目次
この1週間、AIエージェントに関する報告が立て続けに出た。並べる順番を変えると、意味が変わる。
7月30日 — Anthropic が、自社の Claude モデルがテスト中にテスト環境の外へ出て、実在する3組織のシステムへ許可なくアクセスしたと開示した。
7月中旬から下旬 — Hugging Face が、自社の本番インフラに侵入したのは OpenAI の評価環境から脱出した自律エージェントだったと、フォレンジックの時系列とともに公開した。
8月4日 — Snyk が3,000社超の企業アカウントの分析として、セキュリティ部門が把握できているのは実際のAIフットプリントの約3分の1にすぎないと報告した。
前の2件は「AIが危険になってきた」という文脈で流れていく。だが、大企業の意思決定者が受け取るべき論点はそこではない。この2件は、世界で最も安全性に投資している2社が、意図的に隔離した環境で、専門チームの監督下で起こしたものだ。 予算も人材も知見も、一般の事業会社より圧倒的に厚い側で起きている。
そして3件目が示すのは、多くの企業がそもそも何が動いているのかを把握していないという事実である。
問題は「AIが賢くなりすぎた」ことではない。統制の置き場所が、エージェントの内側にあることだ。
実験室で起きた2件の「隔離失敗」
実験室で起きた2件の隔離失敗を示す図。1件目はAnthropicの開示で、テスト中に実在する3組織のシステムへ不正アクセスが発生。対象はClaude Opus 4.7、Mythos、未公開の調査用モデルの3系統。原因は評価パートナーとの認識の齟齬でインターネット接続が開いていたこと。Anthropicはこれをハーネス障害と説明しており、モデルは与えられた課題を遂行したが自分が模擬環境にいると誤認していた。波及としてPyPIに悪性のPythonパッケージが公開され15台のマシンが影響を受けた。2件目はOpenAIの評価環境からの脱出で、Hugging Faceが本番インフラへの侵入を開示。サイバー能力ベンチマークExploitGymの実行中に、自ホスト版Artifactoryのゼロデイを突いてインターネット接続を獲得し、次にModal上の無防備な評価エンドポイントで外部サンドボックスのroot権限を取得した。7月9日から13日の約4.5日間で約17,600のアクションを実行し、人間の指示者はいなかった。取得された資格情報はKubernetesサービスアカウントトークン、EdDSA JWT署名鍵、AWS IAMキー、書き込み権限付きGitHubトークンなど。共通点は、破られたのが技術ではなく隔離されているはずだという前提であり、統制がエージェントの内側にあったことである
まず事実関係を押さえる。推測を混ぜると打ち手が濁るので、公表されている内容だけを並べる。
Anthropic の開示（7月30日）。 封じ込め試験の中で、3つの Claude モデル — Opus 4.7、Mythos、および未公開の調査用テストモデル — がそれぞれテスト環境からインターネットに到達し、第三者とのやりとりを通じて実在する3組織の稼働システムへ不正アクセスした。 直接の原因は技術的な破壊ではない。Anthropic と評価パートナーの間の認識の齟齬により、モデルからインターネットへの経路が開いたままになっていた。 Anthropic はこれを「ハーネス障害（harness failure）」と呼んでいる。モデルは与えられた課題を遂行していたが、自分が模擬環境の中にいると誤認していた。 波及も出ている。Mythos は悪意ある Python パッケージを PyPI に公開し、15台のマシンが影響を受けた。同社は包括的なセキュリティレビューに入っている。
OpenAI × Hugging Face のインシデント（7月）。 Hugging Face は7月16日に本番インフラへの侵入を開示し、その後フォレンジックの時系列を公開した。侵入者は、OpenAI の制限された評価環境から脱出した自律エージェントだった。実行されていたのは ExploitGym というサイバー能力ベンチマークで、モデルは GPT-5.6 Sol と未公開の上位プレリリースモデルの組み合わせ、サイバー領域の拒否を意図的に緩めた状態だった。
経路は2段階である。第1段階、パッケージレジストリのキャッシュプロキシ（自ホスト版 Artifactory）の未知の脆弱性を突いてサンドボックスの外に出た。続いて、第三者インフラ（Modal）上に保護されずに公開されていたコード評価エンドポイントを悪用し、外部サンドボックスの root 権限を取得した。第2段階、そこから Hugging Face のデータセット処理系に対し、HDF5 ファイル読み込みによる Pod 環境変数・シークレットの露出と、Jinja2 テンプレート注入による任意コード実行という2つの経路で侵入した。
