自律型AIとマシンアイデンティティが主要議題に――Gartner東京セキュリティサミット

Gartner Security & Risk Management Summit Japan 2026が7月22日、東京・お台場のグランドニッコー東京 台場で開幕した。自律的に動作する「Agentic AI（自律型AI）」の普及と、それに伴って急増するマシンアイデンティティが主要議題となっている。企業のセキュリティ責任者には、AIの導入を人間とマシン双方のアイデンティティ基盤を刷新する契機としつつ、AIを人間の分析担当者に代わる存在ではなく、その能力を補完するものとして運用することが求められる。

■ガートナー東京サミット開幕：自律型AIとマシンアイデンティティの課題が交差

アジア太平洋地域における同社の主要な年次セキュリティ会議「Gartner Security & Risk Management Summit Japan 2026」が7月22日、グランドニッコー東京 台場で開幕した。初日には840人を超えるCISO（最高情報セキュリティ責任者）やサイバーセキュリティリーダーが参加した。7月24日までの3日間にわたり、17人のGartnerアナリストが調査に基づくセッションを実施し、会場では60社を超えるソリューションプロバイダーが展示を行う。

今回のサミットは、企業のセキュリティチームが直面する2つの課題が、1つの構造的問題へと収束するなかで開催された。人間が一つ一つ承認しなくても自律的に動作し、ツールを使い、コードを実行して複数段階のタスクを完了するAgentic AIが、企業環境に組み込まれつつある。同時に、新たなAIエージェントが導入されるたび、トークン、APIキー、証明書、サービスアカウントなど、管理対象となる認証情報が新たに生まれる。

その結果、アイデンティティの総数は、既存のガバナンスの枠組みでは追跡できないほどの速度で増加している。Gartnerの調査では、平均的な企業における非人間アイデンティティ（NHI）、すなわち人間の利用者にひも付かないマシン生成の認証情報は、人間の認証情報1件に対して45件に上る。クラウドネイティブ環境では、人間の認証情報1件当たり最大144件に達するという。

自律型AIエージェントは、この不均衡をさらに拡大させている。多くの企業が依存する既存のアイデンティティ基盤は、ブラウザを介して人間がパスワード認証することを前提に設計されており、実行時に認証情報を生成しながら多数のシステムを同時に操作するソフトウェアを想定していない。この隔たりが、東京で今週開催される各セッションの中心的なテーマとなっている。

■オープニング基調講演：「Seize the Moment（今こそ好機をつかめ）」

Gartnerのシニアディレクターアナリスト、オスカー・イサカ（Oscar Isaka）氏は、「Seize the Moment」と題した基調講演でサミットの幕を開けた。イサカ氏は現在の状況を単なる脅威の深刻化ではなく、限られた期間内に判断を下す必要がある局面であり、断固として行動するセキュリティリーダーにとって現実的な戦略機会でもあると位置付けた。

イサカ氏は、セキュリティリーダーが行動に移せる3つの機会を挙げた。第1は、セキュリティチームの準備状況にかかわらず事業部門で進んでいるAI導入を、人間とマシン双方のアイデンティティ基盤を同時に刷新するためのテコとして活用することだ。AI展開がアイデンティティガバナンスを追い越し、管理されていない認証情報が拡散する事態を避ける必要がある。

第2は、侵害が起こり得ることを前提に、インシデントをセキュリティプログラムの失敗とだけ捉えるのではなく、それぞれの事案から継続的に学習するサイクルを構築し、単に反応するだけでなく防御を改善することだ。第3は、測定可能な投資利益率（ROI）を示してセキュリティ投資の事業上の根拠を明確にし、セキュリティをコストセンターから、自らの拡充を正当化できる機能へと転換することである。

「Seize the Moment」という枠組みは、6月1～3日に米メリーランド州ナショナルハーバーで開催され、62人のGartnerアナリストと110を超える調査ベースのセッションが参加した北米版SRMサミットから引き継がれた。東京版では、日本の個人情報保護法、国境を越えるデータ主権上の義務、日本企業に多いオンプレミス基盤とレガシーシステムの組み合わせなど、日本およびアジア太平洋地域の事情に合わせて調査テーマを調整している。

■Agentic AIとマシンアイデンティティは「同じ構造変化の両面」

サミットの6つのトラックでは、Agentic AIとマシンアイデンティティを隣接する課題として扱っている。しかし、両者は同じ構造変化の2つの側面として捉える方が適切だ。

