Askhub
資料請求 お問い合わせ
お問い合わせ

ナレッジ

AIエージェントのセキュリティ全体像｜段階的に任せる進め方と情シスへの説明

任せられるかは、モデルの賢さで決まらない

「もっと賢くて安全なモデルが出れば、AIに業務を任せられるようになる」
多くの方が、そう考えていると思います。

でも、それは違うと私たちは考えています。

どれほど賢いモデルでも、指示を取り違えることはあります。読んだメールに仕込まれた指示に、引っ張られることもあります。
任せられるかを決めるのは、モデルの賢さではありません。AIの外側に何を用意しておくかです。

AIエージェントのセキュリティとガバナンスとは、この外側の仕組みを先に決めておくことです。
何を許すか。どう記録するか。どう止めるか。データをどこへ渡すか。
AIに業務の記録を書き換えさせる前に、この4つを決めておきます。

決まっていれば、AIには段階を踏んで仕事を任せられます。
最初は、読むことと候補を出すこと。判断の基準がはっきりした業務から、記録の書き換えまで広げる。
守りは最初に強くしておき、実績に応じて緩めます。

このシリーズは、業務部門やDX推進の立場で「この業務をAIに任せたい」と考える方に向けて書いています。情シス・セキュリティ・法務の審査を通す役目を負う方で、私たちは推進者と呼んでいます。
この記事は、その入口です。考え方の全体像と、説明資料を作るときの記事の読み方を示します。

まずは、AIが記録を書き換えると何が変わるのかから考えます。

書き換えるAIは、答えるAIとは別物

社員に配る生成AIの多くは、質問に答え、下書きを作るところまでです。
間違えても、人が読んで直せば済みます。

でも、業務の工数を本当に減らそうとすると、AIに記録の更新まで任せたくなります。
営業の商談記録をSFAに残す。経理の入金を請求書に消し込む。経営企画の会議資料の数字を集めて更新する。
ここから先は、AIの出力がそのまま会社の記録になります。

人の担当者は、権限があっても控えめに動きます。業務の知識と社内規程があるからです。
AIは違います。指示を取り違えたり、メールに仕込まれた指示に引っ張られたりして、渡された権限を使い切ることがあります。

だから、問いが変わります。
「AIは賢いか」から、「AIに何をさせてよいか。それを誰がどこで確かめるか」へ。

私たちの答えはシンプルです。
何でもできるAIに、あえて制限をかける。これまで人が気をつけていたことを、仕組みで先に決めておく。

中心になるのは、業務の型（オントロジー）です。業務のもの・状態・関係と、許される操作を会社として定めたもの。AIに許す操作を、ここであらかじめ決めます。
業務の型は設計の考え方なので、基幹の業務APIでも、ワークフローでも、内製でも形にできます。

この考え方は、私たちだけのものではありません。

統制は、モデルの外に置く

マイクロソフトのサティア・ナデラCEOは、2026年10月10日に論考を公開しました（Satya Nadella『Models as Insider Risks in the Super Intelligence Era』）。
AIモデルを、社内の「内部リスク」として扱うという提案です。
理由は、どれほど有能な主体でも、誤ることも乗っ取られることもあるから。
挙げた7つの原則には、次のものが含まれます。統制はモデルの外に置く。意味のある操作には、改ざんできない記録を残す。権限を持つ人が、途中でも止められる。

ただし、マイクロソフトはAIエージェントの管理製品を売っています。Forbesの寄稿記事は、その立場を踏まえて読むよう促しています。
私たちもAIの基盤を提供しているので、同じ利害関係があることをお断りしておきます。

米Gartnerも2026年2月25日、初の市場ガイドを出しました。AIエージェントを監督する仕組みを、「ガーディアンエージェント」と呼んでいます（The Hacker Newsの寄稿記事による紹介。寄稿は同分野の企業）。
2026年9月の報告でも、既存のガバナンスの上に監督の層を重ねるよう勧めています（Gartnerの要約ページ）。
見る、確かめる、止める。その役目を、AIとは別の層に持たせようという流れです。

国内でも、同じ教訓が見えています。
2026年9月末から、不正アクセスによる情報漏えいの公表が相次ぎました。

JPCERT/CC（国内のセキュリティ事故への対応を調整する組織）は、10月8日に注意喚起を出しました。非公開のものを含む各APIで、アクセス制御を行うよう求めています。
10月15日の攻撃手法の調査も、画面の側ではなくサーバー側で、操作の対象と内容に応じて認可するよう勧めています。

