自社でAIエージェント導入を検討する中、自律的に動く性質がどんなセキュリティリスクを生むのか判断できず、対策の検討が止まっている方は少なくないでしょう。

AIエージェントのリスクは、権限の過剰付与や監視体制の不備といった具体的な原因から生まれており、原因ごとに対策を整理すれば防げます。詳しい内容は記事内で解説します。

対策を怠ればMicrosoft 365 Copilotで発生したEchoLeakのような情報漏洩事故を招きかねませんが、リスクを正しく把握すれば安全にAI活用を前に進められます。

本記事では、AIエージェント特有のセキュリティリスクと実際に発生した事例、そして今すぐ着手できる対策を中心に解説します。

読み終える頃には、自社のAIエージェント導入計画に潜むリスクと打ち手を具体的に説明できる状態になります。

AIエージェント特有のセキュリティリスクが生まれる3つの理由

AIエージェントが特有のセキュリティリスクを抱える理由は、大きく3つに分けられます。

• 予測できない非決定論的な挙動
• 止められない自律的な連鎖
• 学習によって悪用される適応性

これらの特性を理解しないまま導入を進めると、従来のチェック体制では検知できない被害につながります。

予測できない非決定論的な挙動

AIエージェントは、同じ指示を与えても実行のたびに異なる手順や判断を選ぶ非決定論的な挙動を示します。

生成AIモデルが確率的に次の行動を選ぶ仕組みのため、テスト時に安全だった動作が本番でも同じ結果になる保証はありません。

例えば社内文書の要約という同じタスクでも、実行のたびに参照するファイルの範囲や外部ツールの呼び出し順序が変わることがあります。

この特性を前提に設計しておけば、想定外の挙動が起きた際にも早く異常に気づけます。

止められない自律的な連鎖

AIエージェントは人間の承認を待たずに次のアクションへ進むため、最初の判断ミスがそのまま連鎖して被害が拡大します。

従来のソフトウェアは決められた処理を実行するだけですが、AIエージェントは目標達成のために自ら次の手順を組み立てて実行します。

一つの誤った判断が、ファイルの削除や外部への送信といった取り返しのつかない操作にまで発展するケースがあります。

実行を途中で止められる仕組みを備えておけば、連鎖が始まった段階で被害を最小限に抑えられます。

学習によって悪用される適応性

AIエージェントが持つ状況に応じて振る舞いを変える適応性は、攻撃者による意図的な誘導の対象にもなります。

過去のやり取りや外部データを参照して判断を調整する仕組みは、悪意ある入力を繰り返し与えることで狙った方向に誘導されるおそれがあります。

攻撃者が段階的に指示を変えながらエージェントの応答を観察し、防御を回避する手順を見つけ出す手法が報告されています。

適応性が悪用され得るという前提を持っておけば、入力内容の監視や制限をあらかじめ設計に組み込めます。

AIエージェントの主なセキュリティリスク6つ

AIエージェントを導入する企業が押さえておくべき主なセキュリティリスクは、以下の6つです。

• プロンプトインジェクションによる不正操作
• 権限の過剰付与・悪用
• 機密情報・個人情報の漏えい
• 外部ツール・MCP連携の脆弱性
• メモリポイズニングによるデータ改ざん
• マルチエージェント間の連鎖的な誤動作

それぞれの内容を具体的に把握しておくことが、対策の優先順位を決める土台になります。

プロンプトインジェクションによる不正操作

外部から与えられた文章に悪意ある指示を紛れ込ませることで、AIエージェントに開発者の意図しない操作を実行させる攻撃です。

メールやWebページ、社内文書などエージェントが参照する情報源であれば、どこにでも悪意ある指示を埋め込める点が厄介です。

Microsoft 365 Copilotの脆弱性「EchoLeak（エコーリーク）」では、細工したメールを送るだけでユーザーの操作なしに機密データが外部へ送信されました。
参考：Zero-Click AI Vulnerability Exposes Microsoft 365 Copilot Data（The Hacker News）

