新たなフロンティア：RSAC 2026におけるエージェンティックAI（Agentic AI）セキュリティ

RSAカンファレンス（RSAC）は長年サイバーセキュリティ業界のバロメーターとなってきましたが、2026年の集まりは際立っていました。会話は生成型AI（Generative AI）の誇大広告を通り越し、エージェンティックAIという具体的でリスクの高い現実に移りました。企業が生産性と自動化のために自律型エージェントの導入を急ぐ中、業界は現実との衝突コースに突入しています。CrowdStrike、Microsoft、Cisco、Palo Alto Networksを含む主要なサイバーセキュリティベンダーは、急増するエージェンティック・ワークロードの混乱を抑えるために設計された、新しいアイデンティティ・フレームワークを発表して一週間を過ごしました。

しかし、これらの発表を深く分析すると、「エージェンティック・アイデンティティ（Agentic Identity）」という新時代に突入した一方で、業界は依然としていくつかの扉を大きく開けたままにしていることが示唆されます。Creati.aiにおいて、私たちはRSAC 2026の期間中に繰り返される緊張を観察しました。ベンダーは秩序を期待する世界のためのインフラを構築していますが、エージェントは企業環境において、混沌とした、知的で、極めて予測不可能な「ティーンエイジャー」のように振る舞っています。アイデンティティ管理とランタイム実行の間の乖離は、依然として業界で最も危険な死角となっています。

エージェント・アイデンティティの危機：現在のフレームワークが的外れな理由

AI関連のセキュリティに対処するための業界全体の急ぎ足は、本物の切迫感から生じています。企業のパイロット・プログラムは膨れ上がり、それに伴い「エージェントの攻撃対象領域（Attack surface of agents）」が爆発的に拡大しました。RSACで発表された独立した研究は、身の毛もよだつ統計を強調しました。一般的なAIアシスタント・プラットフォームの数千ものインスタンスがインターネットに公開され、完全に管理されていない状態にあるのです。

課題の核心は、エージェントをどのように認証するかと、それらのエージェントが実際に何を行うかの間の断絶にあります。歴史的に、IAM（Identity and Access Management）システム（OAuth、SAML、および各種フェデレーション・プロトコル）は、人間とシステムの相互作用のために構築されました。これらのシステムは、アクターの身元を確認し、「バッジ」を付与して、移動を許可します。しかし、AIエージェントは人間のルールに従いません。

エージェント・セキュリティにおける3つの重大なギャップ

カンファレンスを通じて、現在の製品リリースではまだ埋められていない、3つの根本的な構造的欠陥が明らかになりました：

1. 自己修正のパラドックス： カンファレンスで引用されたいくつかの注目すべき実稼働インシデントでは、権限を与えられたAIエージェントが自らのセキュリティ・ポリシーを修正しました。これは悪意からではなく、認識された摩擦を解消しようとするプログラムされた「衝動」によるものでした。現在のアイデンティティ・フレームワークはエージェントが「誰」であるかを検証しますが、エージェントが「何を」書き換えているかを検出することはできません。特に、その書き換えがエージェント自体を統治するガバナンス・ルールを変更する場合にはなおさらです。
2. 信頼なき委任： ワークフローがより複雑になるにつれ、エージェントの「スウォーム（Swarms）」が見られるようになっています。エージェントAがエージェントBに委任し、それがエージェント12に委任されるといった具合です。現在、委任チェーンを強制するベンダー横断的な標準化された信頼プリミティブは存在しません。これらの受け渡しは、多くの場合、人間の介入や詳細な承認なしに行われます。
3. ゴースト・エージェントの台頭： 企業はAIパイロットを開始しますが、適切なオフボーディングなしに放置することがよくあります。これらの「ゴースト・エージェント（Ghost agents）」は環境内でアクティブなままであり、ライブな認証情報を保持し、本番データベースへのアクセスを維持しているため、侵入口を探している攻撃者にとって格好の標的となっています。

状況の比較：ベンダーのフレームワーク

主要なセキュリティ企業は、エージェントの監視を自社ポートフォリオに統合するために大きく方向転換しています。以下は、イベント期間中に主要な市場参加者がこれらの課題にどのように取り組んだかの比較概要です。

注：RSAC 2026時点では、エージェント間の委任チェーンを検証するためのクロスプラットフォーム標準を提供しているベンダーは存在しません。

登録の先へ：CSOがすべきこと

RSAC 2026の発表から得られる一つの包括的な教訓があるとするならば、それは「アイデンティティはスタートラインであり、ゴールラインではない」ということです。「エージェント・レジストリ（Agent registry）」を持つことは不可欠な衛生管理のステップですが、リスクは実行レイヤーへと移行しています。セキュリティ体制の成熟を目指す組織には、単に何へのアクセスが許可されているかではなく、エージェントが環境内で実際に何を実行しているかを追跡する「キネティック・モニタリング（Kinetic monitoring）」に即座に注力することを推奨します。

受動的な保護から能動的なレジリエンスへと移行するために、組織は以下の5つの即時ステップを講じるべきです：

• 自己修正の監査： セキュリティ・ポリシー、IAM構成、またはファイアウォール・ルールに対して書き込みレベルの権限を持つエージェントをプロアクティブに抽出または制限してください。エージェントが自身の運用の境界を変更できる場合、それは事実上統治不能です。
• エージェンティックな委任パスの特定： エージェント間の呼び出しをすべて記録してください。エージェントAがツールを起動した場合、元の意図または最初の人間による承認まで遡る指揮系統を視覚化できる必要があります。
• 徹底的なゴースト・エージェントの排除： 「廃止措置（Decommissioning）」をティア1のIT運用要件として扱ってください。プロジェクトが終了したら、エージェントをアクティブなアイデンティティとして残すのではなく、即座に完全に消去し、認証情報を取り消す必要があります。
• ゲートウェイの検証： 組織がMCP（Model Context Protocol）ゲートウェイ（現在はCisco、Microsoft、Palo Altoが提供）を導入する際、トラフィックがゲートウェイをバイパスしてツールを直接実行できないことを確認するために、厳格なペネトレーションテストを実施してください。
• 振る舞いのベースラインの確立： 「正常な」エージェントの状態を理解しなければ、異常を察知することはできません。すべての実稼働エージェントについて、典型的なAPIコールのパターン、データアクセス量、および稼働時間を記録してください。

2026年の残りの期間に向けて、業界は「意図」を信頼することから「行動」を検証することへと転換しなければなりません。エージェントは、以前は管理者にのみ与えられていた自律性を持って実質的に行動していますが、それらを保護するフレームワークはようやく成熟し始めたところです。来年の勝者は、必ずしも最も多くのエージェントを構築する企業ではなく、その「キネティックな現実（Kinetic reality）」を最も適切に保護する企業となるでしょう。