AIの事案ではありません。でも、「誰に何を許すかを、受け付ける側で判定する」という教訓は、AIにもそのまま当てはまります（相次ぐ不正アクセスはなぜ止まらない？）。

では、社内の審査では何を物差しにすればよいか。
国内の指針も、そろいつつあります。

総務省・経済産業省のAI事業者ガイドライン（第1.2版、2026年3月31日）は、重要度に応じて人の判断を挟み、操作の記録を管理するよう求めています。
拘束力はありませんが、承認と判断ログ（AIの提案と人の判断の記録）の設計を説明するときに使えます。

金融庁の財務報告に係る内部統制の基準（2023年改訂）には、ITの委託業務の統制の重要性が書き加えられました。外部の基盤で承認を動かすなら、委託先の評価として説明します。

個人情報保護法では、外国にある第三者に個人データを渡すには、本人の同意などの根拠が要ります。
2026年7月公布の改正法による委託先の規律の見直しは、2026年10月時点で政令などの公表を待つ段階です（個人情報保護委員会）。

どれも「AIだから特別なこと」を求めているわけではありません。
人の判断を挟む場所。記録。委託先。データの行き先。
これを説明できれば足ります。このシリーズの各記事は、その説明の材料になるように書いています。

では、そのうち何を仕組みで決められ、何が人に残るのでしょうか。

決められることは、先に決める

OWASP（国際的なセキュリティ団体）のLLM（大規模言語モデル）アプリ向けのリスク一覧（2026年版、2026年8月公開）と、エージェント向けのリスク一覧（2026年版、2025年12月公開）。AIの管理の国際規格ISO/IEC 42001。国内の不正アクセス事案。
これらをもとにAIエージェントの懸念を整理すると、大きく3つに分かれます。

1つ目は、仕組みで先に決められるもの。
権限の与えすぎ。IDや鍵の悪用。データの送り先。
AIが実行できる操作、承認の手順、送り先を、AIの外の仕組みで決めれば備えられます。

2つ目は、被害を限るところまでしかできないもの。
読んだ文章による乗っ取り（プロンプトインジェクション）。社内検索で権限外の文書が見えること。誤った情報による書き込み。承認が形だけになること。
読む経路は守りきれない前提で、書き込みと送信の側を絞ります。承認と判断ログで確かめます。

社内検索をこちらに置くのには、理由があります。
検索の前に利用者の権限で絞っても、元の文書の共有設定が広すぎれば、見えてはいけない文書まで見えてしまうからです。AIの側をいくら固めても、元の設定の誤りまでは直せません。

3つ目は、運用と組織に残るもの。
保守とモデル更新。会社が把握していないAIの利用。責任の分け方。
ここは担当を決め、定期的に見直します。

記録を残すことも、AIを止める手段も、仕組みとして用意できます。
ただ、記録を見て「止める」と決めるのは人です。

仕組みは、決めた基準をそのまま守ります。だから、基準そのものの誤りは防げません。
基準を決める。外れた1件を判断する。見直す。結果を説明する。この仕事は人に残ります。
自動化が進むほど、人に残る仕事は「確認して、承認する」ことになると私たちは考えています。
どこまでをシステムが持ち、何を運用で持つかは、AIエージェントの責任は誰が負う？システムと運用の責任分界で整理しています。

ここまでは、1つのAIの話です。
AIが複数つながると、何が加わるでしょうか。

AI同士がつながっても、判定は外で

問い合わせ対応のAIが、支払いを扱うAIに依頼する。複数のAIがつながると、懸念が3つ加わります。
最初から複数のAIをつなぐ必要はありません。ただ、将来の構成を聞かれたときの答えとして押さえておくと安心です。

1つは、依頼の権限の取り違え。
受けた側が自分の権限でそのまま実行すると、権限の低い側の依頼が通ってしまいます。依頼に「誰の代わりか」を添え、大元の利用者の権限で判定し直します（AIエージェントは誰の権限で動くのか）。

もう1つは、共有データを通じた汚染。
1つのAIが台帳に書いた偽の情報を、別のAIが正しいものとして使います。書き込みが、次のAIにとっての読む経路になります（プロンプトインジェクションとは？）。

最後は、連鎖的な障害。
1つの誤りが、後続のAIに広がります。OWASPのエージェント向けのリスク一覧は、備えを2つ挙げています。AI同士が、互いの身元を確かめ合うこと。異常を検知したら、自動化を抑えるか止める仕組み（AIエージェントの監視と停止）。

