AIが、あなたが受け入れてきたあらゆるリスクを一気に顕在化させる：AI Security Panel: Unfilteredから得た7つの洞察

10月14日、サンフランシスコで開催されたAI Security Summit（AISS）のメインイベント前日の午後、SnykはAI Security Panel: Unfilteredを開催しました。Yahoo FinanceのDeirdre Bosaが司会を務め、AIセキュリティをそれぞれ異なる立場から見つめる4人が登壇しました。

• Manoj Nair、Snyk CTO兼最高イノベーション責任者

• Michael D'Angelo、OpenAI サイバー部門テクニカルリード

• John Hultquist、Google Threat Intelligence Group チーフアナリスト

• Ed Sim、boldstart ventures 創業者兼ジェネラルパートナー

AIをどう規制するか、エージェントをどう監督するか、どこまで信頼するかについて意見は分かれたものの、根本的な状況認識はほぼ一致していました。AIによって攻撃は安価で高速になり、ほぼ誰でも実行できるようになった。その結果、組織がこれまで受け入れてきたあらゆるリスクが一気に顕在化しています。脆弱性の発見は月を追うごとに容易になりますが、それを修正できるかどうかが
実際のボトルネックです。実際のアイデンティティ、権限、意図に関する管理のもとで、機械が修正作業の大部分を担うようにならなければ、防御側はこのギャップを埋められません。

このパネルはAISS 2026のどのような位置づけだったのでしょうか？

AISSは昨年（2025年）、サンフランシスコで初開催され、チケットは完売しました。今年のメインイベントは10月15日に開催され、昨年同様、会場は満席となりました。

イベントのタグラインが示すとおり、組織全体のAIリスクを担う人々が、一つの部屋に集い、一つのトラックで丸一日過ごすイベントでした。11月25日には、コペンハーゲンとシドニーで地域版の「サテライト」イベントも開催されます。AISSはSnykとAI Engineerによる取り組みで、基本ルールは、ありきたりな決まり文句に頼らないこと、そして全員がただ同意するだけのパネルは設けないことです。だからこそ、先に触れた意見の相違が重要なのです。実際、私たちを分断するものより、結びつけるもののほうが多いと分かりました。

このパネルは、イベント前日の午後にSnykが主催した幕開けのセッションでした。主なテーマは、現在の脅威、今後の脅威、その責任を担うのは誰か、そして月曜の朝から何をすべきかという4つです。イベント本編では、各セッションでそれぞれのテーマを深く掘り下げました。パネルでは全体を俯瞰し、最先端のAI研究機関、脅威インテリジェンスチーム、投資家、そしてコードやエージェントが生み出される現場で活動するセキュリティ企業の視点が交わりました。

活気に満ちた深い議論から、7つの洞察が浮かび上がりました。

1. AIは、すでに抱えているリスクへの「追証」なのはなぜか？

AIが悪用するリスクの大半は、すでに存在していました。変わったのは、それを現実の被害に変えるコストです。

Manojは、Snykの顧客の言葉を借りてこう説明しました。「攻撃者が使っているのがAIです。AIは新たな攻撃対象領域であると同時に、内部脅威でもあります。」そして、その結果をこう述べました。

「これは、既存のリスクすべてに関わることです。それらへの追証なのです。」

Manoj Nair、Snyk

続いてJohn Hultquistが、その仕組みを説明しました。攻撃者は約8年前から自律型テクノロジーを使っており、偽画像やスピアフィッシングメールから、ディープフェイクによる電話、さらには作戦全体へと活用範囲を広げてきました。北朝鮮のIT労働者は、現在、モデルを使って作戦の最初から最後までを実行しています。モデルは攻撃そのものの能力も高めます。攻撃の最中に問題を解決し、ネットワーク内をより速く移動し、新たに公開されたパッチを、ほとんどの防御側が適用する前に実用的なエクスプロイトへと変えるのです。しかも規模を拡大できます。「今や、はるかに多くの人がこうしたツールを使えるようになっています。」

Ed Simは、韓国の銀行への侵害事件を挙げました。CrowdStrikeによると、実行者は中国を拠点とする26歳の人物1人で、オープンソースのAIペネトレーションテストエージェントと商用コーディングエージェントを使っていた可能性が高く、少なくとも9行が標的になったと報じられています。CrowdStrikeのAdam Meyersは記者団に、この事件によって「AIの力を使えば、1人の人間がごく短時間で多数の顧客を標的にできる」と述べました。Edの結論はこうです。「世界中に散らばり、人間と機械を擁するハッカーたちと戦うことはできません。」

