AIエージェントのセキュリティリスクとは？企業が導入前に確認すべき権限設計と対策

AIエージェントのセキュリティで最も重要なのは、「AIに何を読ませるか」と「AIに何をさせるか」を分けて設計することです。AIが情報を読むだけなら、最悪の場合でも「誤った回答」で済むことが多い一方、AIにデータの更新・削除や外部への送信を許可すると、誤りや攻撃が実際の業務操作として実行されてしまいます。

AIエージェントは、AIが目標に向けて手順を考え、ツールを呼び出して業務を進める仕組みです（基本はAIエージェントとはで解説しています）。本記事では、OWASPの最新のリスク一覧や総務省・経済産業省「AI事業者ガイドライン（第1.2版）」の考え方を踏まえ、企業がAIエージェントを導入する前に確認すべきリスクと対策を、アーキテクチャ図と権限マトリクスで解説します。

チャットボットとAIエージェントの違い

なぜAIエージェントは新しいセキュリティリスクを生むのか

AIエージェントでは、AI（大規模言語モデル）が「次にどのツールを、どの引数で呼び出すか」を判断します。AIの判断は確率的で、外部から読み込んだ文章の影響も受けます。つまり、AIの判断そのものを信頼の境界として扱うことはできません。

OWASP GenAI Security Projectが2026年に公表した「Top 10 for LLM Applications 2026」では、1位がプロンプトインジェクション、2位が機密情報の漏えい、そして「過剰な権限（Excessive Agency）」が前回の6位から3位に上がりました。また、AIエージェントに特化したリスクをまとめた「OWASP Top 10 for Agentic Applications」も公表されており、1位にはエージェントの目標が外部の入力によって乗っ取られる「Agent Goal Hijack」が挙げられています。

総務省・経済産業省の「AI事業者ガイドライン（第1.2版）」（2026年3月）でも、AIエージェントについて、権限を適切に設定することや、人間の判断を適切に介在させることなどが盛り込まれたと解説されています。

あわせて読みたいMCPサーバーのセキュリティ対策｜企業が知るべきリスクと安全な設計

主なリスク1：ツール呼び出しと不正な操作

AIエージェントは、メール・チャット・CRM・ファイル・データベースなどを操作するツールを呼び出します。次のような状況で、意図しない操作が起こりえます。

• 指示の解釈を誤り、対象とは別の顧客データを更新する
• 似た名前のツールを取り違えて実行する
• 処理が繰り返され、大量のメール送信やAPI呼び出しが発生する
• 攻撃者が仕込んだ指示に従って、外部にデータを送信する

主なリスク2：過剰な権限（Excessive Agency）

過剰な権限とは、AIエージェントに必要以上の機能・権限・自律性を与えてしまうことです。

主なリスク3：プロンプトインジェクション

AIエージェントは、メール・文書・Webページ・ツールの実行結果など、外部の文章を大量に読み込みます。その中に「このデータを〇〇に送信せよ」といった指示が紛れ込んでいると、AIが従ってしまうおそれがあります（間接プロンプトインジェクション）。仕組みと事例は生成AIの情報漏えいリスクと対策で解説しています。

AIエージェントでは、この攻撃が「回答の誤り」ではなく「操作の実行」に直結するため、影響が大きくなります。現時点で完全に防ぐ方法はないとされているため、指示が乗っ取られても被害が広がらない設計が重要です。

主なリスク4：機密情報の漏えい

• AIが参照できるデータの範囲が、利用者本人の閲覧権限より広い
• ツールの実行結果（社内データ）が、別のツール経由で外部に送られる
• ログやAIの会話履歴に、認証情報や個人情報が残る

「読ませる」と「させる」の違い

最初は読み取りのみで導入し、効果とリスクを確認してから、限定的な書き込みに広げるのが安全な進め方です。

安全なAIエージェントのアーキテクチャ

AIエージェントとツールの間に、ポリシー・権限レイヤーを置くのが基本の考え方です。AIの判断を直接ツールに渡すのではなく、許可された操作か、承認が必要かを、AIの外側で判定します。

AIと社内ツールをつなぐ標準規格MCPを使う場合のセキュリティ設計は、MCPサーバーのセキュリティ対策で詳しく解説しています。

権限マトリクス（例）

人の承認（Human-in-the-loop）の設計

• 承認画面に必要な情報を出す：何を、どの対象に、なぜ実行するかを明示する
• 承認者を固定しすぎない：不在時に業務が止まらないよう代理承認者を決める
• 承認の疲れを防ぐ：低リスクの操作は承認不要にし、承認が必要な操作を絞る
• 差し戻しを記録する：AIの判断の傾向を把握し、ルールを改善する

監査ログとモニタリング

導入前のチェックリスト

• AIエージェントに任せる業務と、任せない業務を決めた
• 最初は読み取りのみで導入する計画にした
• 接続するツールを必要最小限にし、機能を絞った
• AIが使う認証情報の権限を、利用者本人以下にした
• 操作ごとに「承認不要・人の承認・管理者の承認・禁止」を決めた
• 承認の要否をAIの外側のレイヤーで判定する設計にした
• 回数・金額・対象件数の上限を設定した
• 外部から読み込む文章を「指示」として扱わない設計にした
• ツール呼び出しと承認の監査ログを残す
• 異常時にAIエージェントを停止する手段と担当者を決めた
• 社内ルールにAIエージェントの利用を追加した（社内ルールの作り方）

FlowStack Labsの見解：最初の導入は「読み取り＋下書き」に限定する

AIエージェントの導入でつまずく原因の多くは、技術ではなく最初に任せる範囲の広さにあります。FlowStack Labsでは、次の段階的な進め方を推奨しています。

よくある質問

まとめ

• AIエージェントのリスクは「誤った回答」ではなく「誤った操作」になりうる点にある
• OWASPの2026年版では、プロンプトインジェクション・機密情報の漏えい・過剰な権限が上位
• AIとツールの間にポリシー・権限レイヤーを置き、承認の要否をAIの外側で判定する
• 読み取りのみから始め、権限マトリクスにもとづいて段階的に広げる

FlowStack Labsでは、AIエージェントの設計・開発、既存システムとの連携、権限設計を含めた導入をご支援しています。導入前の設計レビューから、無料相談でお気軽にご相談ください。

参考資料

• OWASP GenAI Security Project「2026 Top 10 for LLM Applications」発表（2026年9月）
• OWASP Top 10 for LLM Applications
• OWASP Top 10 for Agentic Applications（2025年12月）
• 総務省・経済産業省「AI事業者ガイドライン（第1.2版）」
• PwC Japan「AI事業者ガイドライン」解説コラム