備え方は、どれも同じです。
AIの外側で、「誰の代わりか」を含めて毎回判定する。全体を一度に止められるようにしておく。

では、実際にはどこから任せればよいのでしょうか。

読む、候補を出す、書き込む

私たちは、任せ方を3段階で考えています。
読む。候補を出す。書き込む。
部門ごとに例を挙げると、次のようになります。

部門

1. 読む

2. 候補を出す

3. 書き込む

営業

商談メモや過去のやり取りを読んで要約する

SFAに残す商談記録の下書きを作る

決めた項目だけを、担当者の確認を経てSFAに記録する

経理

請求書や入金明細を読み取る

入金と請求書の消し込み候補を示す

条件に合う消し込みを、承認を通して記録する

経営企画

基幹システムや表計算から数字を集める

会議資料の数字と、差異の説明の案を作る

承認された数字だけを資料に反映する

1と2の段階では、記録に反映するのは人です。
AIに任せるのは読むことと提案までなので、誤りがあっても人の確認で止まります。
3の段階に進むのは、判断の基準を言葉にでき、取り消し方がはっきりした業務からです。

読み取りと提案だけなら、書き込みの仕組みは要りません。
それでも、やっておくことはあります。権限を読み取り専用にする。社内検索を利用者の権限で絞る。AIに外へ送る手段を持たせない。データの行き先を確かめる。

手始めに、社内で使っているAIと、AIが動く経路を一覧にします。画面、定期実行、外部のAI。
そのうえで、任せたい業務を1つ選びます。

導入がスムーズに進みやすいAIの選び方

次の基準を満たすベンダー・作りなら、情シスへの説明が短く済み、導入がスムーズに進みやすくなります。

  1. AIが書き込める範囲と送れる先が、AIの外の仕組みで決まっている：AIへの指示（プロンプト）に頼らず、定義していない操作は実行できない（AIエージェントの権限設計）
  2. 任せる範囲を段階で広げられる：承認と判断ログ（AIの提案と人の判断の記録）が残り、それを根拠に自動で承認する範囲を広げられる（AIエージェントの承認はどの粒度で？承認疲れと自動承認ルール）
  3. AIの操作が人と区別して記録され、必要なときに止められる（AIエージェントは誰の権限で動くのか・AIエージェントの監視と停止）
  4. データの行き先を、業務とデータの重さに応じて選べ、説明できる（生成AIに渡すデータはどこの国へ？保存先の確かめ方と個人情報保護法28条）

統制を置く場所の選び方は、AIエージェントの権限設計で整理しています。基幹に同梱のAI、全社の管理製品、業務の型を持つ基盤。形はいくつもあります。
どれを選んでも、統制をAIの外に置くことに変わりはありません。

先のForbesの寄稿記事には、もう1つ大事な指摘があります。統制の道具そのものも外から観察・検証でき、必要なら取り替えられるかを問うべきだ、というものです。

置き場所を選ぶときは、2つも確かめておくと説明が通りやすくなります。その層を通らない書き込みの道がないか。AIを動かす側と記録を持つ側が、同じになっていないか。

6つの問いに、1本ずつ答える

社内で聞かれることは、おおむね6つの問いに分かれます。私たちは、1つの問いに1本ずつ記事を用意しました。

「AIに何をさせてよいか」には、AIエージェントの権限設計。権限は業務操作（「入金を消し込む」のような、記録を変える操作の単位）で切り、定義にない操作は実行できなくします。
「任せる範囲をどう広げるか」には、AIエージェントの承認はどの粒度で？承認疲れと自動承認ルール。承認は業務操作に付け、判断ログを根拠に、人が確定した自動承認の条件へ移します。
「誰がやったか、何を見られるか」には、AIエージェントは誰の権限で動くのか。AIの操作を人と区別して記録し、権限は本人より狭く、鍵はAIに見せません。
「乗っ取られたらどこまで壊れるか」には、プロンプトインジェクションとは？防げない前提の対策と確認8項目。書き込み・実行・送信の側を絞って、被害を限ります。
「おかしいとき止められるか」には、AIエージェントの監視と停止。記録は動かす側から独立させ、止め方を用意して試しておきます。
「データはどこへ行くか」には、生成AIに渡すデータはどこの国へ？保存先の確かめ方と個人情報保護法28条。行き先は、業務とデータの重さに応じて段階で選びます。

