記事のサマリー（TL;DR）
- 107社のうち54%がAIエージェントのセキュリティインシデントまたはニアミスを経験済み（確定インシデント18%、ニアミス36%）
- エージェントごとにスコープ付きのマネージドIDを付与している企業は32%のみ、69%はクレデンシャルを何らかの形で共有
- セキュリティツールの主力はOpenAI・Google・Microsoftのプロバイダーネイティブ機能（一次レイヤーとして82%が採用）であり、専門ベンダーはほぼ存在感なし
国内AIエージェント導入企業が直視すべきID管理と隔離の実態
本調査の対象は従業員100名以上の企業107社（2026年6月単一波）で、Technology/Softwareが23%、Manufacturing 15%、Retail/E-commerce 14%と構成される。日本でもClaude・GPT・Geminiを使った業務AIエージェントの導入が急速に進む中、同様の構造的リスクは国内企業にも直接当てはまる。
特に注目すべきは、クレデンシャル共有とインシデント率の相関だ。クレデンシャル共有がある組織のインシデント・ニアミス率は63.5%、全エージェントにスコープ付きIDを付与している組織は40.9%と、23ポイントの差がある。kintoneやSalesforceのAPIキーをエージェントに持たせる構成、あるいはSlack・Google Workspaceの管理者権限で動かすエージェントでは、同じリスク構造が生じる。
また、「プロバイダーのガードレールで十分」という判断が満足度スコア（平均4.2/5.0）として現れている一方で、同じ企業の59%が12か月以内にツールを変更する予定と回答している。現在の満足感がいかに「プロビジョナル（暫定的）」かを示している。
詳細
調査概要
VentureBeat Pulse Research が2026年6月に実施した単一波の調査で、従業員100名以上の企業107社が対象。役職別では最終意思決定者45%、推薦・影響力保持者30%とシニア層が多数を占める。規模別では251〜1,000名規模が42%と中堅市場寄り。業種は Technology/Software（23%）・Manufacturing（15%）・Retail/E-commerce（14%）・Healthcare/Life Sciences（13%）が上位。
複数回答形式の設問があるため合計が100%を超えるケースがある。107件という規模は方向性を読むには十分だが、精密な統計値ではなく方向性シグナルとして読むことが推奨されている。
発見1：インシデントはすでに起きている
54%が確定インシデントまたはニアミスを経験済み
- 18%：確定インシデント（実害あり）
- 36%：ニアミス（被害に至る前に検知）
- 42%：インシデントなし
- 5%：エージェントを本番運用していない／2%：追跡していない
ニアミスの報告が多いことは「検知できている」一方で「ギリギリで止めている」状態を意味する。企業規模別では、従業員1,000名超の大企業でのインシデント・ニアミス率は63%と中堅市場（101〜1,000名）の49%を上回るが、高リスクエージェントのサンドボックス隔離率は逆に大企業ほど低く（35%→20%）、セキュリティツールへの満足度も4.36から3.97へ下がる。最も多くのエージェントを動かしている組織が最も多くのインシデントを抱え、かつ被害局限のための隔離制御を最も欠いている。
発見2：IDギャップ
エージェントにスコープ付きIDを付与しているのは約3分の1
- 32%：各エージェントが独自のスコープ付きマネージドIDを持つ
- 48%：一部はスコープ付きIDを持つが、多くはクレデンシャルを共有
- 32%：主に共有APIキーまたは人間・サービスアカウントのクレデンシャルで動作
- 7%：本番運用なし／5%：不明
（複数パターン回答可のため合計は100%超）
まとめると107社のうち74社（69%）がエージェントフリート内でクレデンシャル共有を行っている。スコープ付きIDはLeast Privilege（最小権限）とクリーンな証跡の前提条件だが、これが整っていなければ侵害されたエージェント1体が意図以上の広範囲にアクセスし、事後のフォレンジックでどのエージェントが何をしたか特定できなくなる。
クレデンシャル共有とインシデント率の相関：
クレデンシャル共有ありの74社 → インシデント・ニアミス率 63.5%（47社）
全エージェントにスコープ付きID付与の22社 → 40.9%（9社）
23ポイントの差は、単一波の調査という制約はあるものの有意な関連性を示唆する。
発見3：観察・実行はするが隔離はほとんどしない
高リスクエージェントをサンドボックス化しているのは3割のみ
- 49%：エンフォース型（スコープ付きID・権限をランタイムで強制）
- 47%：オブザーブ型（エージェント活動を監視・ログ記録するがランタイム強制は限定的）
- 30%：アイソレート型（高リスクエージェントをサンドボックスで隔離）
- 6%：不明／5%：専用エージェントセキュリティプログラムなし
多層防御の観点ではこの順序は逆だ。「観察」は事後分析、「強制」は予防に効くが、「隔離」こそが防御が破られたときの被害範囲を限定する手段だ。しかしその隔離が最も普及していない。IDギャップと組み合わせると、「見られているが箱に閉じ込められていない」エージェントが大多数を占めるという構図になり、単一の失敗が連鎖する温床となる。
発見4：セキュリティはプロバイダーから借りた制御に依存
