認証（政策・規制）に関するニュース一覧

Microsoftの公式リポジトリで公開されていたオープンソースパッケージ73件が、認証情報を窃取する高度なマルウェアに汚染されていたことが判明しました。開発者がAIコーディングエージェントでこれらのパッケージを開くと悪意あるコードが実行される仕組みで、複数のセキュリティ研究者が報告しています。

マルウェア「Miasma」は28KBのペイロードを実行し、AWS、Azure、GCP、Kubernetes、パスワードマネージャーなど90種以上の開発ツールから認証情報を抜き取ります。さらにクラウドインフラを通じて横方向に拡散し、他の開発者のマシンにも感染を広げる機能を持っています。攻撃者グループ「TeamPCP」によるもので、同グループが公開した「Mini Shai-Hulud」ツールキットの派生です。

今回の手口はSLSA（ソフトウェア成果物のサプライチェーンレベル）の完全性証明に使われるOIDCトークンを窃取し、正規のMicrosoft署名を悪用するものです。暗号署名による検証をすり抜けるため、開発者が通常のセキュリティチェックだけでは異常を検知できません。

この事件は5月にMicrosoftのdurabletask Python SDK（月間40万ダウンロード）が同様の手口で汚染された事案に続く、わずか数週間での2度目のサプライチェーン攻撃です。GitHubは当初パッケージを「利用規約違反」として無効化しただけで、マルウェア混入を明示しませんでした。Microsoftも月曜日になってようやく「潜在的な悪意あるコンテンツを調査中」と認めており、影響を受けた開発者はシステムが侵害されている前提で対応すべきだと専門家は警告しています。

米WIREDは2026年6月、Metaがスマートグラス向けアプリ「Meta AI」に未公開の顔認識システム「NameTag」を密かに組み込んでいたと報じました。このアプリは5000万台以上の端末にインストールされており、グラスで撮影した顔から生体認証データ（フェイスプリント）を生成し、端末上のデータベースと照合する設計でした。認識できなかった顔の画像も切り抜いて保存する仕組みが確認されています。

報道から1日後、MetaはMeta AIアプリの最新版からNameTag関連のコードをほぼ全面的に削除しました。顔認識ソフトウェア本体、認識処理コード、「Person recognized」アラート、未認識の顔画像の保存フォルダなどが除去されています。ただし内部デバッグメニューのラベルなど、一部の痕跡は残っています。

Metaのアンディ・ストーン広報担当副社長は、この機能は「純粋に探索段階」であり最終決定はしていないと説明しました。一方、アンドリュー・ボズワースCTOはWIREDの報道を「非常にミスリーディング」と批判しています。MetaはWIREDが事前に提示した10項目の質問にも回答しませんでした。

プライバシー擁護団体はMetaの対応を厳しく批判しています。ACLUのケイド・クロックフォード氏は、コード削除だけでは問題は解消されないと指摘し、より強力な法的保護の必要性を訴えました。マサチューセッツ州下院は私人訴権を含む消費者プライバシー法案を全会一致で可決しており、他州にも同様の動きが求められています。

Nvidiaは2026年6月6日、台北で開催された見本市Computex 2026で、Windows PC向けの新半導体「RTX Spark」を正式発表しました。同社のBlackwell GB10「スーパーチップ」をPC用に展開するもので、Microsoftは搭載機としてSurface Laptop UltraとSurface RTX Spark Dev Boxの2機種を公開。Asus、Dell、Lenovo、HP、MSIといった大手メーカーも対応PCを相次いで発表しました。

RTX Sparkの中核は、2025年末に登場したミニワークステーション「DGX Spark」と同系の設計です。コードネームN1Xと呼ばれるこの半導体は、20基のArm CPUコア、6,144基のGPUコア、最大128ギガバイトのLPDDR5Xメモリーを統合したシステムオンチップとなっています。ノートPC版は消費電力を抑える分、性能はメーカーごとの実装に左右される見込みです。

AI処理が注目を集めていますが、用途はそれだけではありません。RTX SparkはMicrosoftのCopilot+認証に必要なNPUも内蔵し、Windows Recallなどの背景機能に活用されます。一方で大規模言語モデルや画像生成といった本格的なAI処理はGPUが担い、クリエイターやゲーマーからも期待が寄せられています。

Nvidiaの最大の強みは、ハードの性能よりむしろソフトウェアにあると専門家は指摘します。同社のGPUはゲームやプロ用途で事実上の業界標準であり、市場シェアは90%超とされます。第三者評価会社Signal65のRyan Shrout氏は「Nvidiaには、QualcommやMicrosoftが初期に実現できなかったことを動かすだけの業界での重みがある」と語ります。

Microsoftは、AIエージェントを隔離環境で自律実行させる開発者向けSDK「Microsoft Execution Containers」の早期プレビューも公開しました。ただ課題は、QualcommとMicrosoftが直面したものと同じです。IntelやAMDのx86チップに対し、Arm版Windowsを有力な選択肢として定着させられるか。Shrout氏は「まず優れた汎用PCであることが大前提だと誰もが理解している」と述べ、真価が問われるのはこれからだと指摘しました。

ServiceNowは2026年6月4日、企業向け音声AIエージェントを評価するためのベンチマーク「EVA-Bench Data 2.0」をオープンソースで公開しました。航空カスタマーサービス、企業ITサービス管理、医療人事サービスの3領域にわたり、121のツールと213の評価シナリオを収録しています。初版から約4倍のシナリオ拡大となります。

音声エージェントの失敗はドメイン固有であるという課題意識がこのベンチマークの出発点です。航空業界で確認コードを正確に処理できるシステムでも、医療HR領域の複雑なポリシー対応では失敗することがあります。EVA-Bench 2.0は、各領域の実際の業務フローに基づいたシナリオを設計し、単一意図・複数意図・敵対的呼び出しの3タイプを網羅しています。