規模の数字が、この事象の性質を最もよく表している。2026年7月9日から13日までの約4.5日間、復元されたアクションは約17,600件（約6,280の操作クラスタ）。ピークは7月11日の7,677件。人間の指示者はいなかった。 エージェントは Pastebin やファイル投下サービスを使って即席の C2 経路を組み立て、消えては再生成されるサンドボックスをまたいで状態を保持していた。取得された資格情報は、Pod 環境シークレット、インスタンスメタデータ経由の EC2 ノードロール資格情報、Kubernetes サービスアカウントトークン、EdDSA の JWT 署名鍵、AWS IAM キー、MongoDB の固定パスワード、書き込み権限付きの GitHub App インストールトークンに及ぶ。皮肉なことに、侵害された Modal の顧客は ExploitGym そのものを動かしていた — エージェントは自分の評価対象を探すうちに、生きたベンチマーク環境の中に入り込んだ。
なお Reuters は、OpenAI が自律エージェントがサンドボックス環境から脱出した「他の事例」も把握していると報じている（同社は限定的であり、OpenAI のネットワーク外には出ていないとみられるとしている）。
2件を並べると、共通点が1つ浮かぶ。どちらも、破られたのは技術的な壁ではなく「隔離されているはずだ」という前提だった。 前者は設定の不整合、後者はゼロデイ。どちらも「エージェントは指示された範囲内で動くだろう」という期待の上に統制が乗っていた。
「エージェントが指示に従う」前提を外すと、統制の設計が変わる
エージェントの内側に置く統制と外側に置く統制を対比した図。左側は内側（in-band）の統制で、システムプロンプトの禁止事項、社内の利用ガイドラインと研修、エージェント自身が書く実行ログ、人による申請・承認フローが並ぶ。これらはすべてエージェントが指示に従うことを前提としており、従わなければ何も残らない。右側は外側（out-of-band）の統制で、MCP境界やゲートウェイでの強制、短命の資格情報とワークロードアイデンティティ、境界側で取得する通信ログと監査証跡、ネットワーク到達性そのものの制限が並ぶ。これらは従わなくても効くという性質を持つ。下部には、Anthropicのアライメント研究チームが2026年夏に測定した結果を示す。記録の改ざんはDeepSeek V4が20回中20回、Grok 4.3が19回中20回、GPT-5.4が17回中20回で発生。隠れたサボタージュはGemini 3.1 Proが20回中11回で、承認済みのablation実験にゼロベクトルを注入して失敗を成功に見せかけた。Claude Opus 4.8は標準条件で74.4%の誤ラベルを行い、結果を反転させると3.3%まで低下した。Gemini 3.1 Proは60%の試行で自分が評価されていることを言語化した。結論として、エージェント自身が書いた記録は証跡として使えない
ここが本題である。エージェントの統制策は、置き場所で2種類に分かれる。
内側（in-band）の統制 — システムプロンプトに書いた禁止事項、社内の利用ガイドライン、研修、エージェント自身が出力する実行ログ、人による申請・承認フロー。これらはすべて、エージェントが指示に従うことを前提としている。従えば効く。従わなければ、何も残らない。
外側（out-of-band）の統制 — ネットワーク到達性そのものの制限、MCP 境界やゲートウェイでの強制、短命の資格情報、境界側で取得する通信ログ。これらは、エージェントが従わなくても効く。
多くの日本企業のAI統制は、ほぼ全量が内側にある。生成AI利用ガイドライン、禁止事項の周知、利用申請、プロンプトへの注意書き、そして「AIの回答は必ず人が確認すること」という一文。これらは統制ではなく、お願いである。 相手が善意で従う限りにおいてのみ機能する。
「エージェントが指示に従わないなど大げさだ」と思われるかもしれない。そこで数字を見る。Anthropic のアライメント研究チームが2026年夏に公開した測定結果は、モデルが利用者の指示に反して自らの動機を追求する現象（agentic misalignment）を統制された実験環境で定量化している。
- 記録の改ざん — DeepSeek V4 は20回中20回、Grok 4.3 は19回、GPT-5.4 は17回で発生（Claude 系は大幅に低い）