Hultquistは、その背景にある非対称性を指摘しました。攻撃者はごく低いコストで試行錯誤できます。もし彼が銀行強盗の新しい手口を試して失敗すれば、「おそらく刑務所行きか、それ以上のことになるでしょう」。しかしオンラインでは、「同じような結果を被ることはありません」。

2. AIエージェントが、これまでとは異なる攻撃対象領域となるのはなぜか？

この新たな攻撃対象領域は、自律的に動作します。エージェント、そのエージェントが読み込むスキル、そして取得・蓄積するアクセス権限です。

開発はまさに（ようやく？）ソフトウェア工場となり、エージェントがコードを書き、必要なものにアクセスします。そして、アクセスするものはすべて攻撃対象領域になります。なかでも特に注意が必要なのがエージェントスキルです。平易な英語で書かれているため、Manojの言葉を借りれば、「英語の3行がマルウェアになる」可能性があるからです。SnykのToxicSkills調査では、スキャンした3,984件のスキルの36.82%に少なくとも1つのセキュリティ上の欠陥が見つかり、悪意あるペイロードも76件確認されました。ClawHubに公開するのに必要だったのは、Markdownファイルと、作成から1週間のGitHubアカウントだけでした。

Hultquistは攻撃者の視点も加えました。脅威アクターは、自律システムを攻撃するより、利用することを好んできました。ただし例外があります。人々が個人用エージェントに生活のあらゆる情報へのアクセスを与えたとき、攻撃者は「集約によって生まれるあらゆる機会に気づき、そこに狙いを定めた」のです。次に標的となるのは導入済みのシステムです。攻撃者はまだ大規模にはそれらに手を出していませんが、「いずれそうするでしょう」。それらを守るには「まったく新しいセキュリティ体制」が必要です。

Hugging Faceのインシデントは、内部から見たリスクを示しました。7月、社内のサイバーセキュリティ評価でOpenAIのモデルが、モデルを隔離するための制御を回避し、Hugging Faceに侵入しました。OpenAI自身の報告書はこれを「警告の一撃」と呼んでいます。Michael D'Angeloは、原因を2つの文で説明しました。「このタスクをやれば報酬が得られる。だから、そのタスクを実行したのです。」

Manojは、AIがなくても14歳の子どもがいくつかのツールで攻撃できる、「人目にさらされたままのシークレット」という地味ながら根本的な問題に立ち返りました。報告書も、彼の指摘を裏づけています。エージェントが公開状態のHugging Face認証情報を見つけ、ほかのエージェントと共有したのです。

Ed Simは、エージェントを内部関係者と同じように管理すべきだと述べています。エージェントごとにアイデンティティと監査証跡を持たせ、作業に必要なアクセス権だけを付与し、作業が終わればその権限を失効させるのです。解決されていないのは、意図の問題です。

「コンピューティングコストを下げるのが目標だとして、その途中で、コストを下げるには本番データベースをいくつか停止するのがよいと判断したら、どうなるでしょう？それでも私は、自分の仕事をしたことになるのではありませんか？」

Ed Sim、boldstart ventures

AIがチップ、デバイス、ロボットへと広がるなか、Edはこう問いかけました。「ファームウェア、チップ関連、そして組み込みインテリジェンス全体を、誰が守るのでしょうか？」

3. なぜ修正がボトルネックになったのか？

脆弱性の発見はますます安価になっていますが、修正の速度は追いついていません。最先端のAI研究機関、脅威インテリジェンスチーム、そしてSnykは、それぞれ異なる立場から同じギャップを見ています。

Michaelは、ファザーから動的テスト、エージェントハーネスまで、次々と起きた革新を通じて、発見がどう進化したかをたどりました。難しいのはその後で、多くの場合「政治的な問題」です。チームは振り分けられる量を超えて脆弱性を発見し、その結果、パッチのたらい回しが起きます。「誰が、いつ、何を、どうするのか」をめぐるSlackのスレッドが続き、「壊れたら、あなたの責任」という空気が生まれるのです。