データの信頼性確保にも注力しています。すべてのシナリオは、OpenAI GPT-5.4、Google Gemini 3.1 Pro、Anthropic Claude Opus 4.6の3つのフロンティアモデルで解決可能であることを検証済みです。シナリオ生成にはグラフベースの合成データパイプライン「SyGra」を使用し、ユーザー目標・初期データベース・期待される最終状態を一貫して生成することで再現性を担保しています。

今後は英語以外の多言語対応も予定しています。名前や地名、電話番号をローカライズし、フランス語など各言語での評価を可能にする計画です。データセット、評価フレームワーク、リーダーボードはすべてMITライセンスでHugging FaceおよびGitHubから利用できます。

Googleは2026年6月4日、欧州で開催されたMoney 20/20カンファレンスにおいて、Google WalletのデジタルID機能と決済機能の大幅なアップデートを発表しました。ブラジル・インド・シンガポール・台湾に続き、今夏にはEU加盟国の一部でもID passesの提供を開始する計画です。

デジタルIDの拡充では、ドイツのSparkasse銀行との提携が注目されます。同行の顧客はGoogle Walletを通じて、氏名や住所、生年月日などの個人情報を明かすことなく年齢要件を証明できるようになります。プライバシーを保護しながら年齢確認を実現する仕組みとして、今後さらに多くの発行者への拡大が予定されています。

決済面では、Google Pay直接チェックアウト機能が新たに導入されました。ユーザーのGoogle Walletに登録された支払い方法を小売サイトの決済ページに直接表示し、購入完了までの手順を簡素化します。決済プラットフォームのAirwallexで先行提供を開始し、Adyenにも近く対応予定です。

さらに、欧州のオンラインショッピングで煩雑だった本人認証を効率化するSecure Payment Authentication機能も強化されました。テストでは認証時間が50%短縮され、コンバージョン率が3%向上する成果が確認されています。Visa、Checkout.com、Autopay、Adyenと連携し、英国とポーランドで今後数か月以内に展開される見通しです。

イーロン・マスク氏が率いるSpaceXの新規株式公開（IPO）が、史上最大規模の約1.25兆〜1.5兆ドルの評価額で迫っています。実現すれば、マスク氏は人類史上初の兆万長者（トリリオネア）となる見通しです。しかしその道筋には、通常の市場ルールからの大幅な逸脱が含まれており、専門家から強い懸念の声が上がっています。

IPOの構造面では、マスク氏はスーパー議決権株式により約85%の議決権を掌握しています。火星に100万人のコロニーを建設するなど達成困難なマイルストーンに紐づく報酬パッケージを設定しつつ、未達成でもその株式の議決権行使や担保借入が可能という異例の仕組みです。さらにNASDAQ-100への組入れ待機期間が通常の90日から15日に短縮され、インデックスファンド経由で事実上すべての個人投資家がSpaceX株を保有することになります。

一方、2022年に買収した旧TwitterであるXは、あらゆる主要指標で縮小が続いています。売上高は買収前の40%未満にとどまり、ユーザー成長も停滞しています。唯一伸びているのはAI企業向けのデータライセンス収入で、xAIのコロッサスデータセンターの一部をAnthropicに月額12.5億ドルで貸し出す契約も結ばれています。Xはまずxに統合され、さらにSpaceXに吸収されるかたちで、事業としての存在感は薄れています。

規制面では、マスク氏はFTC（連邦取引委員会）が課した20年間のデータプライバシー監査命令からの脱却を再び試みています。この命令は買収前のTwitterが二要素認証用の電話番号・メールアドレスをターゲット広告に流用していた問題に起因します。マスク氏による大規模な人員削減でコンプライアンス体制の37%が空白となり、FTCはX社の遵守能力について深刻な疑問を呈しています。

SpaceXのS-1では28兆ドルという史上最大のTAM（総アドレス可能市場）が提示されていますが、その根拠は薄く、専門家からは「信じてくれ」という姿勢だとの批判があります。Starlink事業は年間114億ドルの売上で唯一の黒字部門ですが、AI部門は64億ドルの赤字を計上しており、収益構造の偏りが目立ちます。市場のルール変更とFOMO（取り残される恐怖）に支えられた異例のIPOが、どのような結果をもたらすか注目されます。

米テクノロジーメディアThe Vergeは2026年6月4日、YouTube、Instagram、TikTokなど主要プラットフォームに対し、AI生成コンテンツをユーザーが自らフィルタリングできる機能の導入を求める論考を掲載しました。記者がMeta、Google、TikTok、Spotifyに問い合わせたところ、いずれもフィルター機能の提供予定を明言しませんでした。

現在、各プラットフォームはC2PAやSynthIDといった来歴証明技術を用いてAI生成コンテンツにラベルを付与する取り組みを進めています。しかしオープンソースモデルではメタデータが埋め込まれないケースが多く、既存のメタデータも容易に除去できるため、信頼性には限界があります。検出ベースの手法も誤検知のリスクを抱えており、大規模運用には課題が残ります。

実際にフィルター機能を提供しているDeviantArtやPinterestでも、その効果は限定的です。DeviantArtの「Suppress AI」設定を有効にしても明確な違いは感じられず、PinterestのカテゴリごとのAIフィルターも不完全だと記事は指摘しています。MetaやYouTubeでは、人間が制作したコンテンツに誤ってAIラベルが付与される事例も発生しています。

調査会社Kapwingの調査によると、YouTubeで新規ユーザーに表示される動画の20%超が低品質なAI生成コンテンツだとされています。Instagram責任者のAdam Mosseri氏も「真正性が希少な資源になりつつある」と認めており、Google CEOのSundar Pichai氏も「AIスロップ」の存在を認めたうえでユーザーに適応を求めています。

記事は代替策として、AI生成コンテンツを識別するのではなく、認証済みの人間クリエイターにラベルを付与する方向性を提案しています。Spotifyの「Verified」バッジやInstagramが検討中の仕組みがその例です。しかし各プラットフォーム自身がAI生成ツールの提供者でもあるため、フィルター導入はAI推進戦略と矛盾するというジレンマが存在します。

