの通信断	完了と誤認せず、二重実行を避けて停止する	通信失敗、未完了状態、再実行有無の記録	復旧手順と重複防止を修正

人の判断は、すべての出力に一律に必要なわけではありません。別添5の記述は、出力によって重大な影響または被害が生じ得る場合に、人間の判断を介在させる仕組みに基づいて適宜判断するというものです。判定条件を設計し直すのではなく、すでに決めた条件で実際に人へ戻るかを確かめます。

利用前｜ログ管理と停止・報告の導線を整える

利用開始前に、後から操作を追えるログの管理体制と、異常時に停止して報告する導線の両方を実機で確かめます。

ログに残すべきなのは、少なくとも「どのエージェントが、いつ、誰の指示で、どこを参照し、どの操作を試み、どう終了したか」です。入出力の全文を無条件に長期保存するのではなく、機密性と原因確認に必要な範囲を両立させます。利用中には、不要なデータや冗長なログの削除など、AI利用者向けのデータ最小化も行います。

「文書化」のために新しい紙の台帳を作る必要はありません。AI事業者ガイドライン第1.2版は、後から容易に確認できるよう適切なツールで記録が残っていればよく、紙媒体や特定の文書形式は必須でないとしています。既存のチケット管理、変更管理、承認フローで追跡できるなら、それを使ってください。

次に、業務責任者がテスト用の異常を申告し、所有者がエージェントを停止し、IT・情報管理担当が連携と認証情報を無効化し、影響範囲を確認するところまでを通して試します。停止ボタンがあるだけでは不十分です。引き継ぎ先が応答し、止まったことと後続操作がないことを確認できた時点で合格とします。

利用中｜範囲を限って稼働し、定期的に適正性を確認する

利用中は、許可した対象と件数の範囲内で稼働させ、実際の利用が適正な範囲・方法に収まっているかを定期的に確かめます。

ここで注意したいのは、利用前の「ログ管理体制の整備」と、利用中の「適正な範囲・方法で行われているかの定期的な確認」を混ぜないことです。公式資料が一続きの「操作履歴の定期報告」を一律に求めているわけではありません。実務では、前者で記録の取得・保管・閲覧ができる状態を作り、後者でその記録や業務上の例外を材料に利用の適正性を判断します。

定期確認では、成功件数だけを見ません。許可外の参照先へ到達していないか、人へ戻す条件が働いたか、差し戻しと再実行の理由を追えるか、不要なデータや冗長なログを削除できているかを見ます。業務責任者は業務結果と例外を、IT・情報管理担当は外部連携と権限の現状を、所有者はエージェント自体が承認済みのものかを確認します。

出力品質だけを見て「安全」と判定しないでください。AIエージェントは、脆弱性を突かれて挻動が操作されると、内部データが意図せず外部に送信される可能性があるとガイドラインは述べています。だからこそ、「正しい答えが出たか」と「許可した経路と操作だけで完了したか」を分けて検証します。

利用中｜更新、例外、事故対応が機能するか確かめる

提供サービス、連携先、プロンプト、参照データ、権限のどれかが変わったら、影響範囲を確認し、関係する試験を再実行します。

AI事業者ガイドライン第1.2版は、利用中のアップデートにあたり、連携する他のAIに影響する可能性も考慮するよう示しています。また、複雑な構成のAIエージェントは、通常のAIシステムよりメンテナンスやトラブルシューティングが難しくなる場合があります。変更が小さく見えても、動作確認を省かないことが重要です。

事故や想定外の結果が発生したら、まず新しい実行を停め、認証情報と外部連携を必要な範囲で切り離します。次に、エージェント、実行者、時刻、参照先、出力先、後続操作を確認し、業務責任者と経営責任者へ報告します。必要な場合は、AI提供者・AI開発者と迅速に情報を共有し、対策を検討します。原因を確認でき、設定を修正し、同じ異常で再試験に合格するまで稼働を戻しません。

利用しなくなったエージェントを止める手順も、事故対応と同じく必要です。ガートナージャパンの同プレスリリースは、古いエージェントが放置されると不正の温床になり得ると指摘し、登録、固有の識別符、作成者・所有者の明確化を振げています。使用終了時は、稼働を止めるだけでなく、連携解除、認証情報の無効化、スケジュールの削除、所有者台帳の状態更新、保存対象のログと不要データの整理まで完了させます。