OpenAI・Google・Microsoftのガードレールが主力。専門ベンダーはほぼ存在感なし
利用ツールの内訳：
- OpenAI組み込みガードレール：51%
- Google Cloudコントロール：36%
- Microsoft Azure（Purview / Copilot Studio DLP）：35%
- Anthropicマネージドエージェントコントロール：29%
- Microsoft Entra Agent ID：13%
- AWS Bedrock Guardrails：10%
- オープンソースガードレール・Cloudflare・Cisco：各8%
- Palo Alto Prisma AIRS、CrowdStrike、Cisco AI Defense、Zenity、HiddenLayer、Check Point Lakera、Okta for AI Agents：いずれも低一桁台
一次セキュリティレイヤーとして 82%がプロバイダーネイティブまたはハイパースケーラーのツールを指名。専用エージェントセキュリティベンダーは各社1桁台にとどまり、専用ツールをまったく使わない企業も5%存在する。この傾向は2026年4〜5月の別の調査波（n=110）でも同様で、OpenAIが26%・Azure 15%・AWS 14%・Google 12%と同じ顔ぶれが上位を占め、専門ベンダーは3%以下だった。
発見5：企業はその状況に満足している
インシデントが増え続ける中でも満足度は高止まり
- 現在のエージェントセキュリティツールへの総合満足度：4.2 / 5.0
- コストパフォーマンス：4.1 / 5.0
- 導入容易性：3.9 / 5.0
本シリーズの中で最も高い水準の満足度評価だ。だが54%がすでにインシデントまたはニアミスを経験し、エージェントにスコープ付きIDを付与しているのは32%にすぎない状況でのこの高満足度は、プロバイダーネイティブコントロールの低摩擦さと利便性に基づく「見かけ上の安心感」と読める。発見8が示すように、同じ企業の過半数が1年以内にツール変更を計画しており、その矛盾が現在の満足スコアの脆さを物語る。
発見6：予算が追いついていない
多くの企業がセキュリティ予算の1割未満しかエージェントセキュリティに割いていない
- 46%：セキュリティ予算の6〜10%（最多バンド）
- 26%：1〜5%
- 8%：1%未満
- 15%：11〜25%
- 9%：25%超
最多回答バンドは6〜10%で、34%の企業が5%以下、10%超を割り当てているのは全体の24%のみ。インシデント率とID・隔離のギャップを踏まえると、予算はリスクの顕在化に対して明らかに後追いになっている。10%超を割り当てている少数派が、スコープ付きIDや隔離制御を構築している可能性が高い。
発見7：攻守のバランスはせいぜいイーブン
AI防御が攻撃者を上回ると考えている企業は3分の1のみ
- 35%：自社のAI防御が優勢
- 32%：ほぼ互角
- 21%：AI攻撃者が優勢
- 21%：判断時期尚早／6%：不明
53%が「互角かそれ以下」と評価している。発見5の高満足度との矛盾は際立つ。オフェンス側もAIで加速している環境で「互角」は安心できる状況ではない。
発見8：セキュリティの再編成が始まる
59%が1年以内にツールの採用・切り替えを計画
- 41%：変更予定なし
- 29%：0〜3か月以内に採用・切り替えを計画
- 22%：3〜6か月以内
- 8%：6〜12か月以内
インシデント経験がバイイングサイクルを動かす。インシデント経験ありの企業では42.1%が90日以内のツール採用・変更を計画（未経験企業は14.0%）。確定インシデントを経験した企業では52.6%とさらに高くなる。また、インシデント経験ありの33.3%が「AI攻撃者が優勢」と回答したのに対し、未経験企業は8.0%にとどまり、経験が緊迫感と悲観的評価の最大の予測因子となっている。
検討中のツールは依然プロバイダーネイティブ寄り（OpenAI 34%・Google 30%・Anthropic 29%・Azure 25%）だが、Cloudflare・Cisco・Palo Alto・Okta・Check Point Lakeraなど専門ベンダーも中〜高一桁台の関心を集め始めており、現在の採用シェアを上回る。しかしIDレイヤーはまだ購買計画に入っていない。Okta for AI Agents・Microsoft Entra Agent ID・非人間IDプラットフォームなどエージェントID製品を検討セットに含めているのは回答者の12%のみ。クレデンシャルを共有しておりかつインシデントを経験済みの企業でもID製品への関心は約10人に1人と変わらない。インシデントデータが最も直接的に指摘する制御が、購買計画からほぼ抜け落ちている。
結論：自律性がテストするセキュリティギャップ
本調査が描くのは「エージェントの自律性の拡大」と「それを制御するための仕組みの整備」が乖離した状態だ。54%がインシデントまたはニアミスを経験済み、スコープ付きIDを全エージェントに付与しているのは32%のみ、高リスクエージェントの隔離は30%にとどまり、セキュリティスタックはモデルプロバイダーから借用した機能が中心という構造は、エージェントが「見られているが閉じ込められていない」状態を示している。
エージェントセキュリティギャップはプロバイダーのガードレール単体では埋まらない。自律的ソフトウェアのために設計されたID管理・隔離・エンフォースメントの問題だ。このギャップを企業が意図的に閉じるのか、確定インシデントによって強制的に閉じられるのかが、今後の調査波が追跡すべき問いとなる。