入力元を信頼できる範囲に限定しておけば、この種の不正操作を受ける入口自体を減らせます。

権限の過剰付与・悪用

AIエージェントにタスクに不要な権限まで与えると、誤動作や攻撃の影響範囲が想定以上に広がります。

開発初期は動作確認を優先し、権限を絞らないまま本番環境に移行してしまうケースが少なくありません。

経理業務にAIエージェントを組み込む場合、送金や契約締結の権限まで一括で付与すると、誤判断がそのまま金銭的な損害に直結します。

権限をタスクごとに必要最小限へ絞っておけば、万が一の誤動作でも被害を限定できます。

機密情報・個人情報の漏えい

AIエージェントは問い合わせ内容や業務データを処理する過程で、顧客情報や社内の機密情報に触れる機会が多くあります。

学習・記憶する仕組みを持つエージェントほど、入力した情報がどこに残り、どう再利用されるかを把握しにくくなります。

出力を外部に共有する前の確認工程が抜けていると、意図しない相手に機密情報が渡ってしまいます。

入力データの範囲を制限し、出力を確認する工程を設けておけば、漏えいのリスクを大きく減らせます。

外部ツール・MCP連携の脆弱性

AIエージェントが外部ツールと連携する標準規格MCP（Model Context Protocol）には、連携先に過剰な権限があると情報が流出する脆弱性が報告されています。

2025年に確認されたSupabaseのMCPサーバーを巡る事例では、サポートチケットに埋め込まれた悪意ある指示にエージェントが従い、機密トークンを外部に流出させました。
参考：Supabase MCP can leak your entire SQL database（General Analysis）

連携するMCPサーバーの権限を読み取り専用に絞るなど、接続範囲を必要最小限にする設計が欠かせません。

メモリポイズニングによるデータ改ざん

AIエージェントが過去のやり取りを記憶する仕組みは、悪意あるデータを混入させて判断を歪める攻撃の標的にもなります。

長期的に記憶を蓄積するエージェントほど、汚染されたデータが後の判断に繰り返し影響を及ぼすおそれがあります。

一度誤った情報が記憶に定着すると、関連する複数のタスクで同様の誤判断が再発しかねません。

記憶する情報の出所を検証し、定期的に内容を点検する仕組みを設けておくことが被害の拡大を防ぎます。

マルチエージェント間の連鎖的な誤動作

複数のAIエージェントが連携して動く環境では、一つのエージェントの誤動作が別のエージェントへ伝播し、被害が連鎖的に広がります。

エージェント同士がタスクの結果を受け渡しながら動く構成では、途中の誤りがそのまま次の処理の前提として扱われてしまいます。

自律的に動くエージェント同士が相互に指示を出し合う環境では、想定していなかった経路で情報が外部に伝わる危険もあります。

エージェント間のやり取りにも認証と監視を設け、伝播の経路を可視化しておくことが必要です。

AIエージェントのセキュリティリスクが顕在化した事例3つ

AIエージェントのセキュリティリスクが実際に被害へと発展した事例には、以下の3つがあります。

• Microsoft 365 Copilotの「EchoLeak」脆弱性
• Instagramサポートボットのアカウント乗っ取り
• Supabase MCPサーバーのデータ流出

いずれも抽象的な脅威ではなく実際に発生した事故であり、対策の必要性を裏付けています。

Microsoft 365 Copilotの「EchoLeak」脆弱性

セキュリティ企業Aim Securityは2025年6月、Microsoft 365 Copilotに存在した脆弱性「EchoLeak」（CVE-2025-32711）を公表しました。細工したメールを送るだけで、ユーザーが何も操作しなくてもCopilotが機密データを外部に送信し得るゼロクリック攻撃です。

Copilotが参照するメールの中に隠された指示を、正規のユーザー指示と区別できずにそのまま実行してしまう構造的な欠陥が原因でした。

この脆弱性のCVSSスコアは9.3と評価され、Word・Excel・PowerPoint・Outlook・Teamsなど複数のCopilot連携先が影響範囲に含まれていました。
参考：Zero-Click AI Vulnerability Exposes Microsoft 365 Copilot Data（The Hacker News）

