「自律するAIの時代」解説—PwC×TrendAI共同レポートが示すAIエージェントの構造的リスクとAI-CALフレームワーク|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年07月31日更新日時: 2026年07月31日

PwCコンサルティングとTrendAI（トレンドマイクロ）は2026年6月、「自律するAIの時代——AIエージェントのサイバーリスクと実践的ガバナンス」と題した共同レポートを公開しました。13種類のAIモデルに対して2,600件の攻撃テストを実施した実証研究を含む本レポートは、ChatGPTなどの生成AIからAIエージェントへの移行が企業にもたらすリスクの性質的転換を体系的に整理し、段階的なガバナンス体制の構築を提言しています。本記事ではそのエッセンスを解説します。なお詳細はTrendAI公式ページからレポートを無料でダウンロードできます。

PwC×TrendAI共同レポート「自律するAIの時代」の概要サマリー

AIエージェントへの期待と統制準備のギャップは深刻。PwCの「Global Digital Trust Insights 2026」ではセキュリティリーダーの35%がAIエージェント能力強化を12か月の優先事項とする一方、全脆弱性領域で十分な対応能力を持つ組織は全体の6%にとどまる
日本企業のAIエージェント導入・検討層は合計71%に達しているが、AIガバナンスのための中央組織（第1線・第2線で構成）を整備している企業は日本23%（米国63%）と大幅に遅れている
Anthropic・OpenAI・Google・DeepSeekの4プロバイダ13モデルに対して200種類のプロンプトで2,600件の攻撃テストを実施。複数プロバイダでデータ持ち出しの完全成功・部分成功を確認
保存型プロンプトインジェクション攻撃は特別なAPIアクセスや内部知識を必要とせず、モデル横断的に成立する
レポートはAIエージェントの安全な本番投入のための「AI統制保証水準（AI-CAL）」というフレームワークを提唱
日本企業が優先すべきアクションとして①権限管理の確立 ②観測性・制御性の基盤整備 ③AI-CAL評価プロセスの制度化の3領域を提示

整理表

項目	内容
発行	PwCコンサルティング × TrendAI（トレンドマイクロ）2026年6月
対象読者	CIO・CISO・IT戦略部門・セキュリティ部門・リスク管理部門
実証テスト規模	4プロバイダ13モデル・200種類プロンプト・2,600件並列テスト
主要フレームワーク	AI統制保証水準（AI-CAL）：AI-CAL1〜4の4段階
主な脅威分析基盤	OWASP Agentic Security Initiative（T1〜T17）
日本企業のAIガバナンス中央組織整備率	23%（米国63%、英国54%）
ダウンロード	無料（PwC Japan公式ページ）

生成AIとAIエージェントの決定的な違い

従来の生成AIはユーザーの入力に応じて応答を返す単一ターンの存在でした。出力を確認し判断を下すのは常に人間であり、誤りが生じてもその影響は誤回答や不適切な提案にとどまっていました。

AIエージェントはこの前提を根本から変えます。目標を与えられたエージェントはタスクを自ら分解し、外部ツールやAPIを呼び出し、他のシステムに作用しながら処理を進めます。人間の逐次的な承認なしに実行が進む場面が生まれ、誤りや逸脱はそのままシステム上の行動として現れます。レポートはこの転換を「AIの精度という論点から、権限・監督・責任分界という統治の問題への移行」と表現しています。

サーバーサイドエンジニアとして5年間、業務システムと外部APIの連携設計に携わってきた経験から言えば、ここで問われるのは従来のAPIセキュリティやWebアプリケーション防御の延長ではありません。「AIが誰の代理として、何の権限で、どのシステムに作用するか」という問いが、統制設計の中心になるということです。

5段階の自律レベルとリスクの質的転換

レポートはAIエージェントの自律性をL1（補助）からL5（完全自律）の5段階に分類しています。L1〜L2では人間が最終判断を下し、リスクは主に出力の正確性の問題にとどまります。L3（条件付き自律）を超えると様相が変わります。ツールの自動実行・状態保持が始まり、従来は人間が吸収していた誤りや逸脱がシステム上の行動として現れ始めます。

L4（高度自律）では思考・記憶・監督・連携・行動が密接に連動し、部分的な誤りが連鎖的な障害へと増幅しやすくなります。L5（完全自律）では複数エージェント間の委任や共有状態を通じて、リスクが単体のAIからシステム全体へと拡張します。リスクが量的に増えるのではなく、性質そのものが変わる点が重要です。

AIエージェントが持つ3つのサイバーリスク論点

レポートはAIエージェントのサイバーリスクを3つの論点に集約しています。

①統治・IDと権限管理：AIエージェントは非人間の主体でありながら、人間の目標を受け、他のエージェントへ作業を委ね、複数のシステムを横断して行動します。誰の代理で何をどこまで実行できるかの管理が曖昧なままでは、過剰権限の残存・委任連鎖による権限逸脱・責任分界の不明確化が生じます。OWASP Top 10 for Agentic Applications for 2026でも「侵害されたエージェントは正規のシステムアクセス権を用いてサイレントに権限を昇格し横方向に移動できる」と警告されています。