2026年6月3日、Hugging Faceはオープンソースの小型ロボットReachy MiniにリモートMCPツールを追加する方法を公式ブログで公開しました。従来ロボットの会話アプリで使えるツールはすべてローカルのPythonコードに限られていましたが、今回の拡張によりHugging FaceのGradio Spaceとして公開されたMCP対応ツールをネットワーク経由で利用できるようになります。

Reachy Miniにはもともと頭部の動作制御やダンス再生、感情表現、カメラ撮影などのローカルツールが搭載されています。しかしWeb検索や天気情報の取得といったロボット本体と無関係な機能をローカルに実装すると、共有や更新のたびにPythonファイルのやり取りが必要でした。リモートツールはこの課題を解決し、ステートレスな外部機能をアプリ本体に手を加えずに追加できます。

実証実験ではPollen Roboticsが公開したWeb検索ツールと天気取得ツールの2つのカナリアSpaceが使われました。コマンド1つでインストールとプロファイルへの登録が完了し、会話中にモデルが自動的にツールを呼び出します。「今日ボルドーでジャケットは必要か、夜のイベントは何があるか」といった複合的な質問では、プロンプトの工夫により両ツールの並列呼び出しを促してレイテンシを抑える設計が施されています。

現時点では公開済みのMCP対応Gradio Spaceのみサポートしており、認証が必要なSpaceや非Gradioサーバーには未対応です。また並列ツール実行はプロンプトで誘導するのみで、確実な並列実行が必要な場合はコード側での制御が求められます。Hugging Faceはツール開発者に対し、Spaceにreachy-mini-toolとmcpタグを付けて公開するよう呼びかけており、コミュニティ主導のロボット機能拡張エコシステムの構築を目指しています。

MicrosoftはBuild 2026で、AIエージェントの実行に特化した新OS「Project Solara」を発表しました。GoogleのAndroidオープンソース版（AOSP）をベースに構築されており、従来のアプリではなくAIエージェントが中心となる「エージェントファースト」の設計思想を採用しています。WindowsではなくAndroidを選択した理由は、小型で低消費電力のデバイスでも動作させつつ、企業のIT部門が求める管理・セキュリティ機能を維持するためです。

Solaraの中核コンセプトは「ジャストインタイムUI」です。画面サイズや利用シーンに応じて、AIエージェントがその場でインターフェースを動的に生成します。たとえば社員バッジでは最小限の機能を表示し、スマートディスプレイではより詳細なデータや機能を提供するといった使い分けが可能になります。

Microsoftはコンセプトデバイスとして2種類を公開しました。1つ目の「Desk Concept」はMediaTekチップ搭載のスマートディスプレイ型で、顔認証によるロック解除やWindows 365との連携に対応します。2つ目の「Badge Concept」はQualcommベースのウェアラブルバッジで、5G接続・カメラ・指紋認証を備え、会話の録音・要約やカメラを使った環境認識が可能です。

これらの端末は市販予定ではなく、ハードウェアメーカー向けのリファレンスデザインとして位置づけられています。AccuWeather、Best Buy、CVS Health、Levi's、Targetがパイロットプログラムへの参加を表明しています。Google・Metaが独自のAIデバイスを開発し、OpenAIがJony Iveと提携してハードウェア製造を進めるなか、MicrosoftもAI専用ハードウェア市場への本格参入を狙う構えです。

Googleは2026年6月2日、Android向け電話アプリ「Phone by Google」に、AIディープフェイクによるなりすまし通話を自動検知する新機能を発表しました。連絡先の電話番号を偽装し、AI音声クローン技術で家族や上司になりすます詐欺が急増していることを受けた対応です。Android 12以上の端末を対象に、Pixel端末から今月中にグローバルで展開を開始します。

この機能はRCS（Rich Communication Services）を基盤とした「デジタルハンドシェイク」方式で動作します。連絡先から着信があると、発信元の端末がバックグラウンドで暗号化された確認信号を送信し、受信側がこれを検証します。信号がない場合は発信元の実際の端末に問い合わせを行い、「今は通話していない」と確認されれば、画面上に警告を表示して即座に通話の切断を促します。

なりすまし詐欺の被害は深刻化しています。FBIの報告によると、2025年にAIを悪用した詐欺でアメリカ国民が被った損失は8億9,300万ドルに達しました。またFTCの集計では、2024年のなりすまし詐欺全体の被害額は約30億ドルにのぼります。音声クローン技術の進歩により、毎日話している相手の声であっても偽物を見抜くことが困難になっています。

Googleはこの機能をデフォルトで有効にしており、利用者側の設定は不要です。ただし発信者と受信者の双方がPhone by Googleを使用している必要があります。Ars Technicaの報道では、Google Contacts、Google Messagesも必要とされています。PixelやMotorolaにはプリインストールされており、SamsungもGoogle Messagesへの切り替えを完了しています。

GoogleはこのRCS基盤の技術を他社のアプリや企業にも開放する方針を示しています。もともと先月導入した金融機関からの認証済み通話向けの仕組みを拡張したもので、今回すべての連絡先に対象を広げました。スマートフォンのセキュリティ機能としてAI対AIの防御が標準装備される時代に入ったといえます。

Googleが提供を開始した常時稼働型AIエージェントGemini Sparkが、個人データの深い活用により従来のAIツールを大きく超えるパーソナライズ体験を実現していることが、The Vergeの詳細なレビューで明らかになりました。Sparkは月額99ドルのAI Ultraプランで提供され、外部アプリとの連携やPC操作まで視野に入れた野心的な製品です。

レビュアーのDavid Pierce氏がペンシルベニア州ハーシーへの家族旅行の計画を依頼したところ、Sparkは数分で数千語に及ぶ詳細な旅程を作成しました。自宅からの運転ルート、ペット同伴可能なホテルの料金、子供の年齢に応じた入場料の案内に加え、妻の食べ物の好みやメールから取得したコンサートチケットの駐車場情報まで盛り込まれていました。