ラクダ式｜予定外の動作で統制の実効性を検証する

セキュリティ対策の実効性は、設定画面の項目ではなく、予定外の入力や操作を与えたときに、中断・人への引き継ぎ・記録が実際に機能するかで判定します。

本稿でいうラクダ式は、「ルールが書かれている」ことと「ルールが効く」ことを分ける考え方です。通常の入力で正しい結果が出るかを確かめた後、境界付近の入力、明らかに許可外の操作、連携断、承認拒否を与え、止まり方を見ます。

とくに重要なのは、統制が動いた事実と、それを判定した人の両方が追えることです。たとえば、外部送信が止まったなら、送信されなかったことだけでなく、どの条件で止まり、誰に通知され、後続操作がどうなったかを確かめます。承認待ちなら、承認者が不在のまま実行されないこと、時間切れ後の状態が記録されることまで確かめます。

確認結果は「成功」だけでなく、入力、期待動作、実際の動作、差分、後続対応を1組で残します。これにより、別の業務や部署に広げるときも、雰囲気ではなく検証済みの条件と未確認の条件を分けられます。

継続・修正・停止を証拠で判断する

判断は利便性や処理成功だけではなく、許可範囲内で完了したか、人の判断点が機能したか、例外から復旧できたかを根拠に行います。

判断	証拠で確かめる状態	次の対応
継続	許可外操作が止まり、重大な影響がある場面で人へ戻り、例外と修正を追跡できる	現在の範囲で運用を続け、次回確認の対象を残す
修正	効く統制と効かない統制を分けられ、原因候補と再試験方法が明確	範囲を広げず、差分を修正して同じ条件で再試験する
停止	許可外の外部送信・更新・確定・削除を防げない、人の判断を迂回する、履歴を追えない	新規実行を止め、連携と認証情報を無効化し、影響を確認する

エージェントの処理が通っても、ログが残らない、送信先が追えない、承認拒否後に処理が進むという場合は、セキュリティ上は合格ではありません。反対に、一度の例外発生だけで直ちに全面中止とも限りません。原因と影響範囲を特定し、差分を修正して再現試験に合格できるなら、限定範囲での再開を検討できます。

その他のAI導入・運用記事を調べるときは、AI関連記事一覧から確認できます。

よくある質問

導入担当者が迷いやすい、開始範囲、人の判断、ログ、再確認について答えます。

Q1. セキュリティ対策はどこから始めればよいですか？

すでに利用目的と許可する操作が決っている1業務に限り、外部連携とデータの流れを見える化するところから始めます。次に正常系だけでなく、許可外の送信や更新が止まるかを試してください。

Q2. すべての操作に人の承認を入れる必要がありますか？

一律の承認は必要ありません。AI事業者ガイドライン第1.2版がAI利用者向けに示すのは、出力によって重大な影響または被害が生じ得る場合に、人間の判断を介在させる仕組みに基づいて適宜判断することです。本番前に、決定済みの判定条件で実際に人へ戻るかを試します。

Q3. ログはどの程度残せばよいですか？

後から、実行したエージェント、指示者、時刻、参照先、試みた操作、終了状態、人の判断を追える範囲が基本です。入出力の全文を無期限に残すのではなく、機密性と原因確認の必要性に応じて保存範囲を決め、不要なデータや冗長なログは整理します。

Q4. サービスや連携先の更新後にも再確認が必要ですか？

必要です。変更内容を確認し、認証、参照先、外部送信、更新、確定、削除、ログのうち影響する試験を再実行します。連携する他のAIやサービスへの影響も確かめ、合格するまで対象範囲を広げないでください。

まとめ

AIエージェントのセキュリティ対策は、設定項目を並べて終わりではありません。利用前に、対象を限り、外部連携と操作範囲を見える化し、決定済みの統制が想定外の条件で効くかを試し、ログと停止・報告の導線を確かめます。

利用中は、適正な範囲・方法が保たれているかを定期的に確認し、更新後は再試験します。許可外の操作を防げない、人の判断点が働かない、履歴を追えない場合は、便利でも展開せず修正または停止してください。その証拠が、導入時だけでなく運用中も安全性を見直す土台になります。

参考資料

• 総務省・経済産業省「AI事業者ガイドライン（第1.2版）」
• ガートナージャパンのAIエージェント・セキュリティに関するプレスリリース（2026年5月21日）