Get security briefings from the Threat Research Team
New campaigns, attacker techniques, and detection guidance — straight to your inbox.
Falco Feedsは、オープンソースに焦点を当てた企業に、新しい脅威が発見されると継続的に更新される専門家が作成したルールにアクセスできるようにすることで、Falcoの力を拡大します。
本文の内容は、2026年11月4日に Crystal Morinが投稿したブログ (https://www.sysdig.com/blog/a-first-look-under-the-hood-of-ai-agents) を元に日本語に翻訳・再構成した内容となっております。
AIエージェントの実像：1か月・300台の実測データ
Sysdig AI Defense の早期アクセスを利用して、あるソフトウェア開発企業が1か月間、全社でのAIエージェントの利用状況を調べました。以下は、そこで分かったことです。
エンジニア以外の開発者がコードを生成している
この組織では、AIエージェントを利用している従業員の50%が、エンジニアリング部門以外の所属でした。マーケティング、人事、営業、法務、経理のいずれの部門でも、毎日AIエージェントが使われており、単にチャットをしているだけではありません。エージェントを使っている非エンジニアのうち、平均42%が、エージェントにコードの実行、ビルド、パッケージのインストール、あるいはクラウドやクラスタに対するコマンドを実行させていました。
ツールを作る経理担当者には、エンジニアとは異なる専門性があります。一方で、コードのレビューや依存関係のチェックといった仕組みは、エンジニアリングの現場では標準で整っているものの、他部門の業務にはまだ組み込まれていません。これは個人の知識の問題ではなく、組織が整備すべき環境の問題です。だからこそ答えは、作ることを制限することではなく、安心して作れる場所を用意することにあります。承認されたサンドボックス内で開発できる経路を整え、インストールやCLIの呼び出しを把握できるようにしておけば、現場の工夫をそのまま成果に変えられます。
人による承認なしにツール呼び出しが実行されている
人は作業を止めないために確認プロンプトをオフにします。それは一般に不注意の表れではありませんが、組織をより大きなリスクにさらす可能性があります。この組織のツール呼び出しの60%以上が、人による承認なしに実行されていました。内訳は、人ではなく Claude Code のオートモード分類器によって審査されたものが52%、確認プロンプトを意図的にオフにした状態（YOLO モード）で実行されたものが9%です。
しかし、このリスクを最小限に抑える答えは、すべてをブロックすることでも、見て見ぬふりをすることでもありません。組織は、さまざまなレベルでリスクプロファイルを理解し、ツール、エージェント、拡張機能が到達でき、変更できる範囲に基づいて、それらを許可する必要があります。
エージェント自身による行動の説明だけでは不十分
この組織のエージェントが記録したツール呼び出し1件につき、カーネルは7つのプロセスを捕捉していました。エージェントのログは、ユーザーがセッションをデバッグする際には役立つかもしれませんが、エージェント自身が書くものであるため、監査の証拠として使うことは想定されていません。カーネルは、使われたツールや API にかかわらず、実際に実行されたものをプロセスレベルで確認できます。ただし、追加のデータからは、全体像を把握するにはセキュリティチームが両方を必要とすることも分かります。たとえば、エージェントが認証情報ファイルを読み取ったとき、エージェントのログにエントリがなかったケースは82%に上りました。一方、カーネルはすべての読み取りを記録していました。
未検証の拡張機能をエージェントに接続する
この組織で使われていた MCP サーバーのうち、ほぼ半数（47%）は、サードパーティのレジストリやベンダーに由来するものでした。それぞれのサーバーは信頼関係であり、エージェントへの接続にはわずか1行の設定で済みますが、接続されたあとはアクセス権を持ちます。また、サーバーはバックグラウンドで気づかれないうちに更新されることもあるため、先週信頼したものが、今日動いているものと同じとは限りません。
モデルをタスクに合わせる
この組織の AI 支出の50%以上が、重複したプロセスや機能に使われていました。各エージェントの背後にあるチームとユーザーごとに、どのモデルが使われているかを可視化できれば、組織はモデルの選択をタスクに結び付け、重複を減らせます。
完全版レポートで分かること
これは、1か月間のエージェント活動から明らかになったことのごく一部にすぎません。さらに詳しく知るために、次の内容をご覧ください。
- セキュリティ上重要な検知が発生する頻度。
- エージェントや拡張機能を、到達できる範囲に応じて許可するための、リスクティアのフレームワーク
- データの持ち出しの可能性、未承認のモデルプロバイダー、クラウド権限の変更など、実際の環境で発生したアラート。
- 従業員が日常的に実際に使っているモデルのティア。
- チームにそのまま共有できるリスク低減の一覧表。
おそらく、AIエージェントはすでにお客様の組織内で動いています。問題は、それらがどこで動いているかを把握しているか、そして何をしているかを確認できるかどうかです。完全版レポートを読んで、この組織が何を発見したか、そしてギャップを埋め始める方法をご確認ください。