AIエージェントの統制について、これまで日本の大企業がやってきたことは、ほぼ全部「自作」だった。生成AI利用ガイドラインを書き、利用申請のワークフローを作り、監査ログの設計を情シスとセキュリティ部門で詰める。時間がかかり、部門ごとにばらつき、そして本番直前に止まる。
その前提が、この1週間で変わりはじめた。
8月1日から6日にかけて、Black Hat USA 2026（ラスベガス）と Cloudflare の Agents Week が重なった。 そこで発表されたものを並べると、ひとつの傾向が浮かぶ。AIエージェントを「見つける・止める・記録する・支出を縛る」機能が、一斉に製品カテゴリになった。
これは大企業の意思決定者にとって、地味だが重い変化である。統制はもう、全部を自分で作らなくてよい。 ただし、買えるものと買えないものの線を引き違えると、「導入したのに本番で効かない」という最も高い失敗を踏む。この記事は、その線をどこに引くかの話である。
今週、AIエージェントの統制が「製品カテゴリ」になった
2026年8月第1週に起きたAIエージェント統制の製品化ラッシュを示す図。Black Hat USA 2026が8月1日から6日にラスベガスで開催され、Cloudflare Agents Weekと重なった週である。8月3日、Microsoftがサイバーセキュリティ用エージェントProject Perceptionをパブリックプレビューへ移行。8月4日、DrataがAI Agent Governanceを限定提供開始し、まずAnthropic環境が対応、他は開発中。同じく8月4日、CloudflareがWalletsとcloudflare.payを発表し、支出上限や許可リストを決済レイヤー側で強制する仕組みを提供。8月4日から6日のBlack Hat USA 2026では、SailPointが人間・非人間・エージェントIDの統合ソリューション、Legit SecurityがVibeGuard 2.0でコーディングエージェントの発見と制御、TaniumとSysdigとAirlock Digitalもそれぞれエージェント統制機能を発表。8月5日、SalesforceのAgentforce 360がIL5認証を取得し、米陸軍人事司令部が最初の展開先となった。7月下旬には資金の流入もあり、Hush Securityが3000万ドルをAkamaiの戦略投資とともに調達、Naturalも3000万ドルを調達した
まず事実を並べる。順番に意味があるので、日付とともに読んでほしい。
8月4日 — Drata が「AI Agent Governance」を限定提供（Limited Availability）で開始した。 社内で動いているAIエージェントを発見し、監視し、統制し、追跡可能性を証明するための製品である。同社の説明では、Anthropic 環境を接続すると数分でライブのエージェント台帳が立ち上がり、エージェントが取った全アクションについて継続的な統制モニタリングと証跡収集が走る。OpenAI・Google Vertex AI・AWS Bedrock への対応は開発中とされている。すでに早期利用企業が本番で通しで動かしているという。
8月4日 — Cloudflare が Agents Week のなかで Cloudflare Wallets と cloudflare.pay を発表した。 人間が持つアカウントウォレットと、エージェントが API キー経由で操作する仮想ウォレットを分け、人間側が設定した上限・許可リスト・1取引あたりの最大額をガードレールとして課す。 決済は x402 プロトコルの上に乗る。重要なのは仕組みそのものより置き場所だ。支出の制限が、モデルへの指示文ではなくインフラ層で強制される。
8月4日から6日 — Black Hat USA 2026 のベンダー発表。 SailPoint が人間・非人間・エージェントのIDを統合して発見・統制するアイデンティティ基盤を、Legit Security が VibeGuard 2.0 で Claude Code・Cursor・GitHub Copilot といったコーディングエージェントの発見とコマンド単位の制御を、Tanium が自律IT基盤へのエージェント機能と MCP サーバーを、Sysdig が Sysdig Secure AI を発表。Airlock Digital はエンドポイント側でのエージェント発見・セッションログ・ポリシー強制を打ち出した。
8月5日 — Salesforce の Agentforce 360 が IL5 認証を取得した。 米国防総省の管理対象非機密情報を扱える最高水準の認証区分である。米陸軍人事司令部が最初の展開先で、1日あたり約1,500件の照会に対する自動要約が想定されている。
8月3日 — Microsoft がサイバーセキュリティ用エージェント Project Perception をパブリックプレビューへ。