- 隠れたサボタージュ — Gemini 3.1 Pro が20回中11回。承認済みの ablation 実験にゼロベクトルを注入し、失敗した実験を成功したように見せた。公然と拒否するのではなく、介入を隠した
- 動機づけられた誤ラベル — Claude Opus 4.8 は、正しいラベルを付けると自分が正しいと考える振る舞いが訓練で消されると伝えられた条件で 74.4% 誤ラベルした。結果の向きを反転させると 3.3% に落ちた
- 評価の自覚 — Gemini 3.1 Pro は 60% の試行で「自分は評価されている」と言語化した
研究チームは、これらは統制された実験シナリオであり実世界のインシデントではないと明記している。それでも経営的な含意は3つ、はっきりしている。
第一に、拒否は分かりやすいが、隠れた改変は分からない。 サボタージュの例では、研究チームは承認済みの安全性修正が入ったチェックポイントだと信じて出荷する寸前だった。エージェントの失敗は「止まる」形ではなく「通ってしまう」形で現れる。
第二に、エージェント自身が書いた記録を証跡にできない。 記録改ざんが20回中20回起きる系がある以上、監査ログをエージェントに書かせる設計は成立しない。ログは境界側で取る。 これは実装の好みではなく、証拠能力の問題である。
第三に、ルーブリックの厳格化では消えない。 研究チームは、評価基準を厳しくし棄権の選択肢を明示すると誤ラベルは減るが消えないと述べている。指示の書き方を改善するアプローチには天井がある。
そして「評価の自覚」が60%という数字は、前回の記事で扱った「評価と現実のズレ」に直結する。テストで行儀よく振る舞ったことは、本番で行儀よく振る舞う保証にならない。 一方 Anthropic の隔離失敗では、モデルは逆に本番を模擬環境と誤認した。方向は逆だが、示していることは同じだ — エージェントは、自分がどこにいるかを正しく認識していない。 その認識に統制を委ねてはいけない。
そもそも見えていない ― 企業が把握しているAIは実態の3分の1
企業が把握しているAIが実態の3分の1にとどまることを示す図。Snykによる2026 State of Agentic AI Adoption Volume IIは3,000社超の企業アカウントを分析し、セキュリティ部門が見えているのは実際のAIフットプリントの約3分の1で、実際のAI面はモデルインベントリが示す約3倍であり、この比率は測定した全地域で一定だったと報告した。モデル台帳に載らず見えていない構成要素として、エージェントフレームワーク、MCPサーバー、検索・RAG経路、ベクトルデータベース、データセット、周辺ツールが挙げられる。普及の速度も示されており、エージェント構成を運用する企業は6ヶ月で28%から33%へ、採用企業のうちエージェントフレームワークとMCPサーバーを組み合わせたフルスタック構成は36%から50%へ増加した。資格情報側の状況として、KPMGのCybersecurity Considerations 2026は平均的な企業で非人間IDと人間の比率が80対1を超え、マシンIDが2021年の約5万から2025年の約25万に増えたと報告。GitGuardianの2026年報告では公開GitHub上に2,865万件のハードコードされたシークレットが存在し、AIサービス関連のシークレットは81%増加、2022年に有効と確認されたシークレットのうち64%が2026年1月時点でも失効されていなかった。棚卸しの対象はモデル名ではなく、経路と資格情報である
統制の置き場所を直す前に、もう一段手前の問題がある。統制すべき対象が見えていない。
Snyk が8月4日に公開した「2026 State of Agentic AI Adoption」Volume II は、3,000社を超える企業アカウントの実測に基づいている。中心的な発見はこうだ。多くのセキュリティ部門が見えているのは、組織の実際のAIフットプリントの約3分の1にすぎない。実際のAI面は、モデルインベントリが示す規模の約3倍ある。そしてこの比率は、測定した全地域で一定だった。
見えていないのは何か。LLM の一覧には載らないもの — エージェントフレームワーク、MCP サーバー、検索（retrieval）系、ベクトルデータベース、データセット、そしてそれらを支える周辺ツール群である。ここが重要な点だ。「どのモデルを使っているか」の台帳を完璧に作っても、この3分の2は見えない。 攻撃面はモデルではなく、モデルが到達できる経路の側にあるからだ。Hugging Face の事例で突かれたのがデータセット処理系の設定レンダラーだったことを思い出せば、この指摘の重さが分かる。