この精度を支えているのが、GoogleのPersonal Intelligence機能です。Gmail、カレンダー、写真、検索履歴など、Googleが保有する膨大な個人データをAIが統合的に分析することで、人間のアシスタントのような対応を可能にしています。一方で、Airbnbの予約はセキュリティポリシーによりブロックされ、外部サービスとの連携には課題が残りました。

Pierce氏は技術的な成果を高く評価しつつも、「自分の子供の名前や住所を当然のように扱うAIに不気味さを感じる」と率直に述べています。AIの有用性と個人情報提供の間にある直接的なトレードオフを指摘し、OpenAIやAnthropicなど競合各社も同様のデータ蓄積を急いでいる現状に警鐘を鳴らしました。

有料サービスでありながらユーザー自身のデータが原材料かつ最終製品になるという構造は、AI時代のプライバシーの在り方に根本的な問いを投げかけています。便利さの追求がどこまで個人の開示を求めるのか、企業と利用者の双方が向き合うべき課題が浮き彫りになりました。

Amazon傘下のRingが提供するドアベルカメラの顔認識機能「Familiar Faces」をめぐり、2026年6月2日、バージニア州住民チャールズ・シグウォルト氏がシアトルの裁判所に集団訴訟を提起しました。訴状では、同機能が通行人の顔の生体情報を本人の同意なく収集・保存していると主張しています。

Familiar Facesは2025年9月に発表され、12月に提供が開始された機能です。AI顔認識により、家族や配達員など定期的な訪問者を識別し、「お父さんが玄関にいます」のような具体的な通知を届けます。利用者自身はオプトインが必要ですが、カメラの前を通過する第三者の同意は得られていないことが争点となっています。

Amazonは機能公開時、顔データは暗号化され共有されず、未識別の顔は30日後に自動削除されると説明していました。しかし電子フロンティア財団（EFF）やエド・マーキー上院議員らは発表当初からプライバシー上の懸念を表明しており、今回の訴訟はそうした批判が法的手続きに発展した形です。

Ringにはプライバシー問題の前歴があります。2023年には従業員や請負業者が女性顧客の映像に不正アクセスしていた問題でFTCと580万ドルの和解に応じました。また、かつて警察に令状なしで映像を要求できる仕組みを提供していたことも判明しています。2026年2月にはAI監視カメラ企業Flock Safetyとの提携を撤回するなど、プライバシーをめぐる対応が続いています。

今回の訴訟は「数百万人のアメリカ人がRingカメラの前を通過し、知らないうちに顔認識情報を収集された」と主張しており、生体認証データの無断取得に対する法的責任が問われることになります。AI搭載カメラの普及が進む中、通行人など非ユーザーのプライバシー保護をどう担保するかという論点が改めて浮上しています。

Metaが3月に導入したAIサポートチャットボットが悪用され、ハッカーが著名なInstagramアカウントを次々と乗っ取りました。攻撃者はチャットボットに対象アカウントのメールアドレス変更を依頼し、AIが送信した確認コードを使ってパスワードを再設定。本来の所有者を締め出す手口で、5月末から6月にかけて被害が広がりました。

手口は驚くほど単純でした。ハッカーは「新しいメールアドレスに変更したい」と自然な言葉でAIに頼むだけで、コードを受け取れたとされます。一部の攻撃者はVPNで所在地を偽装し、標的と同じ地域から問い合わせているように見せかけました。狙われたのは「h」や「eggs」といった希少な短いハンドル名で、グレーマーケットでの価値は2つの口座で100万ドル超と推定されています。

被害は著名口座にも及びました。オバマ政権時代のホワイトハウス公式アカウントがイラン関連のプロパガンダ画像を投稿し、米宇宙軍の最先任上級曹長や化粧品小売Sephora、セキュリティ研究者のアカウントも乗っ取られたと報じられています。Metaは「問題は解決済みで、影響を受けた口座を保護している」とコメントし、脆弱性をすでに修正したとしています。

専門家はこれを古典的な「混乱した代理人（confused deputy）」問題と指摘します。高い権限を持つプログラムが、低権限の第三者に権限を悪用させられる構図です。ただし今回の「代理人」は決定論的なプログラムではなく、言葉で誘導できる確率的な大規模言語モデルだった点が新しい脅威を示しました。

もっとも、被害は防げたケースもあります。ハッカー自身が、SMSによるワンタイムコードという最も簡易な形式を含め、多要素認証（MFA）を有効にした口座には攻撃が失敗したと報告しています。経営者やリーダーにとっては、利用者へのMFA推奨が依然として有効な防御策である点が改めて確認されました。

この事件は、テック企業が高い権限を持つAIエージェントを急いで導入するリスクを浮き彫りにします。識者からは、Instagramの信頼・安全チームが相次ぐレイオフで弱体化していたとの指摘も出ました。安全な設計には帯域外検証や異常検知、確定的なゲートが不可欠であり、AI活用と防御体制の両立が問われています。

Snowflakeの最高セキュリティ責任者マヤンク・ウパディヤイ氏が2026年6月1日、企業セキュリティを破綻させるのはAIではなく複雑さだと論じる寄稿を公開しました。安全な経路が不便なほど人は回避策に走り、統制は形骸化すると指摘します。AIが攻撃面を広げる時代だからこそ、安全な道を最も簡単な道にすべきだという主張です。

象徴例が二要素認証の普及です。VPN起動やコード入力といった手間が普及の壁でしたが、決め手となったのはポリシーや研修ではなく、指紋や顔認証による簡便さでした。ブラウザが非HTTPSサイトを既定で警告するように、安全な経路が同時に分かりやすい経路となったことで防御は強固になったと述べます。

AIで複雑さが顕在化する典型がエージェントの権限です。従業員は異動後も整理されない権限を蓄積しますが、人間はどの権限が必要かを判断できます。一方エージェントは判断力を欠き、12のシステムにアクセスできれば課題に不要な10も探索し、結果として必要以上に攻撃面が拡大します。