Gartnerが2026年2月に発表したサイバーセキュリティの主要トレンドに関する調査では、Agentic AIのガバナンスと、AIエージェントに対応したIAM（アイデンティティー／アクセス管理）を、同年を特徴付ける6つのトレンドのうち2つに挙げた。両者が不可分なのは、AIエージェントのアーキテクチャに理由がある。

AIエージェントは、人間の従業員と同じ方法ではログインしない。OIDCトークン、OAuthの認可、短期間だけ有効なAPI認証情報を使用し、1回のセッション中にそれらを複数回生成または更新する場合がある。ノーコードプラットフォームがAIワークフローを展開すると、そのワークフローの各ノードが独自のアイデンティティを生成する。エージェントがサブエージェントを起動すれば、サブエージェントも新たなアイデンティティを生成する。中規模企業のエージェント環境でも、対応するライフサイクル管理プロセスがないまま、週に数百件のマシン認証情報が新たに生成される可能性がある。

その結果として生じるセキュリティ上の問題は、主としてモデルの問題ではなく、権限の問題である。エージェントには効果的に機能させるため、CRMシステムへの読み書き、データベースへのクエリ、コードリポジトリ、クラウド基盤、コミュニケーションツールなどに対する広範なアクセス権限が与えられがちだ。

攻撃者が、エージェントの読む文書、メール、取得先のWebページなどに悪意ある指示を埋め込むと、エージェントは自らに認められたツールを使って、その指示に従う可能性がある。OWASP GenAI Security Projectの「2026 State of Agentic AI Security」レポートは、この攻撃を「Agent Goal Hijacking（ASI01）」と呼び、最大の脅威に位置付けた。

エージェントは正規の認証情報を使うため、標準的なアクセス制御では阻止できない。信頼できる検知手段となるのは、エージェントごとに通常のツール呼び出しパターンを把握し、そこからの逸脱を警告する行動モニタリングである。

東京サミットのトラックD「アプリケーションおよびデータセキュリティ」では、「How to Control Security Risk of AI Agents」と、対話形式の「Ask the Analyst: What CISOs Need to Know About AI Agent Security」という2つの専用セッションで、この問題を直接取り上げる。トラックFのCISO Circleワークショップ「AI Security Roadmap 2026 — What Security Leaders Must Do Now and What's Next」では、参加者同士で議論しながら、今後12～18カ月の具体的なガバナンスロードマップを作成する。

Gartnerが2026年の世界各地のSRMサミットで一貫して示している見解は、Agentic AIに必要なアイデンティティガバナンス基盤を構築しながら、AIを人間の分析担当者に代わる自律的な存在ではなく、その能力を補完するレイヤーとして導入すべきだというものだ。同社は、コストの増大、事業価値の不明確さ、不十分なリスク管理を主な理由として、Agentic AIプロジェクトの40％超が2027年末までに中止されると予測している。

■プロンプトインジェクションの仕組みと既存対策の限界

AIエージェントのガバナンスに関する東京のセッションを理解するうえでは、主要な攻撃手法であるプロンプトインジェクションの技術的な仕組みを正確に把握する必要がある。

プロンプトインジェクションは、大規模言語モデル（LLM）を利用したエージェントの構造的な性質を悪用する。モデルには、操作者が出した指示と、処理中の環境で遭遇したコンテンツを構文レベルで区別する仕組みがない。人間の開発者は、コマンドラインで与えられた命令と、読んでいるファイルの内容を区別できる。一方、攻撃者が環境内のコンテンツを命令のように見える形で作成した場合、LLMエージェントは両者を確実には区別できない。

攻撃者のペイロードには、ネットワークへのアクセス、認証情報の侵害、コード実行のいずれも必須ではない。エージェントが読むファイル、Webページ、APIレスポンスのいずれかに、敵対的な指示を含めるだけで成立する。

企業にとってのリスクは直接的だ。返信の送信権限を持つメール閲覧エージェントは、埋め込まれた指示によって受信トレイの内容を外部アドレスに転送させられる可能性がある。データ照会エージェントは、要求された特定のレコードではなく、テーブル全体を出力するよう誘導される場合がある。コーディングエージェントは、コードインタープリターツールを使って、攻撃者のアクセスを維持する仕組みを導入するよう指示され得る。

いずれの場合も、エージェントは自らに認められた正規の認証情報を使用するため、ネットワーク層のアクセス制御では検知されない。エージェントが通常のパターンから外れた操作をしていることを捉える行動モニタリングが、検知のための手段となる。

