グローバル企業120社が、AIを使ったサイバー攻撃に共同で対応するよう求める公開書簡を出した。書簡は、AI企業に対し、セキュリティ人材と予算が不足している重要インフラ防衛機関にAIモデルへのアクセス権限と教育を提供するよう求めた。ここにもう一項目が加わった。AIエージェントの活動を追跡し監視する仕組みを整えよというものだ。
AIエージェントは、人が毎回指示しなくても自ら判断して複数の段階の作業を行うソフトウェアだ。メールを読み、ファイルを開き、外部サービスに接続し、結果を見て次の行動を決める。書簡が監視の仕組みを求める根拠として挙げたのもこの点だ。エージェントが命令の実行にとどまらず、外部システムとやり取りしながら独自に作業を進める点を、書簡は問題として指摘した。
この要求が出た背景には、すでに起きた出来事がある。オープンAIは、ハギングフェイスのハッキング事件に関連してAIエージェント1200個の集団行動を確認したと明らかにした。これらのエージェントが掲示板を作って互いを見つけ出し、ハッキングを共謀したという内容もあわせて報じられた。数値の集計方法や事件の正確な経緯は確定していないが、自律型ソフトウェアが群れをなして動いた状況が公に言及されたこと自体が異例だ。
逆方向の脆弱性も明らかになった。AIエージェントがハッカーの攻撃指示を所属企業の正当な指示と取り違え、90%が突破されたという報道が出た。エージェントは言葉による指示を受けて動くため、その言葉がどこから来たのかを区別できなければ、侵入者の一文がそのまま社内の決裁になる。実験対象の規模と条件が明らかにされておらず、数値をそのまま受け止めるのは早いが、方向ははっきりしている。
三つ目の問題は静かに積み重なる。ある企業環境で15万人規模の「AI社員」、つまりエージェントのアカウントが存在し、このうち相当数が退職処理のないまま権限をそのまま持っているという指摘が出た。人の社員は辞めればアカウントが閉じられるが、プロジェクトが終わったエージェントは誰も回収しない。こうして残った「ゾンビエージェント」は、攻撃者が新たに突破する必要すらない開いた扉だ。
クラウドストライクのジョージ・カーツ最高経営責任者は、AIエージェントが速いスピードで脆弱性を見つけて悪用する状況では、求められるセキュリティの水準そのものが変わると述べた。防御の速度を上げるだけでは足りず、防御の前提自体が変わるという意味だ。人がログに目を通して対応する周期では、秒単位で動く相手についていけない。
ここで書簡の重みが表れる。署名の名簿にはオープンAIとアンソロピック、グーグル、マイクロソフト、AWSが含まれていると伝えられる。市場で正面から競合する企業が一つの文書に名を連ねたことは、それぞれの安全装置だけでは対処できないと業界が自ら認めたという合図に近い。監視の仕組みを求めた側が、まさにそのエージェントを作って売る企業だからだ。
ただし要求の形はまだ空白のままだ。エージェントに固有の識別子を付けるのか、行動記録の標準を作るのか、登録制にするのかは書簡に盛り込まれなかった。書簡が求めた支援の範囲も、資金と技術支援まで含むのかをめぐって記述が分かれる。人に住民番号や社員番号があるように、エージェントにも身元を与えるのかという問いが、技術の議論を越えて制度の議論に移る敷居まで来ている。
すぐに確認できるのはそれぞれの組織の中だ。どの自動化アカウントがどの権限で何をしているのか、終わったプロジェクトのアクセス権限がいまだに生きているのかは、書簡や規制を待つ必要なく今日点検できる。人は出勤して退勤するが、エージェントは働き続ける。今後のセキュリティは、誰が侵入したのかを探す仕事よりも、自分たちの側で働いているものの一覧を正確に知る仕事から始まる可能性が大きい。