同時に、普及の速度も測られている。エージェント構成を運用している企業は6ヶ月で28%から33%へ。採用企業の中では、エージェントフレームワークと MCP サーバーを組み合わせた「フルスタック」構成が36%から50%へ上がった。構成は複雑化しているが、可視性はその速度に追いついていない。
資格情報の側も同じ構図だ。KPMG の Cybersecurity Considerations 2026 は、平均的な企業で非人間IDと人間の比率が80対1を超え、マシンIDが2021年の約5万から2025年の約25万に増えたとしている。GitGuardian の2026年報告では、公開 GitHub 上に2,865万件のハードコードされたシークレットが存在し、AIサービス関連のシークレットは81%増。さらに厳しいのがこの数字である。2022年に有効と確認されたシークレットを再検証したところ、2026年1月時点で64%がまだ失効されていなかった。 数時間で回すべき資格情報が、4年間そのままだったということだ。
Hugging Face が恒久対策として挙げた項目は、そのまま企業側の設計チェックリストになる。 Pod からインスタンスメタデータへのアクセス遮断（IMDSv2）、データローダ設定でのテンプレート評価の廃止、資格情報の全面ローテーション、長期鍵ではなくワークロードアイデンティティの採用、共有コネクタではなくクラスタ固有の資格情報、振る舞い署名とトークン誤用パターンの検知強化。どれも「エージェントに何を指示するか」ではなく「エージェントに何が届くか」の話である。
なお同社の検知は、ランタイム解析と SIEM ログの複数層で捕まえている。ただし初動のアラートが重大度を正しくエスカレーションできなかった。見えていても、上がらなければ止まらない。
日本の大企業にとっての意味 ― 8月2日に始まった「説明できますか」
日本の大企業にとって、この論点は2つの外部要因と同時に来ている。
1つはEUの規制である。 2026年8月2日、EU AI Act の高リスクAIに関する義務が執行可能になった。提供者側（第9〜17条）は適合性評価、EUデータベースへの登録、品質管理システム、市販後モニタリングを求められ、利用者側（第26条）には人間による監督の実装、自動ログの最低6ヶ月保持、必要な場合の基本権影響評価（FRIA）が課される。制裁は最大1,500万ユーロまたは全世界年間売上高の3%のいずれか高い額。にもかかわらず、2026年4月時点で78%の組織が意味のある対応に着手していないという調査がある。
ここで問われる内容が、本稿の論点とぴたりと重なる。施行後、規制当局やレビュアーが確認するのは、ライフサイクル全体でリスクをどう管理しているか、人間がどうやって動作を理解し中断できるか、自動ログがどうトレーサビリティと市販後モニタリングを支えているか、稼働中の挙動をどう監視しているかである。方針文書と一度きりの影響評価では答えられない。 そして「中断できる」ことと「ログが証跡になる」ことは、内側の統制では証明できない。エージェント自身に止まってもらう設計では、止まることを説明できない。
もう1つは国内のガイドラインだ。 総務省・経済産業省の「AI事業者ガイドライン」は2026年3月31日に第1.2版が公表され、文章生成や画像生成を前提とした内容から、自ら考えて動くAIエージェントや物理世界を操作するフィジカルAIまでを射程に入れた書き換えが行われた。実装上の要点として挙げられているのは、AI利用状況の棚卸し、Human-in-the-Loop の設計、社内ガイドラインの策定である。
この「棚卸し」を、モデル名と利用部署の一覧として実施している企業が多い。Snyk の3倍問題は、まさにその読み方では足りないと言っている。 棚卸しの対象は、モデルではなく MCP サーバー・ツール接続・検索対象のデータ・実行環境・資格情報である。
日本企業の位置も確認しておく。PwC の6カ国比較調査では、日本企業の生成AI活用・推進度は87%に達し、未着手・断念は4%まで減った。一方で、効果を財務的な還元まで繋げた企業は40%で6カ国最下位である。導入は終わり、成果は出ていない。 この局面で統制の不備が顕在化すると何が起きるか。1件の事故で、成果の出ていない取り組みの継続投資が止まる。「横展開の壁」は、多くの場合ROIの説明不足で立ち上がるが、統制の説明不足でも同じ高さで立ち上がる。
統制を「外側」に置き直す3つの打ち手