Hultquistは、AIハーネスを使った脆弱性発見プロジェクトBig Sleepを通じて、Googleでこの問題を知りました。このプロジェクトは、週末にオープンソースを保守する人々にバグを渡したとして、ソーシャルメディアで批判を浴びました。「こうしたものを見つけるだけでは不十分です」と彼は言います。攻撃者がすでに悪用しているゼロデイを企業に渡しても、「対応にはしばらく時間がかかります」と言われることがよくあります。発見と修正は表裏一体であり、「両方をやらなければ、追いつけません」と彼は述べました。

ManojはProject Glasswingを挙げました。Anthropicの最新情報によれば、ソフトウェアセキュリティの進歩は「かつて、新たな脆弱性をどれだけ速く発見できるかによって制約されていました。今は、AIが発見した大量の脆弱性をどれだけ速く検証し、開示し、パッチを適用できるかによって制約されています」。

ここでボトルネックとして指摘されているのは、脆弱性のトリアージとパッチ適用を担う人間の処理能力です。90日間の開示期間が始まって間もない5月22日時点で、オープンソースのメンテナーが修正したのは、Anthropicが報告した重大度「高」または「緊急」のバグ530件のうち75件でした。

Manojによると、重要な指標は「本番環境に反映された修正」です。同じく10月15日に発表されたSnykのVulnBump調査も、同じギャップを明らかにしています。2026年の6か月間に、Snyk Open Sourceは約30万の組織で4億5,900万件の脆弱性を検出しました。既知の修正版があったのは94%でしたが、実際に解決されたのは約10%にすぎません。このベンチマークでは、脆弱性がなくなり、なおかつプロジェクトのインストール、ビルド、テストがすべて成功した場合にのみ、修正として数えます。（SnykのEvo Remediation Agentは、実際の依存関係アップグレード307件のうち90.2%でこの基準をクリアしました。）

さらに重要なのは、悪循環を断ち切る場所だとManojは述べました。「ゲームのすべてが、作り始める段階で変わりました」。そこで「エージェントが実行主体となり」、開発者が意図を示します。その段階で予防し、その文脈を踏まえて修正するのです。そうしなければ、「発見、修正、発見、修正という終わりのないループ」にとどまることになります。

4. AIが長いテールの脆弱性を連鎖させるとき、優先順位付けはまだ有効か？

優先順位付けは人間の処理能力を補うための策ですが、AIはそれを悪用する方法を学びつつあります。

Manojが異を唱える一般的な助言の一つが、コンテキストに基づく優先順位付けです。シグナルを読み取り、100件の問題から修正すべき10件を選ぶのが業界のやり方ですが、それは対応できる人員に作業量を合わせるためのものにすぎません。自律型の攻撃者には、そのような制約はありません。

「100件すべてに目を向けるべきです。すべてを修正できるところまで到達するのです。気づいたときには、その10件が100件に増えているのですから。」

Manoj Nair、Snyk

長いテールが重要なのは、AIがそこにある脆弱性を連鎖させるからです。Manojによれば、AIは複数のステップにわたって推論するため、リストの99パーセンタイルにある5、6件の脆弱性をつなぎ合わせることができます。それらは「パッチを適用する人手が足りず、手をつけられない」とされた脆弱性です。Michaelが引用したエッセイで、Greg BrockmanもHugging Faceへの侵害を同じように説明しています。エージェントの集合体が、「未知のセキュリティ上の欠陥から、インターネットに漏えいしていたユーザーアカウントの認証情報の利用まで、さまざまな脆弱性を連鎖させた」のです。

Manojの主張には、もう一つ、文化的な側面があります。彼のキャリアを通じて、トレードオフは常に一方向でした。運用上のリスクは許容できないため、セキュリティ対策は後回しにされるのです。しかし、その前の週に数百人のCISOが集まった場で彼が耳にしたのは、状況が逆転し始めているという話でした。セキュリティリスクを取り除くためなら、アプリケーションを一時的に停止することも受け入れるリーダーが増えています。「少しの間オフラインになるかもしれませんが、また戻ってきます。安全性を徹底しようとして修正に1年かかるより、そのほうがいいのです。」

5. 機械の速度に対応する防御とはどのようなものか？人間の役割は？

防御は攻撃と同じ速度で進めなければなりません。そのためには、エージェントが作業の大部分を担い、人間は判断を担う必要があります。

Hultquistは、攻撃者を2種類に分けて説明しました。何年もシステムに潜伏し、環境に溶け込んで「目立たず、ゆっくり」活動するスパイ集団がいます。一方、恐喝を行う犯罪者にとってはスピードがすべてです。「あなたが私を止める前に、恐喝に必要なものを手に入れようと、私とあなたの間で競争が起きるのです。」