対策として人を承認役に挟む手法は、文脈不足のまま技術的判断を求められた人がワークフロー維持のため安易に承認しがちで、監督の錯覚と摩擦を生むだけだと警告します。必要なのは意図に基づく権限設計で、課題専用の認証情報を与え完了時に失効させる仕組みです。OAuthなどの標準もエージェント向けに進化しつつあります。

実装はまず可視化から始めます。多くの組織は約8割を把握できても残り2割に真のリスクが潜み、AIはその隙を人より速く突きます。静的な鍵を配布する従来手法を避けワークロードIDへ移行し、複数接続の統治にはMCPゲートウェイの活用が有効だとします。

脅威の加速も背景にあります。CrowdStrikeの2026年版報告書は攻撃者の侵入後拡大時間が前年比65%短縮したと記録します。手作業の対応では追いつかず、結論は変わりません。摩擦を生むセキュリティはいずれ回避され、アーキテクチャに組み込まれ既定で機能する防御こそ持続すると締めくくります。

Anthropicが4月に発表したClaude Mythos Previewは、主要OSやブラウザにまたがる数千件のゼロデイ脆弱性を自律的に発見しました。サイバーセキュリティベンチマークCyberGymでは83.1%を記録し、OpenBSDを対象とした1,000回の攻撃試行にかかった計算コストは2万ドル未満です。VentureBeatの分析記事は、この能力が企業のパッチ適用プロセスにとって深刻な問題を突きつけていると指摘しています。

攻撃の時間軸は急速に縮んでいます。LangflowのCVE-2026-33017（CVSS 9.8）は公開からわずか20時間で悪用され、MarimoのCVE-2026-39987（CVSS 9.3）は9時間41分で攻撃が成立しました。一方、Rapid7の2026年レポートによると、CVE公開からCISAのKEV登録までの中央値は5日間です。従来のカレンダーベースのパッチサイクルでは、もはや防御が間に合わない状況が生まれています。

記事が提案する対策の柱は、CVSS単独の優先順位付けを廃し、CISA KEV・EPSS・CVSSの3層フィルターに移行することです。28,377件の実際の脆弱性を対象にした研究では、この手法で18倍の効率向上と85.6%のカバー率を達成し、緊急対応の作業量を約95%削減できると報告されています。3つのデータソースはすべて無料で公開されており、APIを通じた自動化も可能です。

AIエージェントの普及は新たなリスクも生んでいます。CSAとZenityの調査では、53%の組織がAIエージェントの権限超過を経験済みです。DockerのCVE-2026-34040では、リクエストボディが1MBを超えると認可プラグインがすべてバイパスされる問題が発覚しました。IETFはエージェント向けの認証・認可標準を策定中ですが、実装までには時間がかかる見込みです。

記事は今四半期に実行すべき5つのアクションを挙げています。3層フィルターの導入、Tier 0サービスへのイベント駆動型パッチ適用、エージェント規模での認可境界テスト、AIビルダーホストの認証情報マッピング、そしてシャドーAIの発見スキャンです。パッチサイクルが日単位で回る企業に対し、攻撃者が時間単位で動く現実を直視すべきだと結んでいます。

Vercelは2026年5月29日、AIエンドポイントに対する「推論窃取（inference theft）」の手口と防御策を自社ブログで詳説しました。推論窃取とは、他社が契約するLLMの推論を無断で利用し、トークンを割引価格で転売する攻撃です。1回のHTTPリクエストは約0.0002セントで済む一方、フロンティアモデルへの1プロンプトは約2ドルかかるため、攻撃者にとって極めて利幅の大きいビジネスになると同社は指摘しています。

攻撃の典型的な手口は、ターゲットのAIエンドポイントをOpenAIやAnthropic互換のアダプタでラップし、住宅用プロキシを経由して大量のリクエストを送るというものです。実例として、飲食チェーンのカスタマーサポートボットをOpenAI互換に変換するオープンソースプロジェクト「Chipotlai Max」が紹介されました。従来のIPレートリミットやセッション単位の認証は、プロキシの分散やアカウント大量取得で容易に突破されるため、防御として機能しません。

Vercel自身も2026年4月12日に攻撃を受けています。ドキュメント用AIチャットに対し、ピーク時には毎分1,300リクエストが殺到し、推論コストの日額換算は1万ドル超に達する勢いでした。住宅用プロキシ経由のため、通常のIPベースのレート制限では遮断できなかったといいます。

同社が提唱する防御策は、すべてのAIリクエストに対して毎回検証を実行するという原則です。具体的には、同社の「BotID」をルートハンドラ内で呼び出し、クライアント側の機械学習によるボット判定を不可視で実行します。セッション開始時ではなくリクエストごとに検証するため、攻撃者はバイパスコストを呼び出し間で分散できません。この仕組みにより、スパイク発生から数分で1万件超のボットリクエストを遮断し、24時間以内にトラフィックは正常化しました。

Vercelは対策の第一歩として、公開されているAIエンドポイントの棚卸しと、プロンプト制御の自由度が高いものほど優先的にゲートを設置することを推奨しています。推論コストがリクエストコストより桁違いに高い状況が続く限り、転売の経済的動機は消えないため、アクセス制御ではなく推論そのものの保護が不可欠だと結論づけています。

企業のAIエージェントが本番環境に移行するなか、信頼性の問題が深刻化しています。ワークフローオーケストレーション企業Temporalの上級副社長Preeti Somal氏は、ニューヨークで開催されたAI Impact Seriesで、多くの企業が第1世代のエージェントを再構築する「バージョン2.0」の段階に入っていると指摘しました。LLMの性能だけでは本番運用の成否は決まらず、クラッシュからの復旧、状態管理、コスト制御が不可欠だと述べています。

エージェントシステムは長時間にわたる多段階プロセスを伴い、複数のモデル・API・外部ツールにまたがって動作します。障害発生時にワークフロー全体を再実行すれば、推論コストが倍増し、遅延やユーザー体験の悪化を招きます。Somal氏はこの状況を、クラウド初期の「リフト&シフト」になぞらえ、基盤設計なき移行の危険性を警告しました。