マイクロソフトはサーバー側で修正を実施し、悪用が確認された痕跡はないと説明しています。自社のAIエージェントが参照する情報源に同様の抜け道がないか、この事例を基準に点検できます。

Instagramサポートボットのアカウント乗っ取り

MetaのAIサポートアシスタントを悪用し、攻撃者がInstagramの著名アカウントを乗っ取る事例が報じられました。

攻撃者が自然な会話文でアシスタントに「対象アカウントに新しいメールアドレスを紐づけてほしい」と依頼し、届いた認証コードを使ってパスワードをリセットさせる手口が使われています。

この手口により、バラク・オバマ元大統領が在任中に使用していたページや、大手小売企業セフォラのアカウントなどが被害に遭ったと報じられています。
参考：Hackers Simply Asked Meta AI to Give Them Access to High-Profile Instagram Accounts. It Worked（404 Media）

本人確認を伴う操作をエージェントに任せる場合は、自然言語の依頼だけで重要な手続きが完了しない仕組みが必要だとわかります。

Supabase MCPサーバーのデータ流出

データベース基盤SupabaseのMCPサーバーを巡り、サポートチケットに埋め込まれた指示にエージェントが従い、機密トークンを外部に流出させる事例が確認されました。

MCPサーバーに与えられていた権限が必要以上に大きく、エージェントが強い権限を保持したままユーザー投稿の内容を処理していたことが原因です。

セキュリティ研究チームGeneral Analysisの検証では、サポートチケットの要約を依頼しただけで、無関係な他のテーブルの内容までエージェントの応答に含まれてしまったと報告されています。
参考：Supabase MCP can leak your entire SQL database（General Analysis）

MCPサーバーの権限を読み取り専用に絞る、あるいはユーザー入力を含むデータを信頼できる指示と分離する設計が、同様の流出を防ぎます。

AIエージェントのセキュリティ対策5つ

AIエージェントのセキュリティ対策として、企業がまず着手すべきものは以下の5つです。

• 権限を必要最小限に絞る
• 高リスクな操作は人間の承認を必須にする
• 監査ログと異常検知で挙動を可視化する
• 入力フィルタリングでプロンプトインジェクションを防ぐ
• シャドーAIを防ぐ利用ルールを整備する

前章で紹介した事例の多くは、これらの対策のいずれかが不足していたために被害が拡大しています。

権限を必要最小限に絞る

AIエージェントにはタスクの遂行に必要な範囲だけの権限を与え、それ以上のアクセスを許可しないことが基本です。

権限を広く設定しておくほど、誤動作や攻撃を受けた際の影響範囲が拡大するためです。

Supabase MCPサーバーの事例では、読み取り専用の設定に切り替えるだけで書き込みや削除を伴う被害を防げたと指摘されています。

権限設計を見直すだけで、追加のツール導入なしにリスクを大きく下げられます。

高リスクな操作は人間の承認を必須にする

送金や外部への情報送信、システム設定の変更といった高リスクな操作は、AIエージェントに任せきりにせず人間の承認を挟む仕組みにします。

自律的に連鎖するAIエージェントの特性上、一度の誤判断が承認なしに実行され続けると被害が止まらなくなるためです。

操作の影響度に応じて承認フローの厳しさを変えるリスクベースの設計であれば、低リスクな操作の自動化を維持しながら高リスクな操作だけを人の目で確認できます。

人間の承認を挟む工程を一箇所でも設けておけば、連鎖的な被害を途中で止められます。

監査ログと異常検知で挙動を可視化する

AIエージェントがどの入力を受け取り、どのツールをいつ呼び出し、どんな結果になったかを記録し続けることが欠かせません。

AIエージェントの脅威は正規の権限内での不審な操作として現れることが多く、記録がなければ被害の発生自体に気づけません。

OWASP（オワスプ）のAgentic Security Initiativeも、エージェント固有の脅威は自律性・記憶・ツール利用といった新しい要素を狙うため、従来の監視体制だけでは検知が難しいと整理しています。
参考：Agentic AI – Threats and Mitigations（OWASP Gen AI Security Project）

