目次
AIエージェントの社内ガイドラインを整備した企業なら、こういう文書を持っているはずだ。エージェントに固有IDを発行する手順。権限スコープの決め方。予算枠の設定。evalの合格基準。承認フローとリリース手順。観測とアラートの設定。
では、そのエージェントを不要になったときに消す手順書は、どこにあるだろうか。
2026年9月10日、Harness が「State of Agent DLC 2026」を公表した。Sapio Research が2026年7月に実施した調査で、対象は米英仏独印の技術専門職700名。従業員1000名以上・開発者100名以上・年商1億ドル以上の大企業で、かつ本番・パイロット・PoCのいずれかでAIエージェントを稼働させている組織に限定されている。
そのなかに、読み飛ばしにくい数字が並んでいた。自社環境のエージェント・MCPサーバー・LLMの完全な台帳を持っていると答えた企業は77%。だが、それを検証する能動的な検出ツールを実際に動かしているのは44%だった。
「できている」と「確かめている」の間にある33ポイント
Harness「State of Agent DLC 2026」（2026年9月10日公表、Sapio Research・2026年7月調査、米英仏独印の技術専門職700名、従業員1000名以上・開発者100名以上・年商1億ドル以上）が示す自信と実装の差。エージェント・MCPサーバー・LLMの完全な台帳を持っていると答えたのは77%だが実際に検出ツールを動かしているのは44%。本番影響のある不具合をテストで捕まえられると答えたのは74%だが自動で止めるゲートを持つのは19%。15分以内に止められると答えたのは76%だが即時停止手段を持つのは33%。エンドツーエンドのセキュリティができていると答えたのは75%だが88%が侵害を経験済み。支出を完全に可視化できていると答えたのは74%だが60%が前四半期に予算を超過。58%がエージェント導入後に変更100件あたりのインシデントが増えたと回答
同調査の対比を並べると、ひとつの型が見えてくる。
- 台帳を持っている 77% に対し、検出ツールを動かしている 44%
- テストで不具合を捕まえられる 74% に対し、自動で止めるゲートがある 19%
- 15分以内に止められる 76% に対し、即時停止の手段がある 33%
- エンドツーエンドのセキュリティがある 75% に対し、88% がすでに侵害を経験
- 支出が完全に見えている 74% に対し、60% が前四半期に予算を超過
すべて同じ形をしている。「そうなっているはずだ」という認識と、「そうなっていることを確かめる仕組み」の間が空いている。 加えて、58%がエージェント導入後に「変更100件あたりのインシデントが増えた」と答え、8社に7社がエージェント起因の問題を経験している。
Harness の Field CTO である Keith Mann は、この結果をこう要約している。エージェントは同じ状態に留まらない。だから統制は前提ではなく、ばらつきに対する検証として設計されなければならない——と。
ここで注目すべきは、77%が持っていると言う「台帳」が、何のための台帳なのかである。台帳は普通、そこに載っているものを管理するために作る。載せたあとに何をするのか。増やすのか、権限を変えるのか、費用を見るのか。そして、いつ台帳から降ろすのか。
ライフサイクルの前半だけが設計されている
ライフサイクル前半と後半の非対称。前半（作る側）は固有IDの発行と権限スコープ、予算枠と上限アラート、evalの合格基準と受入テスト、承認フローとリリース手順、観測・アラートの設定が設計済みで稟議様式やチェックリストが存在する。後半（消す側）は資格情報・トークン・証明書の失効、ツール接続とコールバック経路の解除、下流で依存している自動処理の確認、証跡の保持期間に沿ったアーカイブ、停止を承認したのは誰かの記録が必要だが様式もオーナーも期限も無い。Cloud Security Alliance非人間ID・エージェント型AIガバナンス白書2026年5月20日によれば78%がAI IDの作成または削除に関する文書化されたポリシーを持たず、51%が所有権不明確、20%のみAPI鍵の失効・オフボーディングの正式プロセスあり、47%の非人間IDが1年以上変更されておらず、16%は新しいAI関連IDの作成すら追跡していない。Gartner2026年4月28日Max Gossによるエージェント・スプロール管理の6ステップでは2028年にFortune 500平均で15万体超、2025年は15体未満、適切なガバナンスがあると考える企業は13%で、ステップ3に冗長なエージェントを継続的に見直し退役させると明記