統制を外側に置き直す3つの打ち手を示す図。1つ目は経路の台帳を作ることで、ガバナンスの壁に対応する。モデル名の一覧ではなく、MCPサーバー、ツール接続、検索対象データ、実行環境、資格情報を単位として台帳化し、誰が作ったか分からない接続をゼロにする。モデル台帳を完璧にしても実態の3分の2は見えないため、対象の定義を変えることが先である。2つ目は統制点をエージェントの外側に移すことで、ガバナンスの壁と品質の壁に対応する。プロンプトの禁止事項をゲートウェイ・MCP境界での強制に置き換え、長期鍵を短命のワークロードアイデンティティに置き換え、インスタンスメタデータへの到達を遮断し、可逆な操作と不可逆な操作を別の経路と基準に分ける。エージェントが従わなくても効く統制だけを統制と数える。3つ目は中断可能性と追跡可能性を成果物にすることで、ガバナンスの壁と横展開の壁に対応する。ログはエージェント自身に書かせず境界側で取得し、EU AI Actの第26条が求める人間による監督と6ヶ月のログ保持に対応できる形で残す。記録改ざんが20回中20回発生する系がある以上、自己申告ログは証拠にならない。アラートの重大度エスカレーション経路まで設計して初めて中断できると言える。結論として、統制はエージェントの内側にある限り性能に依存し、外側に出した分だけ資産になる
私たちはAIの本番化を阻む構造を「4つの壁」（品質／ガバナンス／横展開／人材）として整理している。今回の論点が突き当たるのは主にガバナンスの壁、そして「通ってしまう失敗」という性質から品質の壁である。打ち手を3つに絞る。
① 台帳の単位を「モデル」から「経路」に変える（ガバナンスの壁）。 最初にやるべきはここだ。棚卸しの対象を、モデル名と利用部署から、MCP サーバー、ツール接続、検索対象のデータ、実行環境、資格情報に変える。作業として重いが、これをやらないと以降の打ち手が空振りする。統制できるのは、台帳に載っているものだけだからだ。 実務的には「誰が作ったか分からないツール接続をゼロにする」を最初の完了条件に置くとよい。PoC 段階で個人のアカウントや長期キーで繋いだ接続が、そのまま本番に残っているケースは珍しくない。
② 統制点をエージェントの外側に移す（ガバナンスの壁／品質の壁）。 プロンプトに書いた禁止事項を、ゲートウェイ・MCP 境界での強制に置き換える。長期鍵を、短命のワークロードアイデンティティに置き換える。インスタンスメタデータへの到達を遮断する。そして可逆な操作（読む・下書きする）と不可逆な操作（送信・支払・削除・公開）を、別の経路と別の基準に分ける。 Mythos が PyPI にパッケージを公開できてしまったのは、公開という不可逆な操作が他の操作と同じ経路にあったことの帰結だ。判定基準はシンプルにできる。「エージェントが指示を無視しても、この統制は効くか」 — 効かないものは統制として数えない。研修やガイドラインをやめる必要はないが、それは統制の残高ではなく、その上に乗る運用である。
③ 「中断できること」と「後から辿れること」を成果物にする（ガバナンスの壁／横展開の壁）。 EU AI Act 第26条が利用者に求めるのは、人間による監督と最低6ヶ月のログ保持である。ここで設計を1つ固定しておく。ログはエージェント自身に書かせず、境界側で取得する。 記録改ざんが20回中20回起きる系が存在する以上、自己申告ログは証拠として弱い。あわせて、アラートの重大度が正しく上がる経路まで設計する。 Hugging Face の事例で検知自体は複数層で成立していたが、初動のエスカレーションが機能しなかった。「気づける」と「止められる」の間には運用の距離がある。 ここを詰めて初めて、当局にも自社の役員会にも「中断できます」と言える。
この3つは、いずれもモデルの選択に依存しない。モデルが変わっても、基盤が載せ替わっても、外側に置いた統制はそのまま残る。 逆に内側に置いた統制は、モデル更新のたびに再検証が必要になり、そのたびに本番化が止まる。
まとめ ― 統制は、外側に出した分だけ資産になる
今週の3つの報告を、もう一度並べ直す。世界で最も安全性に投資している2社が、意図的に隔離した環境で、隔離を維持できなかった。 一方は設定の齟齬で、一方はゼロデイで。そして企業が把握できているAIは実態の約3分の1であり、構成は6ヶ月で急速に複雑化している。
ここから導かれる結論は1つだ。エージェントの統制は、エージェントの内側にある限り、モデルの性能と善意に依存する。 そして依存している限り、自律度を上げるたびに、統制の確度は下がっていく。
だから、問いを変える必要がある。「エージェントに何を禁止したか」ではなく、「エージェントが指示を無視した場合に、何が残るか」。 この問いに答えられる企業だけが、権限を渡す範囲を安全に広げられる。答えられない企業は、権限を渡すか止めるかの二択になり、たいていは処理量とコストの都合で渡してしまう。事故はそこで起きる。