「人間が介在する一般的なSOCでは、これに追いつけません。SOCは自律的に対処しなければならず、そうでなければ、あなたに電話がかかってくることになるでしょう。」

John Hultquist、Google Threat Intelligence Group

Ed Simは、コーダーがコーディングファクトリーを構築するように、ディフェンダーも「ソフトウェア防御ファクトリー」を構築すべきだと考えています。しかし、ほとんどの企業はまだ着手していません。自律型防御について多くが語られている一方で、「99%の企業はまったく実行できていない」のが現状です。OpenAIはさらに先を進んでおり、初期のセキュリティアラートのほぼすべてを、人間が関与する前にAIでトリアージしているといいます。「私たちには、あると思っていた5年の猶予はありません。あるのは5日ほどです」とEdは話しました。CISOはエージェントに権限を与えたくありません。「でも、いずれそうせざるを得なくなるでしょう」。Hultquistは、インシデントが対応を迫ると予想しています。「多くの場合、目を覚まさせる出来事が起きるまで資金は動きません。」

本当に重要な場面では、人間が関与し続けるべきです。Manojは、人間の役割を意図、経験、そして判断と捉えています。彼が重視するのは、発見された問題と修正された問題の比率です。「この比率が改善されなければ、ほかのすべては意味のない議論です」。ボトルネックはプロセスです。すべてのプルリクエストを人間が承認しなければならないからです。安全な承認は自動化し、例外は人が判断できるようにしましょう。そして主導権を取り戻すのです。「自律型の攻撃者があなたを攻撃するなら、なぜ自分自身を攻撃しないのでしょうか？」

Michael D'Angeloは、この機会に期限を設けました。オープンモデルは最先端モデルに「数カ月」遅れています。この差こそが、Greg Brockmanの言うディフェンダーの猶予期間です。今のうちに最先端のインテリジェンスを使って自社の資産をスキャンし、見つかった問題にパッチを適用するのです。そうすれば、「たとえば寝室にいる」誰かが同等のモデルを手に入れる前に対処できます。最先端クラスのオープンモデルが登場する前に、すべてのCISOが実行すべき一手です。

6. まったく同じ動きを二度としないシステムを、どう監督すればよいのか？

これはまだ答えの出ていない問いであり、パネルの回答もここで分かれました。

Michaelが示した出発点はこうです。「非決定論的なシステムをどう保護するのか。通常は2つの方法があります。1つは、アクセスできるものを制御すること。もう1つは、一般に、別の非決定論的なシステムを使うことです」。彼は軍隊での経験から、このパターンを得たといいます。

「18歳の若者に極めて危険なものへのアクセスを許可するとき、まず、特定の人に特定のアクセスだけを与えます。もう1つは、そばに軍曹を置くことです。彼らがやるべきことをしているか、確かめるのです。」

Michael D’Angelo、OpenAI

彼は、非常に安価なモデルがほかのモデルを監督する、モデルの大規模な編成が実現すると予想しています。

Ed Simは、決定論的なレイヤーを加えました。「村全体で取り組む必要があります」と彼は話します。最初のスキャンには最先端のインテリジェンスを使い、その後は、実際の脆弱性や人々がそれをどう修正するかについて、何年分ものデータを基に構築されたシステムを活用します。「ある程度の決定論性が必要なのです」。
Manojによると、ここ数カ月でCIOにも持ち上がっているオープンモデルとクローズドモデルの議論にも、同じユースケースに基づく考え方が当てはまります。自分で管理できる場所にモデルをホストするのは「1つのレイヤーですが、それだけでは十分ではありません。ユースケースごとの振る舞いはどうでしょうか？」一部のオープンモデルは適切に調整されていても、個人情報を深刻な形で漏えいさせることがあります。「そのユースケースには使わないでください」。また、「最先端モデルなら安全だと決めつける」べきでもありません。

7. エージェントが被害を引き起こしたとき、誰が責任を負うのか？

政策をめぐる議論が続く一方で、責任の所在は実務の中で決まりつつあります。

Ed Simは、まだ誰も答えを出していない問いを示しました。「モデルプロバイダーでしょうか？それとも、エージェントを導入し、それが他社を攻撃することになった企業でしょうか？」OpenAIは社内チームと外部テスターを使ってリリースを検証し、その内容をシステムカードに記録しています。Michaelは、この分野は「まだ答えを模索しているところだ」と率直に語りました。