Cloud Security Alliance が2026年5月20日に公表した非人間ID（NHI）とエージェント型AIのガバナンスに関する白書は、この非対称をはっきりと数字にしている。
AI IDの「作成または削除」に関する文書化されたポリシーを持たない組織は78%。 所有権が明確でないと答えた組織は51%。API鍵のオフボーディングと失効について正式なプロセスを持つ組織は20%にとどまる。非人間IDの47%は1年以上変更されておらず、16%は新しいAI関連IDが作られたことすら追跡していない。
Gartner が2026年4月28日に公表した「エージェント・スプロール管理の6ステップ」（アナリスト: Max Goss）も、同じ場所を指している。2028年には世界のFortune 500企業が平均15万体超のエージェントを使うようになる——2025年時点では15体未満だった。そして、適切なエージェント・ガバナンスがあると考えている組織は13%にすぎない。6ステップのうち第3ステップは「エージェントのアイデンティティ、権限、ライフサイクルを定義する」であり、そこにはこう書かれている。冗長なエージェントを継続的に見直し、退役させること。
問題は、この「退役させる」を実務に落とした文書が、ほとんど流通していないことだ。導入の設計は、モデルベンダーもクラウドもSIerも競って書いている。撤去の設計は、誰も売り物にしていない。
Gartner は2026年5月26日にも、2027年までに40%の企業が自律型エージェントを降格または退役させると予測している。だが「4割が退役する」という予測と、「退役させる手順がある」という事実は、まったく別のものである。
「止める」と「消える」は別の作業である
止めたあとに残るもの。残る資格情報としてAPIキー・トークン、証明書・署名鍵、委譲された権限スコープが有効なまま放置される。残る接続としてMCPサーバーへの接続、Webhook・コールバック、スケジュール実行の登録があり呼ばれれば起動する。残る依存として他エージェントからの呼出、業務フロー上の中継点、ベクトルDBのインデックスがあり消すと別の処理が止まる。GitGuardianによれば2022年に有効と確認されたシークレットの64%が2026年1月時点でも失効しておらず4年間露出しており、未使用の資格情報は侵害の初期侵入経路の上位3つに常に入る。Gravitee2026年調査ではどのエージェントが互いに通信しているかを完全に把握している組織は24.4%にとどまる。Harness調査では支出を完全に可視化できていると答えた74%に対し60%が前四半期に予算を超過している
「使わなくなったので止めました」と報告されたエージェントについて、何が実際に起きたのかを分解すると、三つの層が残る。
第一に、資格情報。 APIキー、トークン、証明書、署名鍵、そして他システムから委譲された権限スコープ。実行を止めても、これらは有効なままそこにある。GitGuardian の追跡では、2022年に有効と確認されたシークレットの64%が2026年1月時点でもまだ失効していなかった。4年間、誰も回収していない。未使用の資格情報は、侵害の初期侵入経路として常に上位3つに入る。
第二に、接続。 MCPサーバーへの接続、Webhookやコールバックの登録、スケジュール実行のジョブ定義。エージェント本体を止めても、外から呼ばれる経路が残っていれば、それは「止まっている」のではなく「待機している」に近い。
第三に、依存。 他のエージェントがそれを呼んでいる場合、消すと別の業務が止まる。Gravitee の2026年調査では、どのエージェントが互いに通信しているかを完全に把握している組織は24.4%。残りの4分の3は、消していいのかどうかを判断する材料を持っていない。だから判断を先送りし、止めたまま放置する——これが孤児化の実際の発生機序である。
そして費用。Harness の調査で「支出が完全に見えている」と答えた74%に対し、60%が前四半期に予算を超過していた。使われていないエージェントの費用は、誰の削減目標にも紐づいていない。止めたはずのものが、請求書には載り続ける。
要するに、孤児化したエージェントは、放置された退職者アカウントとまったく同じ失敗モードである。違うのは生成速度だけだ。退職者アカウントは年に数十件しか生まれないが、エージェントは1人の担当者が1日で何体でも作れる。