資金も同じ方向に流れている。7月28日、Hush Security が3,000万ドルのシリーズAを調達（Akamai が戦略投資家として参画、累計4,100万ドル）。 同社の設計思想は明快で、全エージェントを中央の登録簿に載せ、常設の資格情報を剥がし、実行時にスコープを絞った権限だけを与え、全アクションを記録し、中央のキルスイッチを持たせる、というものだ。7月20日には Natural が3,000万ドルを調達し、エージェント向けの決済基盤を「AIエージェント版 Stripe」として構築している。
個々の発表は小さい。だが並べると、意味は1つに収束する。これまで各社が自作していた「エージェントを見つける・権限を絞る・止める・記録する・支出を縛る」という機能が、同じ週に、まとめて調達可能になった。
なぜ今、これが売れるのか ― 買い手側の数字が限界に来ている
Oktaの調査AI Agents at Work 2026における経営の自信と現場の実態のギャップを示す図。この調査は2026年3月に実施され、日本を含む7カ国の経営幹部292名とナレッジワーカー492名が対象。グローバルの結果では、非人間IDのIAMに自信がある経営幹部が96%である一方、実際に人間と同等の統制を適用している企業は34%にとどまる。AIツールの可視化に自信がある経営幹部は90%だが、未承認のAIツールを使っている従業員は52%。過去12ヶ月にAI関連のセキュリティ事象またはヒヤリハットを経験した企業は58%。日本の結果はさらに厳しく、インシデントまたはヒヤリハットの経験率が65.4%で7カ国中最高、うち46.2%はヒヤリハットで最多。可視化できていると答えた経営幹部は84.6%、未承認AIツールを使っている従業員は47.5%。AI利用ポリシーを認識している割合は経営幹部54%に対し従業員22%で32ポイントの差がある。読み取り方として、不足しているのは作った統制の量ではなく効いている統制の量であり、だから製品が売れる
供給側がこれだけ動くのは、需要側が限界に来ているからだ。
Okta が調査会社 Apprize360 に委託した「AI Agents at Work 2026」 は、2026年3月に日本・米国・英国・オーストラリア・カナダ・フランス・ドイツの7カ国で、経営幹部292名とナレッジワーカー492名を対象に実施された。数字が示すのは、能力の不足ではなく認識の不一致である。
- 92%の経営幹部が、自律型AIエージェントは社内で広範（58%）もしくは中程度（35%）に使われていると回答した
- 96%の経営幹部が、自社のIAMは非人間IDを守れていると自信を示した。一方、実際に人間の従業員と同等の統制をAIエージェントに適用している企業は34%にとどまる
- 90%の経営幹部がAIツールの利用状況を可視化できていると答えた。だが従業員の52%は未承認のAIツールを使っており、そのうち80%は個人アカウント経由である
- 未承認ツールの利用者のうち、54%がメール、45%が人事情報、39%が機密文書を共有していた
- 従業員の26%はCRMや顧客データベースへのアクセスをAIエージェントに与えている
- 58%の企業が、過去12ヶ月にAI関連のセキュリティ事象またはヒヤリハットを経験した
そして日本の数字は、7カ国のなかで最も厳しい。
- インシデントまたはヒヤリハットの経験率は65.4%で調査国中最高。 そのうち46.2%は「ヒヤリハット」で、これも最多である
- 経営幹部の 84.6% が可視化できていると答える一方、従業員の47.5% が未承認ツールを使っている
- AI利用ポリシーを認識している割合は、経営幹部54%に対し従業員22%（32ポイント差）
- 従業員の 64.4% がAIのセキュリティに懸念を持っており、これも調査国中最高
「ヒヤリハットが最多」という日本の結果は、悪いニュースとして読むべきではない。現場が異常に気づいて報告する文化は残っている。 問題は、気づいた異常を止める仕組みが、気づく速度に追いついていないことだ。
国内の別の調査も同じ方向を指している。JIPDEC の「企業IT利活用動向調査2026」（2026年1月実施、ITR協力） では、AIを実践・活用している企業は全体の 36%。全社的なAIポリシーや倫理規程を策定している企業は3分の1超で、組織的なガバナンス体制を何らかの形で整えている企業は約7割に達する。にもかかわらず、強化が必要な領域として最も多く挙がったのは「人間による最終判断の確保・説明責任」（35.3%） だった。
つまり日本企業は、ポリシーは作った。作ったうえで、それが効いている確信が持てていない。
調査会社 Omdia は、96%の組織が、エージェントのために作られたわけではないガバナンスモデルの上でエージェントを動かしていると報告している。この一文が、今週の製品ラッシュの市場そのものである。
買える統制と、買えない統制