ログと異常検知の仕組みを最初から組み込んでおけば、被害が拡大する前の早い段階で異常に気づけます。

入力フィルタリングでプロンプトインジェクションを防ぐ

AIエージェントが参照する外部の文章やメールに悪意ある指示が含まれていないか、事前にフィルタリングする仕組みが必要です。

プロンプトインジェクション対策をAIモデルへの指示だけで完結させようとしても、悪意ある入力を完全には防ぎきれないためです。

EchoLeakの事例では、Copilotがメール内の隠れた指示を正規の指示と区別できなかったことが被害につながりました。

入力側でのフィルタリングと出力側での確認を組み合わせておけば、防御を一つの仕組みに頼らずに済みます。

シャドーAIを防ぐ利用ルールを整備する

従業員が会社の許可を得ずにAIエージェントを個人判断で導入・利用する「シャドーAI」を防ぐルール整備も欠かせません。

管理外で使われるAIエージェントは、権限設定やログの記録が組織のセキュリティ基準の外に置かれてしまうためです。

利用してよいAIエージェントの範囲や申請手続きを明文化していない企業ほど、部署ごとに異なるツールが無秩序に使われる傾向があります。

利用ルールを整備し周知しておけば、管理者が把握していないリスクの発生自体を防げます。

AIエージェントのセキュリティで参照すべきガイドライン4つ

AIエージェントのセキュリティ対策を検討する際に参照すべき代表的なガイドラインは、以下の4つです。

• 総務省・経済産業省のAI事業者ガイドライン
• OWASPのAgentic AI Threats and Mitigations
• 欧州連合のEU AI Act
• NISTのIR 8596

自社の事業内容や取引先に応じて、参照する基準を組み合わせることが実務的な進め方です。

総務省・経済産業省のAI事業者ガイドライン

総務省と経済産業省が策定する「AI事業者ガイドライン」は、国内でAIを扱う事業者が参照すべき基本方針を示しています。

本編で目指すべき社会像と指針を示し、別添で具体的な実践方法を解説する二段構成になっており、AIエージェントに限らず生成AI活用全般に適用できます。

2026年3月31日には第1.2版が公表され、AI活用の広がりに合わせて内容が継続的に更新されています。
参考：AI事業者ガイドライン（第1.2版）概要（総務省・経済産業省）

国内向けの基準としてまず目を通しておけば、社内規程を整備する際の土台になります。

OWASPのAgentic AI Threats and Mitigations

セキュリティの国際コミュニティOWASP（オワスプ）が公開する「Agentic AI Threats and Mitigations」は、AIエージェント特有の脅威を体系的に整理した資料です。

自律性・記憶・ツール利用・複数エージェント間の連携といった、AIエージェントならではの要素を狙う脅威を分類しています。

OWASP Agentic Security Initiativeは、脅威の分類に加えてアーキテクチャ上のリスク評価やランキング付きの対策一覧も順次公開しています。
参考：Agentic AI – Threats and Mitigations（OWASP Gen AI Security Project）

自社が導入するAIエージェントの構成要素と照らし合わせながら読むことで、見落としがちなリスクに気づけます。

欧州連合のEU AI Act

欧州連合の「EU AI Act」は、リスクの大きいAIシステムに対して人間による監視を義務付けています。

高リスクに分類されたAIシステムでは、担当者が動作内容を理解し、異常や誤動作を発見・是正できる体制を整えることが求められます。
参考：Article 14: Human Oversight（EU Artificial Intelligence Act）

海外の取引先とAIエージェントを活用したサービスを展開する企業ほど、この基準への対応が取引条件として求められる場面が増えています。

海外展開を視野に入れている企業は、この規制を早めに把握しておくことで対応の後回しを避けられます。

NISTのIR 8596

米国国立標準技術研究所（NIST）が策定を進める「NIST IR 8596（Cyber AI Profile）」は、AIシステムのサイバーセキュリティリスクを管理する指針です。

既存のサイバーセキュリティフレームワークCSF2.0を土台に、AI特有のリスクと対策をマッピングする構成になっています。

2025年12月に予備公開草案が公表され、AIエージェントを含むAIシステム全般のセキュリティ管理に活用できる内容として策定が進んでいます。
参考：Cyber AI Profile（NIST NCCoE）