稟議や説明資料を作るなら、読む順番にもおすすめがあります。
まず権限設計の記事で、最初に任せる業務と、許す操作の決め方をつかむ。
次に承認の記事で、任せる範囲の広げ方を説明できるようにする。
データの行き先の記事と、AIエージェントの責任は誰が負う？システムと運用の責任分界で、法務と責任の問いに備える。
最後に社内審査の準備で、資料を仕上げる。

情シスが特に気にする論点を先に押さえたいなら、相次ぐ不正アクセスはなぜ止まらない？も読んでおくと話が早くなります。
保守の体制はAIで作ったアプリは誰が直す？。経営への説明には、ISO/IEC 42001とは？とセキュリティもガバナンスもAIが解決する？人に残る3つの仕事が役立ちます。

答えの出ていない問いもある（2026年10月時点）

情シスや法務から聞かれて、「業界としてまだ答えが出ていない」と正直に答えてよい論点もあります。
決着を待つ必要はありません。各記事では、待たずに進める備え方を示しています。

プロンプトインジェクションは、AIの各社とも完全には防げないとしています。だから、書き込みと送信の側を絞ります（プロンプトインジェクションとは？）。
AIエージェント自身のIDは、ベンダーをまたぐ共通の答えがまだありません。当面は、人と区別して記録できることを確かめます（AIエージェントは誰の権限で動くのか）。
改正個人情報保護法の政令・規則も、まだ示されていません（個人情報保護委員会）。今の法令と契約の言葉で説明できる行き先を選びます（生成AIに渡すデータはどこの国へ？）。

費用は、1つの業務から小さく

稟議では、費用も聞かれます。
かかるのは、統制の仕組みの導入と保守。許す操作やルールを定義して見直す人の時間。AIの利用料とその上限。認証を取るなら審査の費用。データの行き先の説明に要る運用。
行き先の段階を上げるほど、この運用は増えます。金額は、業務の範囲によって大きく変わります。

だから、最初は1つの業務に絞ります。
読み取りと候補の提示から始めれば、初期の費用も社内の調整も小さく抑えられます。

情シスに説明するときの要点

  • AIの権限は、AIへの指示ではなく、AIの外の仕組みで決めます。定義していない操作は実行できません
  • 最初は読み取りと候補の提示までで、記録への反映は人が行います。書き込みは、判断の基準と取り消し方がはっきりした業務から任せます
  • AIの操作は人と区別して記録し、必要なときは止められます
  • データの行き先は、業務とデータの重さに応じて選び、法令と契約の言葉で説明します
  • 基準を決め、例外を判断し、見直す担当を業務部門の側で持ちます

モデルを信頼しきらなくても、任せられる

AIが記録を書き換える担当者になると、問いは「AIは賢いか」から「何をさせてよいか、誰がどこで確かめるか」に変わります。
書き込みや送り先は、仕組みで先に決められる。読む経路と人の承認は、書き込みと送信を絞って被害を限る。保守と組織の仕事は、運用に残る。
統制はAIの外に置き、読む、候補を出す、書き込むの順に任せる範囲を広げる。

ナデラ氏の論考の結びを借りれば、最も信頼できるシステムとは、最も信頼できるモデルを使うものではありません。モデルを最も信頼しなくて済むものです。
私たちも、同じ考えです。

AIを信頼しきらなくてよい仕組みがあれば、AIに任せる仕事は着実に増やしていけます。
まずは1つの業務を選び、読むところから始めてみてください。
そこから任せる範囲は、確実に広げていけると私たちは確信しています。

関連記事

参考資料

Askhubについて

Askhubは、日本の中堅・大企業がAIに業務を任せるための基盤です。業務の型（オントロジー）でAIに許す操作を定め、承認と判断ログで任せる範囲を広げながら、国産の基幹システムまで書き込めるようにします。導入はコンサルタントが伴走します。

Askhubは、本文で何度も述べた「統制はAIの外に置く」を、作りの土台にしています。業務の型を決めたデータへの書き込みは、画面からの操作でも、会話のAIや外部のAIツールからでも、サーバー側にある同じ書き込みの関門を通ります。設定の抜けや想定外の状態に出会ったときは、「とりあえず動かす」のではなく「止めて知らせる」ことを、機能をまたいだ原則にしています。管理者は、必要なときにエージェントの動きを柔軟に止められます。業務の型の定義やルールの確定は、本文のとおりお客様の側に残ります。

※Askhubのサービスに関する記載は、2026年11月時点の情報です。

関連する機能：製品の全体像、AIエージェント

ナレッジの記事をもっと見る