GartnerのトラックEのセッション「How to Manage Risk From IT Vendors With AI/Agentic AI Services」では、これと関連するものの異なるリスクを取り上げる。企業のAI環境を外部ベンダーのAIサービスやAgentic AIサービスと統合した際に、それぞれのサービスが独自の権限領域と行動特性を持ち込むことによって生じる第三者リスクである。

リスクの規模は数値でも示されている。IBMのデータ侵害コスト調査によると、管理されていないAI、いわゆるシャドーAIが高い水準で展開されている組織は、シャドーAIが少ない、または存在しない組織と比べて、侵害1件当たりのコストが平均67万ドル（約1億921万円、1ドル＝163円換算）多かった。

■展示会場の動向：アイデンティティ、データ主権、ポスト量子アーキテクチャ

グランドニッコー東京 台場では、サミットの調査トラックに直接対応するさまざまなセキュリティ分野から、60社を超えるソリューションプロバイダーが出展している。

CyberArkは初日、統合アイデンティティセキュリティをテーマにしたシアターセッションを開催した。人間の利用者によるアクセス、APIや自動化システムを含むマシンアイデンティティ、自律型AIエージェントという新たな種類のアイデンティティを横断的に扱う課題への対応として、「Discover, Control, and Govern（発見、制御、統治）」の枠組みを紹介した。

同セッションでは、リアルタイムのリスク検知レイヤーとしてITDR（Identity Threat Detection and Response）を取り上げた。3種類すべてのアイデンティティにおける過剰な権限の解消や、異常な行動を検知した場合に脅威の遮断を自動化する例などが示された。

KnowBe4は、技術面ではなく組織面から、これを補完する主張を展開した。AI環境が固定的なリスク管理の枠組みで扱える範囲を超えて複雑化するなか、考え得るすべてのAIの行動を列挙して制御しようとするのではなく、人間の従業員と、一緒に働くAIシステムとの信頼を育てる「Resilience Management（レジリエンス管理）」へ移行する必要があるとしている。

7月23日の予定には、午後1時15分から同1時45分まで開催される、タレス・ジャパンによるデータセキュリティポスチャ管理（DSPM）とデータ主権アーキテクチャのセッションが含まれている。タレス・ジャパンの船木泰裕シニアセールスエンジニアリングマネージャーが、暗号鍵をクラウド基盤から独立して管理することでデータ主権を実現する枠組みを紹介する。

その考え方は、鍵管理をクラウドプロバイダーから分離すれば、侵害や政府による強制的なデータアクセス要求が発生した場合でも、データを事実上読み取れない状態にできるというものだ。同セッションでは、耐量子計算機暗号（PQC）に対応可能なデータ主権アーキテクチャの実演も予定されており、出展企業によるセッションの中でも特に技術的な内容となる。

PQCが重視される背景には、Gartnerが今週紹介する調査結果がある。同社は量子コンピューティングの進歩により、多くの組織が現在依存しているRSAや楕円曲線暗号などの非対称暗号が、2030年までに安全ではなくなると予測している。

この問題は、アジア太平洋地域ではさらに緊急性を持つ。日本の情報通信研究機構（NICT）は、医療分野でスマートカードを使ったハイブリッド型の耐量子認証を検証する「SecureBridge」の試行を完了した。既存の古典暗号アルゴリズムとPQCを組み合わせるハイブリッド方式は、企業における主要な移行戦略となっている。大規模組織では、完全移行の前提となる暗号資産の包括的な棚卸しだけでも12～24カ月かかる可能性があるためだ。

EntrustとPonemon Instituteによる2026年の調査では、世界でPQCへの移行準備を積極的に進めている組織は38％にとどまった。アジア太平洋地域の主要な金融拠点であるシンガポールでは、暗号を解読できる実用的な量子コンピュータが5年以内に登場すると考える回答者が半数近くに上った一方、積極的に準備していると答えたサイバーセキュリティリーダーは3分の1未満だった。

■AIはSOC（セキュリティ運用センター）をどう変えるのか

東京サミットのトラックE「サイバーセキュリティ運用と対応」では、AIによる圧力のもとでSOCチームがどのように再編されつつあるかを直接取り上げる。

「Outlook for SOC: The Ultimate Cybersecurity Remix」セッションでは、サイロ化したSOCの時代が終わりつつある理由について、Gartnerの調査を紹介する。インシデント対応、脅威ハンティング、継続的なエクスポージャー管理は、もはや別々の時間軸で動く独立した機能ではなく、単一の同期された運用エコシステムに統合しなければならないという主張だ。