日本の大企業で、消す起点が失われる3つの場所
日本の大企業でエージェントを消す起点が失われる3つの場所。第一に人事イベントが無いこと。J-SOXのIT全般統制における既存のID棚卸しは人事データとの突合で成立し、異動・退職が削除のトリガーになるが、エージェントは異動も退職もしないため年1回の棚卸しに乗る起点そのものが存在せず、不要になったという事実を誰も報告しない。第二に作った主体が社外にいること。運用保守の外部委託構造のもとで委託先担当者が作ったエージェントは契約終了とともに誰のものでもないものになる。CSAによれば企業の非人間IDの8%は作成者の退職後に人事システムとの紐付けを失っており、所有者が不明確と答えた組織は51%で、所有者のないものには退役の判断者もいない。第三にやめるで稟議が終わること。PoC中止の決裁は見送りで完結し資格情報の失効や接続解除までは書かれていない。Gartnerは2027年までに40%の企業が自律型エージェントを降格または退役させると予測するが、退役の手順書はどこにも配られておらず、撤去の決定と撤去の完了はまったく別の作業である
日本の大企業にとって、これは新しい問題ではない。むしろ、すでに解いたことのある問題である。 J-SOX のIT全般統制において、アクセス権限の棚卸しと退職者アカウントの削除は、監査法人が毎年確認してくる定番項目だ。年1回の棚卸し、人事データとの突合、利用状況の確認、維持・縮小・削除の判断——この手順は多くの企業が持っている。
問題は、その手順の起点がすべて「人」に紐づいていることにある。
① 人事イベントが存在しない。 既存のID棚卸しは、異動と退職という人事イベントを削除のトリガーにしている。エージェントは異動しないし、退職しない。「不要になった」という事実を、人事システムは教えてくれない。起点がなければ、棚卸しの対象リストにそもそも載らない。
② 作った主体が社外にいる。 運用保守を外部委託している構造では、エージェントを作ったのが委託先の担当者であることは珍しくない。その担当者が案件を離れ、契約が終了した時点で、そのエージェントは社内の誰のものでもなくなる。CSA の白書によれば、企業の非人間IDの8%はすでに作成者の退職後に人事システムとの紐付けを失っている。所有者が不明確と答えた組織は51%。所有者のないものには、退役を判断する人もいない。
③ 「やめる」で稟議が終わる。 これがおそらく日本企業で最も多い経路だ。PoC が期待した成果を出さず、本番化を見送る。決裁は「見送り」で完結する。だがその決裁文書には、資格情報の失効も、ツール接続の解除も、証跡のアーカイブも書かれていない。撤去を決定することと、撤去を完了することは、別の作業である。 そして後者には様式もオーナーも期限も存在しない。
2026年9月10日、Salesforce は Dreamforce 2026（9月15日〜17日）を前に「Trusted Enterprise AI Harness」を発表し、その中核として AI Control Plane を打ち出した。エージェントとAI機能の発見・登録、ID とポリシーの設定、ライフサイクル管理、性能評価、挙動の観測、コスト管理を、自社製・他社製を問わず一箇所で行うという構想である。同じ週には CrowdStrike が Falcon Guardian でエンドポイント上のエージェント検出・追跡・ブロックを展開し、統制の製品化はさらに進んだ。
ただし Salesforce の AI Control Plane は、統合された体験としての広範な提供が FY28 初頭（2027年初頭）とされている。製品が揃うのを待つなら1年以上ある。 その間に、台帳に載らないまま止まっているエージェントは増え続ける。
本番化基準に「退役」を書く5つ
本番化基準に退役を書く5つの実務。第一に登録のときに退役条件を一緒に書く。対象業務の終了、所有部署の消滅、N日間の未実行、後継エージェントの本番化のいずれかに当たれば退役審査へ回す。終了条件のない導入は終了せず、稟議様式に欄を1つ足すだけで起点が生まれる。第二に所有者を個人ではなく組織に置く。役職・部署で登録し、委託先が作った場合も社内側の受け皿部署を一意に決める。所有権が個人に紐づくと異動・退職・契約終了の時点で孤児化する。第三に退役チェックリストを1枚にする。資格情報の失効、ツール・MCP接続の解除、下流依存の確認、証跡のアーカイブ、停止承認者の記録を含め、止めたで終わらせず完了の定義を作る側と同じ粒度で書く。第四に消すものと残すものを分ける。資格情報・接続は消し、監査証跡は法令・社内規程の保持期間まで残し、保存先と権限を最初から分離する。退役と証跡保持は同時に要求されるため混ぜて設計するとどちらかが犠牲になる。第五に退役を実測値で管理する。退役決定から完了までの実日数、所有者不在エージェントの検出数、停止後に発生した呼び出し件数を測る。測っていない退役手順は規程に書いてあっても実行されていないのと同じ