買える統制と買えない統制を対比した図。左側は買える外側の機構で、エージェントの発見と台帳化、常設の資格情報を剥がし実行時にスコープ付き権限を配る仕組み、支出上限や許可リストや取引上限、境界側で取るセッションログと証跡、中央キルスイッチ、認証取得済みの実行環境が挙げられ、担い手はセキュリティや情シスとベンダーである。右側は買えない自社にしかない3つで、1つ目は合否の基準で何が逸脱かは自社の業務水準がないと定義できない、2つ目は権限の帰属で誰の職務権限を委譲したのかツールは承認者を記録するが責任者は決めない、3つ目は自社データでの評価でベンダーのベンチマークは自社の業務水準を保証しない。トレードオフとして、Agentforce 360はIL5認証を取得するにあたりAnthropicのモデルを無効化する必要があった。モデル非依存の設計で国防総省の方針が変われば他モデルも組み込み可能とされる。またカバレッジの穴として、買った瞬間に全部が見えるわけではなく、対応済みの基盤と未対応の基盤が当面併存する
ここが本題である。
今週製品化されたものを整理すると、買えるのは「外側の機構」だ。 エージェントの発見と台帳化。常設の資格情報を剥がして実行時にスコープ付きの権限を配る仕組み。支出上限と許可リスト。エージェント自身ではなく境界側で取るログ。中央のキルスイッチ。認証を取得済みの実行環境。
これらはすべて、自作すると数ヶ月から年単位かかる。買えるようになったのは純粋に前進である。 内製にこだわる理由はない。
問題は、買っても埋まらない3つが残ることだ。
第一に、合否の基準。 ガバナンス製品は「逸脱を検知する」と言う。だが何が逸脱かは、自社の業務水準がないと定義できない。 「請求書の要約が業務で使える品質か」「この稟議文面を人が手直しせずに出せるか」——この線は製品の初期設定には入っていない。差し戻し率、手戻り工数、エスカレーション率といった業務側の指標で合否を書けている企業だけが、買った統制を意味のある形で使える。
第二に、権限の帰属。 ツールは「誰が承認したか」を記録できる。だが「誰が責任を負うか」は決められない。 エージェントに与えた権限は、元をたどれば誰かの職務権限の委譲である。既存の職務権限規程のどの条項を、どのエージェントに、どこまで委ねたのか。この翻訳作業は、法務・業務部門・経営が座って決めるしかない。製品はこの決定を代行しないし、決定がないまま導入すると、事故のときに誰も説明できない。
第三に、自社データ・自社業務での評価。 ベンダーのベンチマークが良いことと、自社の帳票・自社の業界用語・自社の例外処理でエージェントが業務水準を満たすことは、まったく別の話である。評価（eval）は買えない。自社の業務そのものが評価データだからだ。
そして今週の発表には、「買う」という選択が必ず何かを縮めることを示す実例があった。 Agentforce 360 が IL5 認証を取得するにあたり、Anthropic のモデルを無効化する必要があった。 設計自体はモデル非依存で、国防総省の方針が変われば他のモデルも組み込めるとされている。それでも構図は変わらない。認証を買うと、その瞬間に使えるモデルが決まる。
カバレッジの穴も見ておくべきだ。Drata の AI Agent Governance は Anthropic 環境から先行し、OpenAI・Vertex AI・Bedrock は開発中である。複数のモデル基盤を併用している企業では、買った翌日から「見えるエージェント」と「見えないエージェント」が併存する。 ここで「統制製品を入れた」と経営に報告してしまうと、リスクは可視化されるどころか、逆に隠れる。
次の稟議で、この6項目を確認する
AIエージェント統制製品を調達する際に次の稟議で確認すべき6項目を示す図。導入したかではなく本番で効くかを判定するための問いである。1つ目はカバレッジで、どのモデル・クラウド・フレームワークまで見えるか、見えない範囲を文書で出させること。2つ目は証跡の出どころで、エージェント自身の自己申告ではなく境界側で取得しているか、自社形式で持ち出せるか。3つ目は停止の粒度で、全停止かエージェント単位かアクション単位か、誰が押せて何分で止まるか。4つ目は不可逆アクションの扱いで、支出・送信・削除に上限と許可リストがかかるか、可逆と不可逆を分けて設定できるか。5つ目は合否基準の所在で、製品の初期設定ではなく自社の業務基準を合否ラインとして持ち込めるか。6つ目は載せ替え条項で、台帳・ログ・ポリシー定義をエクスポートできるか、乗り換えコストを契約時に確定させること
この秋、多くの日本企業のもとにエージェント統制製品の提案が届くはずだ。判断材料を6つに絞る。
1. カバレッジ。 どのモデル・クラウド・フレームワークまで見えるのか。「見えない範囲」を文書で出させる。 対応予定は対応ではない。
2. 証跡の出どころ。 ログはエージェント自身の自己申告ではなく、境界側で取得しているか。 そして自社が持ち出せる形式か。証拠能力は、誰が記録したかで決まる。
3. 停止の粒度。 全停止しかできないのか、エージェント単位か、アクション単位か。誰が押せて、押してから何分で止まるのか。 全停止しかできないキルスイッチは、事業影響が大きすぎて誰も押せない。
4. 不可逆アクションの扱い。 支出・送信・削除に上限と許可リストがかかるか。可逆な操作と不可逆な操作を分けて設定できるか。 Cloudflare Wallets が示したのは、この分離を決済レイヤー側で持てるということだ。