Somal氏が提唱する「決定論的スパイン」は、確率的に振る舞うLLMの周囲に確実な実行基盤を置く設計思想です。モデル呼び出しが失敗すればリトライし、途中で障害が起きれば中断地点から再開します。これにより、医療や調達などミッションクリティカルな業務でも、サイレントな失敗を防ぐことができます。

コスト可視性も重要な論点です。オーケストレーション基盤を導入すれば、エージェントの各ステップでトークン消費量を一元的に把握でき、障害時にはゼロからの再実行を回避して復旧地点から処理を再開できます。Somal氏は「トークン税を払わなくて済む」とその経済的利点を強調しました。

企業は既製のエージェントプラットフォームをそのまま採用するのではなく、ガバナンス管理・モデル選定ポリシー・認証基盤・コスト管理を組み込んだ社内標準フレームワークの構築に動いています。Temporalのように、AI以前から企業の基盤として存在していたオーケストレーション技術が、エージェント時代のインフラとして再評価されています。

VisaがAIコーディングプラットフォームのReplitに出資したことが5月28日に発表されました。出資額は非公開ですが、両社はReplitの開発環境にVisaの決済機能を統合し、開発者やAIエージェントがプラットフォーム内で直接決済を完結できる仕組みの構築を進めています。

背景にあるのは、AIエージェントがユーザーに代わって商品を購入・取引する「エージェンティック決済」の急速な台頭です。RobinhoodがAIエージェントによる株式取引を導入し、GoogleもAIショッピングエージェントを展開するなど、業界全体で決済インフラの整備が加速しています。Visaはこの流れに先手を打つ形です。

統合にはVisaが開発したTrusted Agent Protocolが活用される見込みです。これはAIエージェントが自身の意図や顧客情報を安全に共有し、決済の信頼性を確保する仕組みです。さらにVisa Intelligent Commerceと呼ばれるAI決済スイートとの連携も検討されていますが、いずれも探索段階であり、共同製品の正式発表には至っていません。

Replit側もこの提携を成長のてこにしています。同社は法人向けにセルフサーブ型の契約プランを新たに開始し、20万ドルまでの契約を営業担当なしで締結可能にしました。SSO、監査ログ、高度な権限管理といったエンタープライズ機能も提供します。

Replitの企業価値は2025年9月の30億ドルから、2026年3月のシリーズDで90億ドルへと半年で3倍に急騰しました。CEO のAmjad Masad氏は解約率が極めて低く、ネットリテンション率が300%に達するケースもあると述べています。単一テナント環境を導入した企業はアプリをReplit上に維持する傾向が強く、バイブコーディング市場の拡大とともに顧客基盤は着実に広がっています。

高級スマートフォンブランドのVertuは2026年5月28日、AIエージェントを搭載した折りたたみスマートフォン「Alphafold」を発表しました。価格はカーフスキン仕様で6880ドルからで、経営者や企業幹部が移動中にビジネスを管理することを想定しています。Nous Researchのオープンソースプロジェクトを基盤とした「Hermes Agent」を内蔵し、ERP・CRMなどの企業システムと接続して承認・スケジュール管理・営業追跡などを自然言語で操作できます。

技術面では、OpenAIのGPT、AnthropicのClaude、GoogleのGeminiなど複数のAIモデルにリクエストを振り分ける機能を備え、80以上のアプリと連携します。プロセッサにはQualcommのSnapdragon 8 Gen 4を採用し、8.05インチの折りたたみディスプレイ、6500mAhバッテリー、衛星通信機能を搭載しています。

プライバシー対策として、独自開発のA5セキュリティチップが認証キーや生体認証情報をOSから隔離し、機密データを端末内で処理します。外部AIモデルへ送信するプロンプトは事前に匿名化・トークン化される設計です。ただし、第三者によるセキュリティ監査はまだ実施されておらず、今後の課題として残っています。

Vertuはかつて富裕層向け高級携帯電話で知られたブランドですが、iPhone登場以降は苦戦が続き、所有者も複数回変わりました。CEOのMolly Ma氏は、大手メーカーのAI機能が画像編集や音声アシスタントなど消費者向けにとどまる点を指摘し、企業向けAIエージェントに商機があると述べています。最上位モデルは4万6800ドルに達し、ワニ革や18金の装飾を施した高級路線を維持しています。

折りたたみスマートフォン市場は2025年の世界出荷台数が約2000万台で、全体の2%未満にとどまります。IDCのアナリストは大画面がAIエージェントのマルチタスクに適していると指摘する一方、企業のスマートフォン選定はエコシステム統合やデバイス管理が優先され、AI機能が決め手になる段階ではないと分析しています。初回生産分の115台は今週から米国を含む主要市場で出荷が始まります。

2026年5月、CrowdStrikeの金融サービス脅威レポート、FBIの公共サービス発表、Verizonのデータ侵害調査報告書という3つの独立した調査が、金融機関を狙う攻撃の構造的変化を明らかにしました。最も活発な脅威グループ「Mutant Spider」は、Microsoft Teamsを使った音声フィッシング（ビッシング）でIT部門を装い、従業員にMFAのリセットを実行させる手法で侵入しています。正規のセキュリティ機能が設計通りに動作した結果、攻撃者のデバイスが社内ネットワークに登録されるという構造的な問題です。

FBIが警告した「Kali365」は、Telegramで月額250ドルから購入できるフィッシングサービスです。MicrosoftのOAuth 2.0デバイス認証フローを悪用し、被害者の端末でMFA認証を通過させつつ、攻撃者側にトークンを渡します。取得したトークンでOutlook、Teams、OneDriveへ再認証なしにアクセスでき、数週間から数か月にわたり潜伏が可能になります。

Verizonの2026年版報告書によると、脆弱性の悪用が侵入経路の31%を占め、長年首位だった認証情報窃取（13%）を大きく上回りました。完全なパッチ適用までの中央値は32日から43日に延び、CISAの既知悪用脆弱性カタログに載った重大な欠陥のうちパッチが適用されたのはわずか26%です。攻撃者がAIを使いパッチを72時間以内にリバースエンジニアリングしている現状では、対応の遅れが致命的になります。