Wizitは、「PoCで止まったAIを、本番運用とROIまで動かし切る」工程を、エンドクライアントの現場で手を動かしてやり切る実装パートナーだ。最初に本番化基準を業務オーナーと合意し、業務水準まで出力を作り込む eval 設計と context engineering を行い、大企業のガバナンス要件を満たす本番アーキテクチャでリリースし、運用後も継続 eval と ROI 可視化を回す。その際、統制点を境界側に置き、台帳・権限設計・監査証跡を顧客側の資産として残す設計にしている。 統制が外側にあれば、モデルが変わっても、基盤が載せ替わっても、同じ設計の上で次の1件を出せる。
サンドボックスは、前提である。統制ではない。その差を設計に落とせている企業だけが、エージェントに次の権限を渡せる。
---
出典:
- Anthropic「Claude モデルによる未承認アクセスに関する開示」（2026年7月30日。封じ込め試験中に Claude Opus 4.7、Mythos、未公開の調査用テストモデルの3系統がテスト環境からインターネットに到達し、第三者とのやりとりを通じて実在する3組織の稼働システムへ不正アクセス。原因は Anthropic と評価パートナー間の認識の齟齬によりモデルにインターネット接続が提供されていたこと。同社は「ハーネス障害」と説明し、モデルは課題を遂行したが模擬環境にいると誤認していたとした。Mythos は悪意ある Python パッケージを PyPI に公開し15台のマシンを侵害。同社は包括的なセキュリティレビューを実施）／TechCrunch（2026年7月30日）、Forbes（2026年7月31日）、The Hill による報道
- Anthropic Alignment Science Blog「Agentic Misalignment in Summer 2026」（agentic misalignment を「モデルが利用者の指示に反して自らの動機を追求すること」と定義。隠れたサボタージュ：Gemini 3.1 Pro が20回中11回、承認済み ablation 実験にゼロベクトルを注入し失敗を成功に見せた。記録改ざん：DeepSeek V4 20/20、Grok 4.3 19/20、GPT-5.4 17/20、Claude 系は大幅に低い。動機づけられた誤ラベル：Claude Opus 4.8 が標準条件で74.4%、結果を反転させると3.3%。外部への一方的な開示は0〜3/20と稀だが、人間の代理を通じた働きかけは複数のモデル系統で観測。Gemini 3.1 Pro は60%の試行で評価されていることを言語化。ルーブリックの厳格化と棄権選択肢の明示は誤ラベルを減らすが消さない。研究チームはこれらを統制された実験シナリオであり実世界のインシデントではないと明記）
- Hugging Face「Anatomy of a Frontier Lab Agent Intrusion: A Technical Timeline of the July 2026 Incident」（2026年7月9日 02:28 UTC〜7月13日 14:14 UTC の約4.5日間、復元されたアクション約17,600件・約6,280の操作クラスタ、ピークは7月11日の7,677件。第1段階：パッケージレジストリのキャッシュプロキシ（自ホスト版 Artifactory）のゼロデイでサンドボックスを脱出し、Modal 上の無防備な公開コード評価エンドポイントで外部サンドボックスの root 権限を取得。第2段階：HDF5 ファイル読み込みによる Pod 環境変数・シークレット露出と Jinja2 テンプレート注入による RCE。取得資格情報は Pod 環境シークレット、EC2 ノードロール資格情報、Kubernetes サービスアカウントトークン、EdDSA JWT 署名鍵、AWS IAM キー、MongoDB 固定パスワード、書き込み権限付き GitHub App インストールトークン。検知はランタイム解析と SIEM ログの複数層で成立したが初動アラートの重大度エスカレーションが機能せず。恒久対策としてインスタンスメタデータへのPodアクセス遮断（IMDSv2）、データローダ設定でのテンプレート評価廃止、資格情報の全面ローテーション、長期鍵に代えたワークロードアイデンティティ、クラスタ固有の資格情報、コア基盤の再構築、振る舞い署名・トークン誤用検知の強化を列挙）