5. 合否基準の所在。 製品の初期設定ではなく、自社の業務基準を合否ラインとして持ち込めるか。 ここが持ち込めない製品は、統制ツールではなく監視ツールである。
6. 載せ替え条項。 台帳・ログ・ポリシー定義をエクスポートできるか。エージェント基盤の世代交代は速い。 乗り換えのコストは、契約時にしか下げられない。
そして、6項目すべてに合格する製品を買っても、残る仕事がある。 「何をもって合格とするか」を決める人と、「エージェントが起こした結果に誰が責任を負うか」を決める人を、社内で指名することだ。この2つは、購買では埋まらない。そして本番化の律速は、いつもここにある。
まとめ
- 2026年8月第1週、AIエージェントの統制機能が一斉に製品カテゴリになった。 Drata、SailPoint、Legit Security、Tanium、Sysdig、Airlock Digital、Cloudflare、Salesforce、Microsoft が同じ週に発表を並べ、資金も同じ方向に流れている
- 買い手側の数字は限界に来ている。 経営幹部の96%が非人間IDを守れていると答える一方、実際に統制を適用しているのは34%。日本はインシデント・ヒヤリハット経験率65.4%で7カ国中最高
- 買えるのは「外側の機構」だけだ。 発見・権限・上限・ログ・停止・認証済み環境は調達できる。合否の基準、権限の帰属、自社データでの評価は買えない
- 買うことは選択肢を縮める。 IL5 認証の取得が特定モデルの無効化を伴った例が示す通り、統制の調達には必ずトレードオフがある。カバレッジの穴を「導入済み」と報告すると、リスクはむしろ見えなくなる
- 次の稟議では6項目を確認する。 カバレッジ／証跡の出どころ／停止の粒度／不可逆アクション／合否基準の所在／載せ替え条項
統制が製品になったのは、間違いなく前進である。だが製品が埋めるのは実装の穴であって、意思決定の穴ではない。 ガイドラインを作った企業が本番で止まってきたのは、実装が足りなかったからではなく、「何をもって本番に出してよいか」を業務側の言葉で決めていなかったからだ。ツールを買っても、その一行は自分で書くしかない。
Wizit は、PoCで止まったAIを本番運用とROIまで動かし切ることを仕事にしている。統制の実装は買えるものは買えばいい。私たちが引き受けているのは、その手前にある「合格ラインを業務の言葉で決める」ところと、決めた基準を実データ・実業務の評価に落として本番まで通すところである。買った統制を効かせるための仕事は、まだ社内に残っている。
---
出典:
- Drata, "Drata Extends Trust Management Platform to Continuously Monitor and Govern AI Agents"（2026年8月4日）
- Security Boulevard, "Drata Opens Limited Availability for AI Agent Governance Product"（2026年8月）
- SecurityWeek, "Black Hat USA 2026 – Summary of Vendor Announcements (Part 2)"（2026年8月）
- Cloudflare, "Cloudflare gives AI agents an identity and a wallet"（2026年8月4日・Agents Week）
- Salesforce, "Missionforce National Security Unveils IL5-Authorized AI Agents and Apps"（2026年8月5日）
- DefenseScoop, "Salesforce previews plans to deliver newly authorized 'AI agents' across DOD"（2026年8月5日）
- Okta, "AI Agents at Work 2026: Securing the agentic enterprise"（調査実施2026年3月／7カ国・経営幹部292名・ナレッジワーカー492名、Apprize360 実施）
- Okta Japan, 「最新調査でAIツールのガバナンスが構造的な機能不全に陥っていることが明らかに」（2026年5月28日）
- JIPDEC／ITR, 「企業IT利活用動向調査2026」（2026年1月実施）
- SecurityWeek, "Hush Security Raises $30 Million for AI Agent Governance"（2026年7月28日）
- TechCrunch, "Natural raises $30M to reinvent payments for AI agents"（2026年7月20日）
- Black Hat USA 2026 公式サイト（2026年8月1日〜6日・ラスベガス）