②自律性とブラックボックス化：自律レベルが上がるほど、エージェントがどの情報を参照し、どの計画を立て、どのツールを選んだかという因果関係を人間が事後的に再構成しにくくなります。これは「説明しにくい」という問題にとどまらず、監査・説明責任・停止判断そのものが困難になるという統制上の問題です。レポートの引用試算では、1ステップあたり5%の誤り率であっても100ステップの処理連鎖を経ると63%の失敗率に達するとされており、連鎖的な誤りの増幅は無視できないリスクです。

③外部環境との相互作用：L3以降のエージェントが検索・API・メール・コード実行環境・SaaSと連携する段階では、外部から入る情報が判断材料にとどまらず行動指示として機能しえます。正規のツールアクセスが攻撃の実行エンジンになるという構造が生じます。

13モデル・2,600件テストが示した実証結果

レポートが特に価値を持つのは、このリスクが実際に顕在化することを実証した点です。顧客サポートのトリアージエージェントとKYC（本人確認）文書処理パイプラインという2つの概念実証環境に対して、保存型プロンプトインジェクションを用いた攻撃を実施しています。

攻撃者は見た目には通常の問い合わせチケットや本人確認用パスポート画像の中に悪意ある命令を埋め込みます。エージェントがそれを通常のデータとして読み込んだ瞬間、命令として機能し始め、DBの読み取り・書き込みを連鎖させて他顧客のデータを窃取するツール呼び出しが実行されます。

特に注目すべきは攻撃の特徴です。特別なAPIアクセスや内部アーキテクチャの知識を必要とせず、モデル横断的に成立し、自動化フレームワークによって大規模化できます。4プロバイダ13モデルに対して200種類のプロンプトで2,600件のテストを実施した結果、複数プロバイダにまたがって完全成功・部分成功の両方が確認されています。これはモデル固有の脆弱性ではなく、アーキテクチャ起因の構造的問題であることを意味します。

Claude Code（Anthropicのコーディングアシスタント）でも同様の構造的問題——シンボリックリンクを経由した無承認ファイル送信——が報告されており、AIエージェントの外部入力処理に関する課題は複数の製品・環境で共通して観測されています。

AI統制保証水準（AI-CAL）という新しい枠組み

レポートが提唱するAI-CAL（AI Control Assurance Level）は、自律レベルに応じて全機能ドメインで満たすべき最低条件を定めたフレームワークです。AI-CAL1（L1〜L2対応）からAI-CAL4（L5対応）の4段階で構成されており、自律レベルを「成熟度」ではなく「本番投入の許容水準」として読み替えることが特徴です。

統制は予防・検知・対応の3層で整理されています。AI-CAL2（L3対応）では、Agentic IAM・JIT権限付与・サンドボックス化・承認ゲートが予防的統制の中核となります。AI-CAL3（L4対応）ではエンドツーエンドのトレースと部分停止能力が必須条件として加わります。AI-CAL4（L5対応）では委任チェーン管理・共有状態の隔離・全体停止設計が求められます。

すべてのAI-CALに共通する横断必須要件として、観測性（入力ログ・計画履歴・ツール呼び出し・メモリ更新・外部接続・承認差し戻し記録）と制御性（承認ゲート・権限縮退・実行回数制限・特定ツール遮断・部分停止・全面停止）が位置づけられています。

Open Secure AI Alliance（OSAA）がオープンなAI防衛ツールの共有を推進しているように、AIエージェントのセキュリティガバナンスは2026年を通じて業界全体の最重要課題として位置づけられつつあります。AI-CALはその文脈での企業内部の判断基準として機能します。

日本企業が今すぐ取り組むべき3つの領域

レポートが提言する3つのアクション領域は、特定のベンダーや製品に依存しない普遍的な統制原則に基づいています。

①権限管理の確立（第1優先）：最小権限の原則・職務分離・JIT権限付与は既存のIAM基盤の延長で実施できます。AIエージェントを便利なシステムアカウントとして扱うのではなく、委任範囲・承認条件・失効条件・証跡取得を明示的に設計します。

②観測性・制御性の基盤整備（第2優先）：まずエージェントの入出力ログ・ツール呼び出し履歴・承認差し戻し記録の取得から着手し、段階的にエンドツーエンドのトレースへ拡張します。異常時に部分停止や縮退運転へ移行できる制御性の設計も合わせて必要です。

③AI-CAL評価プロセスの制度化（第3優先）：新規投入時・モデル更新・ツール追加などの変更時にAI-CALの再評価を制度として組み込みます。AI-CALは「当社のAIエージェントはAI-CAL1を確保済みで、AI-CAL2に向けた施策を実行中」という形で経営層への説明フレームとしても機能します。

この3領域の関係は独立ではなく依存関係を持ちます。権限管理が予防の基盤を形成し、観測性・制御性が予防の突破に備える検知・対応の基盤を提供し、AI-CAL評価プロセスがこれらを統合して持続的な統制判断を可能にするという構造です。

レポートの入手方法

本レポートの全文（47ページ）はPwC Japan公式ページから無料でダウンロードできます。AI-CALごとの最低統制条件の詳細表・OWASP ASI脅威タクソノミー全17件の解説・自律レベル×機能ドメインのリスクマッピング表・日本企業向けの導入段階別ロードマップ（Phase 0〜3）など、本記事では紹介しきれない実務的な内容が掲載されています。

▼「自律するAIの時代」レポートをダウンロードする（TrendAI公式）