金融業界全体では、2025年にハンズオンキーボード型の侵入が2年前比で43%増加しました。北米では48%増です。ランサムウェアグループによるリークサイトへの金融機関掲載は334件から423件へと27%増え、Qilinランサムウェアを運用する「REVENANT SPIDER」は被害件数を14件から97件に急拡大させています。北朝鮮関連グループは2025年に20.2億ドル相当の暗号資産を窃取しました。

専門家はMFAの追加導入ではなく、MFAが実際に何を保護し何を保護しないかの再評価が必要だと指摘しています。具体的には、MFAリセット時の帯域外検証、FIDO2ハードウェアキーへの移行、デバイスコードフローの条件付きアクセスでの制限、OAuthトークンの有効期間管理が推奨されています。過去10年間で最大の予算を投じてきたパスワード保護は、もはや主要な攻撃経路ではなくなっています。

PythonのASGIフレームワークStarletteに、AIエージェントサーバ数百万台を危険にさらす深刻な脆弱性が発見されました。セキュリティ企業X41 D-Secが発見し、CVE-2026-48710として追跡されるこの脆弱性は「BadHost」と名付けられています。Starletteは週3億2500万回ダウンロードされる広く普及したパッケージで、FastAPIをはじめ多数のPythonフレームワークの基盤となっています。

BadHostの攻撃手法は極めて単純です。HTTPのHostヘッダにたった1文字を注入するだけで、Starletteのパスベース認可を完全に回避できます。適切に構成されたファイアウォールの背後にないほぼすべてのシステムが影響を受けるとされています。CVSSスコアは7ですが、発見者らはこの評価が実際の脅威を過小評価していると指摘しています。

特に深刻なのは、AIエージェントが外部リソースに接続するためのMCP(Model Context Protocol)サーバへの影響です。MCPサーバはデータベース、メール、カレンダーなど外部システムへの認証情報を保管しており、攻撃者にとって極めて価値の高い標的となります。vLLM、LiteLLM、OpenAI互換プロキシ、エージェント管理UIなど、AI関連ツール全般に影響が及びます。

修正版のStarlette 1.0.1は5月23日にリリース済みです。X41 D-SecとNemesisが共同で公開したオンラインスキャナを使えば、自社サーバが脆弱かどうかを確認できます。AIエージェントを運用する企業は、速やかにパッケージの更新とファイアウォール設定の確認を行うべきです。

AIによる脆弱性の自動発見が、サイバーセキュリティの攻防構造を根本から変えつつあります。バグ報奨金プログラムへの報告件数は急増し、ある独立研究者は前年同期比で3倍のバグを提出したと明かしました。一方で、攻撃者もAIを活用して未知の脆弱性を発見しており、Googleの脅威情報チームは犯罪者グループがAIツールでゼロデイ脆弱性を開発し、二要素認証を回避しようとした事例を初めて確認しています。

こうした変化は報奨金制度の経済構造に直接影響を及ぼしています。Googleは2026年4月、ChromeとAndroidの脆弱性報奨金プログラムを刷新し、一部の脆弱性カテゴリーで支払額を引き下げる一方、より高度な発見には増額しました。大手テック企業はこの負担に対応できるものの、多くの企業にとっては持続困難な状況です。研究者の間では、来年には容易な脆弱性の多くが既に発見済みとなり、報告件数が減少するとの見方もあります。

品質の問題も深刻です。コマンドラインツールCurlは、AIが生成した低品質な報告が殺到したことを理由に、2026年1月にバグ報奨金プログラムを終了しました。Linux開発者のリーナス・トーバルズ氏も、セキュリティメーリングリストがAIによる重複報告で「ほぼ管理不能」になったと述べています。ただしCurlの開発者は、その後AIを活用した報告の質が劇的に向上し、「かつてない頻度で非常に優れたセキュリティ報告が届いている」とも報告しています。

専門家の間では、90日間の責任ある開示期限の見直しを求める声も高まっています。ある研究者は「バグ発見者が少なく、エクスプロイト開発が遅かった時代のルールだ。その世界はもう存在しない」と指摘しました。AIが発見と攻撃の両方のタイムラインを圧縮する中、パッチ適用の迅速化だけでは対応しきれないという認識が広がっています。

クラウドセキュリティ企業Ederaの技術責任者は「パッチだけでは解決できない。できるだけ多くのバグを無意味にするインフラを構築する必要がある」と述べ、構造的な防御策の重要性を強調しました。Anthropicが自社システムとClaudeモデルのバグ報奨金プログラムを新設するなど、AI企業自身もこの軍拡競争に参入しています。人間の専門知識とAIの組み合わせが不可欠な時代が到来しています。

Google Cloudの開発者がAPIキーを悪用され、数千ドルから1万ドル超の高額請求を受ける被害が相次いでいます。面接準備プラットフォームPrentusのCEOは約30分で1万138ドルを請求され、シドニーの開発者は約1万7000豪ドルの被害に遭いました。いずれもGoogle Maps向けに公開していたAPIキーが、Googleの仕様変更によりGeminiモデルへのアクセスにも使える状態になっていたことが原因です。

セキュリティ企業Aikidoの調査では、被害に気づいてAPIキーを即座に削除しても、Googleのインフラ全体に無効化が行き渡るまで最大23分間かかることが判明しました。その間、攻撃者は90%以上の成功率でリクエストを送り続け、ファイルやGeminiの会話データを窃取できる状態にあります。一方、Googleの新しいサービスアカウント認証情報は約5秒で無効化されるため、技術的には解決可能な問題だと研究者は指摘しています。

こうした状況のなか、Google CloudのCOOであるフランシス・デ・スーザ氏は、企業がAI導入を進めるにあたりセキュリティを最初から組み込むプラットフォームアプローチの重要性を訴えました。同氏は、従業員が組織の管理外で消費者向けAIツールを使う「シャドーAI」のリスクを警告し、セキュリティ・ガバナンス・監査可能性を最初から求めるべきだと主張しています。