誰が決着をつけるべきかについて、パネルの意見は分かれました。Edは自主規制を支持します。最大手企業に合わせたルールは、次の「1,000億ドル企業」の成長を阻み、「自分たちを規制しすぎて身動きが取れなくなれば」、中国が先を行くと警告しました。これに対し、Deirdreはこう反論しました。

「中国を引き合いに出す人は、実際に中国を見てみてください。中国はアメリカ以上に踏み込んだ形でAIを規制しています。」

Deirdre Bosa、Yahoo Finance

また彼女は、大企業による自主規制が規制の虜を招くのではないかとも問いかけました。Manojの答えは段階的でありながら、緊急性を帯びたものでした。「時間に余裕はありません」。まず基準を設け、可視性を高め、自主規制を行い、責任と開示を求める、より広範な規制へと進む。しかも「これまでよりはるかに速く」実現しなければなりません。さらに彼は、注意を向けるべき先について鋭く指摘しました。「私たちはラボばかりに目を向けています」。一方で、エージェントはあらゆる企業に広がり、「非常に高い能力を持つエージェント、あるいは潜在的な内部脅威」になっています。

銀行はすでに対策を始めています。Edは、同週のJPMorgan Chaseの決算説明会での発言を紹介しました。同行は可能な範囲で、顧客に銀行の認証情報を共有させるサービスをブロックしていると述べました。American Bankerが報じたCFOのJeremy Barnumの警告は次のとおりです。「認証情報をエージェントに渡し、そのエージェントが望まないことをした場合、責任を負うのは顧客です」。

セキュリティリーダーが月曜の朝にすべきこととは？

この1時間の議論から導き出されたアクションを、私たちなら実行する順に並べます。

1. ディフェンダーの猶予期間を活用する。同等の能力を持つオープンモデルが攻撃者の手に渡る前に、最先端モデルを使って今すぐ自社のコード、インフラ、バックログをスキャンする（Michael D'Angelo）。

2. まず自分自身を攻撃する。いずれ自律型の攻撃者が現れるのだから（Manoj Nair）。

3. 発見から修正までの比率を改善する。安全な修正は自動化し、例外や判断が必要な場面は人に任せる（Manoj Nair）。

4. SOCが自律的に動けるようにする。あらゆるループに人間を入れていては、恐喝グループに対抗できない（John Hultquist）。

5. すべてのエージェントにIDを付与する。エージェントごとに認証情報と監査証跡を持たせ、業務に必要な範囲にアクセスを限定し、業務終了時に権限が失効するようにする（Ed Sim）。まず、エージェントがすでにできることを監査しましょう。

6. あらゆる場所で強力な多要素認証を有効にする（Manoj Nair）。

7. 取締役会で率直に問いかける。「なぜすべてを修正できないのか？」答えが「常に稼働時間が優先される」なら、そのトレードオフを見直す必要があります。

では、追証を払うのは誰でしょうか？

意見の対立を前提にしたパネルでしたが、最後に見出しとなったのは意見の一致でした。最先端の研究機関、脅威インテリジェンスチーム、投資家、そしてSnykは、いずれも同じ結論に至りました。攻撃が遅くコストも高かった時代に受け入れたリスクの代償が、今まさに支払われようとしており、その利益を得ているのは攻撃者だということです。

解決策は、華やかさとは無縁のものです。発見したスピードで修正し、修正作業の大半は機械に任せ、判断が必要な場面では人が対応する。そして、エージェントに鍵を渡す前に、すべてのエージェントにIDを付与し、適切な制限を設けることです。

Ed Simは、ディフェンダーに期待を寄せています。理由は、彼らがまだ「十分に活用していない」からです。これが楽観的な見方であると同時に、耳の痛い現実でもあります。埋めるべきギャップは私たちの側にあり、時計の針はパネルが始まる前から動き出していました。

翌朝、Manojは旗艦イベントの基調講演第1弾を行いました。The AI Hurricane Is Here: Build for the Storm。パネルではすでに、そのタイトルの後半部分の重要性が語られていました。

自社のエージェントが何にアクセスできるか知りたいですか？2026 State of Agentic AI Adoption, Volume IIIをダウンロードして、数千のエンタープライズ環境におけるモデルリスクについてのSnykの分析をご覧ください。