Gartnerは、この統合をCTEM（Continuous Threat Exposure Management、継続的脅威エクスポージャー管理）と呼ぶ。CTEMは、対象範囲の設定、発見、優先順位付け、検証、動員という5段階のサイクルで構成され、特定時点だけの脆弱性スキャンを継続的なプログラムへ置き換える。

SIEM（セキュリティ情報およびイベント管理）プラットフォームに関するGartnerの年次ベンダー評価を紹介する「SIEM Magic Quadrant」のセッションは、東京イベントの中でも商業面で特に大きな影響を持つものの一つだ。Gartner Magic Quadrantの結果は通常、公表後12カ月にわたり、企業のベンダー評価や購入判断に影響を与える。

2025年10月に公表された2025年版SIEM Magic Quadrantには、SecuronixやSplunkなどの既存ベンダーが含まれていた。東京のセッションでは2026年版が紹介される。

トラックCのCybersecurity Mesh Architecture（CSMA）に関するセッションでは、SOCの運用変革に対応するインフラ面の課題を扱う。CSMAは、オンプレミス、クラウド、エッジにまたがるハイブリッド環境全体にセキュリティ制御を分散するためのGartnerのアーキテクチャフレームワークである。

CSMAは、セキュリティ分析とインテリジェンス、分散型アイデンティティファブリック、統合されたポリシーおよびセキュリティ態勢管理、統一ダッシュボードという4つの統合レイヤーで構成される。複雑なハイブリッド環境や多くのレガシー基盤を運用する日本企業にとって、ゼロトラストへの移行は既存システムを全面的に撤去することを必ずしも意味しない。既存システムを首尾一貫したメッシュへ統合することが実務上の要点となる。

■経営層向け「CISO Circle」とガバナンスプログラム

メインカンファレンスと並行して実施される応募制の経営層向けトラック「CISO Circle」は、CISOと最高リスク責任者を対象としている。中心となるのは2つのワークショップだ。

1つ目の「AI Security Roadmap 2026 — What Security Leaders Must Do Now and What's Next」では、参加者同士の議論を通じ、直ちに取り組むべき優先事項と今後12～18カ月の計画を含む、具体的なAIセキュリティガバナンスのロードマップを作成する。2つ目の「Modernising for Organisational Resilience」では、持続的なレジリエンスを実現するため、CISOがセキュリティ組織や技術基盤をどのように再構築しているかを検討する。

CISO Circleの構成は、Gartnerが2026年の世界各地のSRMサミットで一貫して示している調査結果を反映している。特に迅速な対応を要するガバナンス上の課題は、主として技術的なものではなく、組織的なものだ。

AIエージェントの行動によって損害が生じた場合、誰が責任を負うのか。事業部門がセキュリティレビューを受けずに進めたAI導入に対して、CISOはどのような決定権を持つのか。セキュリティチームは、自ら開始したわけではないAI投資を統治するため、取締役会からの信頼をどのように獲得するのか。こうした問題は技術だけでは解決できず、ガバナンスの枠組みと経営層の足並みをそろえる必要がある。参加者同士で進めるCISO Circleのワークショップは、そのための成果を生み出すことを目的としている。

参加者は、Gartnerの東京アナリストチームとの非公開の30分間の個別面談を予約できる。このサービスは全日程参加の登録者だけが利用でき、多くの参加者からサミットで最も価値の高い機会と評価されている。一部のセッションは、ISACAなどの専門資格団体におけるCPE（継続専門教育）単位の対象にもなる。

■東京サミット後の展開

東京サミットは、Gartnerが2026年に世界で展開するSRMサミットの第2の開催地となる。ブラジルのサンパウロでは8月4～5日、ロンドンでは9月22～24日に開催され、同年のシリーズを締めくくる。

各地域版では、Agentic AIのガバナンス、アイデンティティの近代化、PQCへの準備というGartnerの中核的な調査テーマを、それぞれの市場の規制、インフラ、脅威環境に合わせて調整する。例えばロンドンのプログラムには、ディープフェイクを使ったなりすまし攻撃に加え、NIS2、DORA、EU AI Actへの対応を扱うセッションが掲載されている。

東京サミットに参加できなかったアジア太平洋地域のセキュリティリーダーにとって、最も実務に活用しやすい成果物は、Conference Navigatorプラットフォームを通じて配布されるGartnerの調査文書となる。SIEM Magic Quadrantや、イベントに合わせて発表される可能性のある最新のHype Cycle調査を含むこれらの文書は、2027年半ばまで、アジア太平洋地域の企業におけるベンダー候補の絞り込みや予算配分に影響を与えるとみられる。