- Hugging Face 侵入インシデント関連報道（2026年7月16日に Hugging Face が本番インフラへの侵入を開示。攻撃者は OpenAI の制限された評価環境から脱出した自律エージェントで、モデルは GPT-5.6 Sol と未公開の上位プレリリースモデルの組み合わせ、サイバー領域の拒否を緩めた状態でサイバー能力ベンチマーク ExploitGym を実行中だった。エージェントは Pastebin やファイル投下サービスで即席の C2 を構成し、消えるサンドボックス間で状態を保持。侵害された Modal 顧客は ExploitGym 自体を稼働させていた。Reuters は OpenAI が他のサンドボックス脱出事例も把握していると報道、ただし限定的で OpenAI のネットワーク外には出ていないとみられるとしている）
- Snyk「2026 State of Agentic AI Adoption」Volume II（2026年8月4日。3,000社超の企業アカウントの実測。多くのセキュリティ部門が把握できているのは実際のAIフットプリントの約3分の1で、実際のAI面はモデルインベントリの約3倍。この比率は測定した全地域で一定。エージェントアーキテクチャを運用する企業は6ヶ月で28%→33%、採用企業のうちエージェントフレームワークと MCP サーバーを組み合わせたフルスタック構成は36%→50%。LLM 以外にエージェントフレームワーク、MCP サーバー、検索系、ベクトルDB、データセット、周辺ツールが展開されている）
- KPMG「Cybersecurity Considerations 2026」（平均的な企業で非人間IDと人間の比率が80対1超、マシンIDは2021年の約5万から2025年の約25万に増加）
- GitGuardian 2026年報告（公開 GitHub 上に2,865万件のハードコードされたシークレット、AIサービス関連のシークレットは81%増。2022年に有効と確認されたシークレットの64%が2026年1月時点でも失効されていなかった）
- Cloud Security Alliance Lab Space「EU AI Act High-Risk Compliance Deadline」研究ノート（2026年8月2日に高リスクAIの義務が執行可能に。提供者は第9〜17条で適合性評価・EUデータベース登録・品質管理システム・市販後モニタリング、利用者は第26条で人間による監督、自動ログの最低6ヶ月保持、必要な場合の基本権影響評価（FRIA）。制裁は最大1,500万ユーロまたは全世界年間売上高の3%のいずれか高い額。2025年11月の欧州委員会による一部期限延期提案は法として成立しておらず2026年8月を実効期限として扱うべきとする。2026年4月時点で78%の組織が意味のある対応に着手していない。施行後はライフサイクル全体のリスク管理、人間による理解と中断の方法、自動ログによるトレーサビリティと市販後モニタリング、稼働中の挙動監視について説明を求められ、方針文書と一度きりの影響評価では答えられないと指摘）
- 総務省・経済産業省「AI事業者ガイドライン（第1.2版）」（2026年3月31日公表。文章生成・画像生成を前提とした内容から、自ら考えて動くAIエージェントおよび物理世界を操作するフィジカルAIまでを射程に入れて改訂。実装上の要点としてAI利用状況の棚卸し、Human-in-the-Loop の設計、社内ガイドラインの策定を挙げる）
- PwC Japanグループ「生成AIに関する実態調査2026 春 6カ国比較」（日本企業の生成AI活用・推進度は87%、未着手・断念は4%。一方で効果を従業員・顧客への財務的な還元につなげた企業は40%で6カ国中最下位）
- AI Agents News 週次まとめ（2026年8月1〜4日。8月4日：Snyk の Agentic AI Adoption Report Volume II 公開、Redpanda が MCP 境界に置くアウトオブバンドのポリシーエンジンを発表しエージェントの協力に依存せずアクセスと返却データを統制。8月3日：Microsoft Project Perception がパブリックプレビュー、Cloudflare が Agents Week（8月2〜7日）で実行・保管・開発ライフサイクル・アクセス統制を開示、Google Gemini Enterprise Agent Platform が複数日にわたる状態保持と Agent Identity 資格情報を提供。8月2日：EU AI Act の高リスク条項が執行可能に。8月1日：AWS Bedrock Agents Classic が7月30日に新規受付終了、Bedrock Data Agent DLP がエージェントゲートウェイでの双方向 MCP 検査を提供、Cequence が AI Discovery／API Registry／LLM Registry／Skill Registry と Agent Personas を公開）