既存のセキュリティ体制にAI特有の観点を追加したい企業にとって、体系立てて参照できる指針になります。

AIエージェントのセキュリティ体制を構築する運用ステップ

AIエージェントのセキュリティ体制を構築するうえで欠かせない運用ステップは、以下の3つです。

• リスクの大きさで承認フローを分ける
• 停止・ロールバック手順をあらかじめ用意する
• AI利用ポリシーを定め社員教育を行う

技術的な対策だけでなく、組織としての運用設計まで整えておくことが重要です。

リスクの大きさで承認フローを分ける

AIエージェントに任せる操作をリスクの大きさで区分し、区分ごとに異なる承認フローを設けることが実務的な進め方です。

すべての操作に同じ厳しさで人間の承認を求めると、運用の負荷が増えて現場に定着しません。

低リスクな操作は自動承認とログ記録のみとし、本番環境へのデプロイやデータベース操作といった高リスクな操作にだけ人間の承認を必須にする設計が有効です。

リスクに応じた濃淡をつけておけば、安全性と運用のしやすさを両立できます。

停止・ロールバック手順をあらかじめ用意する

AIエージェントに異常が発生した際、実行をすぐに停止し変更内容を元に戻すための手順を事前に文書化しておく必要があります。

自律的に動くエージェントは被害の連鎖が早く、手順が決まっていないと対応が後手に回りがちです。

誰が停止を判断し、どの手順でロールバックを実行するかを担当者ごとに明確にしておけば、事故発生時に迷わず行動できます。

手順を事前に用意しておくことで、実際にインシデントが起きた際の被害を最小限に抑えられます。

AI利用ポリシーを定め社員教育を行う

AIエージェントをどの業務で使ってよいか、どのデータを入力してよいかを定めたポリシーを整備し、社員に周知することが土台になります。

ポリシーがない状態では、従業員が個々の判断でAIエージェントを利用し、シャドーAIの温床になってしまいます。

利用申請の手続きや禁止事項を明文化し、定期的な研修で更新内容を共有している企業ほど、現場での逸脱利用を抑えられています。

教育を継続することで、技術的な対策だけではカバーしきれない人為的なリスクを減らせます。

AIエージェントのセキュリティに関するよくある質問

AIエージェントのセキュリティに関する質問は以下の4つです。

• AIエージェントとチャットボットのセキュリティリスクは何が違いますか
• 無料で使えるAIエージェントツールはセキュリティ的に危険ですか
• 中小企業でもAIエージェントのセキュリティ対策は必要ですか
• AIエージェントのセキュリティ対策にはどれくらいの予算が必要ですか

質問に対する回答を確認して、自社のAIエージェント導入計画の参考にしてみてください。

AIエージェントのセキュリティは事例に学び最小権限から始めよう

AIエージェントのセキュリティリスクには、プロンプトインジェクションや権限の過剰付与、MCP連携の脆弱性などがあり、EchoLeakをはじめとした実際の事故も報告されています。

権限を必要最小限に絞ることや高リスクな操作への人間の承認を、自社のAIエージェント導入計画にまず反映してみてください。

対策を整えた後は、リスクを抑えながらどの業務にAIエージェントを広げていくかという活用範囲の見極めが次の課題になります。

事例と対策を踏まえ、安全な運用体制を築きながらAIエージェントの活用を進めていきましょう。

出典・参考リンク

• Zero-Click AI Vulnerability Exposes Microsoft 365 Copilot Data（The Hacker News）
• Supabase MCP can leak your entire SQL database（General Analysis）
• Hackers Simply Asked Meta AI to Give Them Access to High-Profile Instagram Accounts. It Worked（404 Media）
• Agentic AI – Threats and Mitigations（OWASP Gen AI Security Project）
• AI事業者ガイドライン（第1.2版）概要（総務省・経済産業省）
• Article 14: Human Oversight（EU Artificial Intelligence Act）
• Cyber AI Profile（NIST NCCoE）