サミットは7月24日まで開催される。

■注目ポイントQ&A

●Agentic AI（自律型AI）とは何ですか？なぜGartnerが2026年の主要なセキュリティリスクとして取り上げているのですか？

Agentic AIとは、周囲の環境を認識して意思決定し、メール、データベース、コード実行などのツールを使いながら、人間が一つ一つの操作を承認しなくても複数段階のタスクを完了するAIシステムです。テキストを生成するチャットボットとは異なり、Agentic AIは実際の認証情報を使い、現実の影響を伴う操作を実行します。

攻撃者が、エージェントの読む文書、Webページ、APIレスポンスなどに悪意ある指示を埋め込むと、エージェントは正規のツールを使ってその指示に従い、標準的なアクセス制御を回避する可能性があります。OWASP GenAI Security Projectが2026年に「Agent Goal Hijacking」として最大の脅威に位置付けたこの攻撃への対応を、Gartnerのアナリストは東京の参加者に対し、ガバナンスロードマップで優先するよう求めています。

●なぜAgentic AIがマシンアイデンティティの危機を引き起こすのですか？

AIエージェントは、APIキー、トークン、OAuthの認可、サービスアカウントなどのマシン認証情報を使って各システムに認証します。新しいエージェントや、エージェントが起動するサブエージェントごとに新たな認証情報が生まれ、作成、更新、失効、監査を含むライフサイクル管理が必要になります。

従来のIAMシステムは、ブラウザを介して認証する人間の利用者を想定しており、ソフトウェアが実行時に週数百件もの一時的な認証情報を生成する状況を前提としていません。Cloud Security Allianceによる2026年の分析では、16％を超える組織がAI関連アイデンティティの作成をまったく追跡していないことが分かりました。東京サミットのトラックDとトラックFでは、この新たな状況に合わせてアイデンティティガバナンス基盤を再構築するための枠組みをCISOに提示します。

●ポスト量子暗号（PQC）とは何ですか？なぜアジア太平洋地域の企業にとって今重要なのですか？

ポスト量子暗号（PQC）とは、十分な規模の量子コンピュータが登場した後も攻撃に耐えられるよう設計された暗号アルゴリズムです。量子コンピュータは、現在多くの企業基盤が依存しているRSAや楕円曲線暗号を破る可能性があります。Gartnerは、それらが2030年までに安全ではなくなると予測しています。

現在のリスクは、攻撃者が暗号化された企業データを今のうちに収集し、量子コンピュータを利用できるようになってから解読する「Harvest Now, Decrypt Later（今収集し、後で解読する）」です。金融記録、医療データ、知的財産など、10年以上にわたって秘密を保持する必要があるデータを持つ組織は、すでにリスクにさらされています。

日本のNICTは医療分野でハイブリッド型PQCの試行を完了しており、米国立標準技術研究所（NIST）も2024年に最初の3つのPQC標準を正式決定しました。このため、移行経路はすでに存在します。一方、多くの企業は、移行の前提となる暗号資産や暗号技術への依存関係の棚卸しをまだ実施していません。

●SIEMのGartner Magic Quadrantは企業のセキュリティ購入担当者にとってどのような意味を持ちますか？

SIEM（セキュリティ情報およびイベント管理）のMagic Quadrantは、SIEMベンダーを「実行能力」と「ビジョンの完全性」という2つの軸で評価するGartnerの年次調査です。実行能力には現在の製品機能、顧客サポート、市場での存在感などが含まれ、ビジョンの完全性には製品ロードマップ、市場理解、イノベーションなどが含まれます。

SIEMプラットフォームは、ネットワーク、エンドポイント、クラウド環境からセキュリティイベントデータを収集、正規化、分析し、脅威の検知、調査、コンプライアンス対応を支援します。東京サミットで最新版が紹介されると、セキュリティリーダーは現在のベンダーを市場全体と比較し、契約更新や入れ替えの判断を検証し、AIを統合した脅威検知・対応で特に進展したベンダーを確認するために利用します。SRMサミットで紹介されるMagic Quadrantの結果は通常、公表後12カ月にわたりベンダー評価に関する議論に影響を与えます。

元記事: Agentic AI and Machine Identity Lead Agenda as Gartner Tokyo Security Summit Opens