製品を待たずに、いま自社の様式に足せることは限られている。逆に言えば、限られているからこそ実行できる。
① 登録のときに「退役条件」を一緒に書く。 対象業務の終了、所有部署の消滅、N日間の未実行、後継エージェントの本番化。いずれかに該当したら退役審査に回す、と登録時に決めておく。エージェントには人事イベントがないのだから、イベントを人工的に作るしかない。 稟議様式に欄を1つ足すだけで、起点が生まれる。
② 所有者を「個人」ではなく「組織」に置く。 所有者は役職・部署で登録する。委託先が作った場合も、社内側の受け皿部署を必ず一意に決める。所有権を個人に紐づけた瞬間、異動・退職・契約終了が孤児化の原因になる。
③ 退役チェックリストを1枚にする。 資格情報の失効／ツール・MCP接続の解除／下流依存の確認／証跡のアーカイブ／停止を承認した人の記録。この5項目を1枚にまとめ、完了の定義を作る側と同じ粒度で書く。「止めた」という報告を完了とみなさない。
④ 「消すもの」と「残すもの」を分ける。 資格情報と接続は消す。監査証跡は法令・社内規程の保持期間まで残す。この二つは同時に要求されるので、保存先も権限も最初から分離しておく。混ぜて設計すると、退役のたびに証跡が削られるか、退役が止まるかのどちらかになる。
⑤ 退役を「実測値」で管理する。 退役決定から完了までの実日数、所有者不在エージェントの検出数、停止後に発生した呼び出し件数。この3つを四半期で見る。Harness の調査が示したのは、自信は検証の代わりにならないという一点だった。測っていない退役手順は、規程に書いてあっても実行されていないのと同じである。
まとめ: 消し方を決めていないものは、増やせない
エージェントの本番化を進めるほど、退役の問題は必ず追いついてくる。1体目では誰も困らない。10体でも困らない。困り始めるのは、部門をまたいで横展開したあと——つまり、ROIが出始めた直後である。
Gartner の言う15万体という数字は、2028年の遠い話に見えるかもしれない。だが重要なのは総数ではなく、そのうち何体が「まだ必要かどうか誰も判断していないもの」なのかである。台帳を持っていると答えた77%のうち、検出ツールで確かめているのは44%。その差は、時間とともに開く方向にしか動かない。
Wizit は、大企業のAIをPoCで終わらせず、本番運用とROIまで動かし切ることを仕事にしている。そこで繰り返し見てきたのは、本番化を止めるのは技術ではなく、「終わり方が決まっていないこと」だという事実だ。誰が止めるのか、何をもって消えたとするのか、証跡はどこに残るのか。これらが決まっていないシステムは、監査の前で必ず止まる。
本番化基準に「退役」を1行加える。それは撤退の準備ではなく、2体目・3体目を安全に増やすための前提条件である。
---
出典:
- Harness「The State of Agent DLC 2026」（2026年9月10日公表／Sapio Research・2026年7月調査／米英仏独印700名）— PR Newswire
- Cloud Security Alliance「Non-Human Identity and Agentic AI Governance」白書（2026年5月20日）— CSA Labs
- Gartner「Gartner Identifies Six Steps to Manage AI Agent Sprawl」（2026年4月28日／アナリスト: Max Goss）
- Gartner「Applying Uniform Governance Across AI Agents Will Lead to Enterprise AI Agent Failure」（2026年5月26日）
- Salesforce「Salesforce Introduces the Trusted Enterprise AI Harness」（2026年9月10日）— Salesforce News
- GitGuardian 非人間ID・シークレットスプロール調査（2026年）
- Gravitee エージェント間通信の可視性調査（2026年）