8月12日、Infobloxのブログ筆者（同社のITリーダー視点で執筆）が「How Many AI Agents Are Running in Your Organization?」と題した記事を公開した。組織内で把握されていないAIエージェントの存在が効率性とセキュリティの両面でリスクになるという問題と、ITリーダーがとるべき発見・管理のアプローチについて詳しく論じている。「自社でエージェントが何体動いているか正確に答えられない」という書き出しが、今まさに多くの組織が直面している現実を突いている。
「何体動いているか」を答えられるCTOは何人いるか
記事の書き出しは率直だ。「Infobloxで何体のAIエージェントが動いているかと聞かれても、正確には答えられない」——これは筆者自身の話である。大まかな規模感と一部のレジストリはあるが、包括的な数や全体像は把握できていないと認めている。
この状況は珍しくない。問題は把握できていないこと自体ではなく、その見えていない部分が効率性とセキュリティの両方に直結するという点だ。
エージェントが組織に入り込む4つの経路
記事では、AIエージェントが組織内に広がる経路を4つに整理している。
1. チームレベル
開発・エンジニアリングチームが、既存の予算枠内でコードアシスタントや自前のエージェントを構築する。部門長との連携があれば把握できる範囲だ。
2. 個人レベル
クラウドアカウントさえあれば誰でも立ち上げられる。費用が少額すぎて経費申請のしきい値に引っかからず、表面化しない。筆者は「ブラックボックス」と表現している。
3. ベンダーレベル
以前に購入したソフトウェアの中で、ベンダーが静かにエージェント機能を有効化している。新規購入ではないため調達記録に残らず、リリースノートの記載がアプリケーション担当者の目に届かないまま終わる。
4. 攻撃者レベル
これは単なるスプロール（管理外の増殖）ではなく、意図的な侵害だ。攻撃者はゼロからエージェントを作る必要がない。**非人間アイデンティティ（サービスアカウント、OAuthアプリ、マシン認証情報）は人間アカウントより監視が緩いケースが多い**ため、既存エージェントの認証情報を奪って悪用するだけで済む。
特に厄介なのが**プロンプトインジェクション**（メールやWebページなど外部コンテンツに悪意ある命令を埋め込み、エージェントに意図しない動作をさせる攻撃）だ。ネットワークへの侵入すら不要で、エージェントが悪意あるコンテンツを読んで実行するだけで成立する。プロンプトインジェクションはOWASPのLLMアプリケーション向けTop 10でも最上位に挙げられており、エージェントの普及とともに攻撃面として急速に注目されている。
「発見」が最初の一手
エージェントをガバナンス（管理・統制）するにはまずその存在を知らなければならない。記事はこれを「ディスカバリー（discovery）」と呼び、自己申告ではなく能動的・継続的なプロセスである必要があると強調している。
理由は単純だ。問題になるのは把握済みのエージェントではない。名前の通った担当チームがいて、アクセス権が文書化され、ガバナンスプロセスに組み込まれているエージェントはすでに管理下にある。リスクは未発見のエージェントにある。
また、一時点でのインベントリ（棚卸し）では追いつかない。記事内でInfobloxが引用するIDCの推計によれば、2029年までに世界で稼働するAIエージェントが10億体を超えるとされており、これは2025年比で40倍の規模にあたる。スプレッドシート管理が機能する速度ではない。
筆者が実際に引いている4つのシグナル
記事では、具体的なアプローチとして「4つのシグナルを照合する」手法を紹介している。
| シグナル | 着目点 |
|---|---|
| Identity（アイデンティティ） | 過去約18ヶ月に作成された非人間アイデンティティ（サービスアカウント、OAuth apps、マシン認証情報）。多くはエージェントだが、そう呼ばれずに登録されている |
| Egress（外部通信） | モデルプロバイダーや既知のエージェントエンドポイントへのアウトバウンドトラフィック |
| Procurement（調達記録） | 最近の契約更新と現在のベンダー製品を照合し、埋め込みエージェントを洗い出す |
| DNS | すべてのエージェントは名前解決なしには動けない。DNSログは上記3つのシグナルを横断して観測できる唯一に近いレイヤーだ |
筆者はInfobloxの立場からDNSに言及することへの自覚を示しつつも、「それでもあえて言う」と述べている。DNSをセキュリティ可視化の基盤として活用するアプローチは、CISA（米サイバーセキュリティ・インフラセキュリティ庁）のDNSセキュリティガイダンスでも推奨されており、エージェント管理に限らず幅広い脅威検知に有効な手法として認知されている。
ゴールは「完全把握」ではなく「継続的な能力」
記事の末尾で筆者は「完全な可視性を目指している。ただし、それを達成宣言できるとは思っていない」と書いている。新しいエージェントが作られ続ける以上、これは期限付きのプロジェクトではなく、永続的に動かし続けるケイパビリティ（能力）だという結論だ。
どのエージェントを信頼するか、どのデータにアクセスを許可するか、どれを廃止するか——そうした判断を下す主体はITリーダー自身であり、その前提としてまず「何が動いているか」を知ることが必要だと、記事は締めくくっている。
詳細はHow Many AI Agents Are Running in Your Organization?を参照していただきたい。