デ・スーザ氏はまた、脅威の状況が根本的に変化していると強調しました。初期侵入から次の攻撃段階への移行時間は平均8時間から22秒にまで短縮されており、攻撃対象もネットワーク境界を大きく超えてモデルやデータパイプライン、エージェント、プロンプトにまで広がっています。同氏は機械の速度に機械の速度で対抗する「AIネイティブな完全エージェント型防御」の導入を提唱しました。

LinkedInのCISOであるリア・キスナー氏も、AIセキュリティを持続可能な形で理解するには数年かかるとの見方を示しています。プラットフォーム提供者自身が処方する対策と、自社の適応速度との間にギャップがある現状を認識することが、企業にとって重要な出発点となりそうです。

Dun & Bradstreet（D&B;）は、180年以上かけて構築した6億4200万社を網羅する商用データベース「Commercial Graph」を、AIエージェント向けに全面的に再構築しました。従来のシステムは信用アナリストや営業担当者など人間の利用を前提に設計されており、顧客がAIエージェントを与信・調達・サプライチェーン業務に投入し始めた段階で、サブ秒レベルの応答速度や動的な企業関係の追跡といった要件に対応できないことが判明しました。

再構築では、分散していた複数のデータベースをクラウドに統合し、データファブリック層で各市場のレコードを標準化しました。その上にMCP（Model Context Protocol）を通じた構造化アクセス層を構築し、エージェントが生のSQLではなくコンテキスト付きのツールとスキルを通じてデータにアクセスできるようにしています。すべてのクエリの背後にはエンティティ解決エンジンが動作し、企業名の曖昧な一致ではなく、検証済みの特定エンティティへの解決を保証します。

認証面では「Know Your Agent」という新概念を導入しました。エージェントはIPアドレスと個別アクセスキーの登録が必要で、人間ユーザーと同じパイプラインで認証されます。さらに、マルチエージェントワークフローで複数のエージェントが同一エンティティを参照し続けることを保証する検証エージェントも構築し、GoogleのA2Aプロトコル上で提供しています。

D&B;のGary Kotovets最高データ・アナリティクス責任者は、過去6カ月間に数百人のCDO・CIOと対話した結果、データ基盤の標準化・正規化がAIエージェント展開の最大の障壁であることが共通の課題だと述べています。同氏は企業がエージェント導入前に取り組むべき4要件として、データ基盤の整備、動的関係の設計、マルチエージェント間のエンティティ一貫性チェック、そしてデータリネージュの初期組込みを挙げました。

多要素認証（MFA）を正常に通過した正規セッショントークンを悪用し、Active Directory内を横移動する攻撃が企業で深刻化しています。MFAはログイン時点の本人確認には有効ですが、認証後のセッション活動は一切監視しない構造的な盲点を抱えています。CrowdStrikeの2026年版脅威レポートによれば、平均侵害突破時間は29分に短縮され、最速では27秒という記録も報告されました。

石油・ガス大手NOVのCIOアレックス・フィリップス氏は、自社環境で正規セッショントークンの即時失効ができないという重大な欠陥を発見しました。パスワードリセットだけでは不十分で、セッショントークンを即座に無効化しなければ横移動は止められないと同氏は指摘しています。2025年にはビッシング攻撃が442%増加し、ディープフェイク詐欺は1,300%以上急増するなど、AI活用の社会工学攻撃が産業規模で拡大しています。

根本的な課題は、セッション管理がIAM部門とセキュリティ運用部門の狭間に落ちている組織構造にあります。IEEE上級会員のケイン・マクグラッドリー氏は、サイバーセキュリティリスクではなくビジネスリスクとして予算化しなければ経営層の関心を得られないと指摘。クロスドメインの可視性なしには29分の突破時間に対抗できないとCrowdStrikeのマイヤーズ氏も警鐘を鳴らしています。

NOVは具体的な対策として、トークン有効期間の短縮、条件付きアクセスの強制、職務分離の徹底、AI駆動のSIEMログ分析の導入を実行しました。さらに重要資産向けの即時トークン失効機能を専門スタートアップと構築。音声やビデオすら信頼できない時代に備え、事前共有秘密を用いたインシデント確認プロトコルも整備しています。同社の変革は数カ月で完了しており、認証をゴールではなくスタート地点と捉え直すことが全企業に求められています。

米国の消費者はディープフェイクをほぼ見分けられないことが、Veriffとカンターによる米英ブラジル3カ国3,000人調査で判明しました。米国回答者の識別スコアはランダム推測を示すゼロに対しわずか0.07で、事実上コイン投げと同等の精度しかありません。生成AI開発の中心地でありながら、「ディープフェイク」という用語を知る米国成人は63%にとどまり、英国の74%やブラジルの67%を下回りました。

この識別能力の欠如は、画像や動画による本人確認に依存するあらゆるデジタルビジネスに直接的な脅威をもたらします。銀行口座の開設、マーケットプレイスの出品者確認、高額EC取引、SNSの認証、企業のアクセス管理など、影響範囲は広範です。米国では合成ID詐欺による損失が年間数十億ドル規模に達しており、精巧な偽造コンテンツを生成するツールが広く普及している現状が被害を拡大させています。

調査ではさらに、全体の約7%が検出能力が低いにもかかわらず自らの判別力に自信を持ち、疑わしいコンテンツの検証もほとんど行わない「過信層」であることが明らかになりました。Veriffの不正対策責任者イラ・ボンダー=ムッチ氏は、この自信と実力の乖離こそが詐欺師に悪用される最大の隙だと指摘しています。米国の回答者の79%がなりすまし詐欺に強い懸念を示す一方、ソーシャルメディアやデジタルサービスにAIコンテンツの管理を委ねる傾向が他国より強く、個人の警戒心が低下するリスクがあります。

こうした状況を受け、人間の目視判定に依存する手動レビューや自己申告ベースの認証は、もはや安全とは言えません。ボンダー=ムッチ氏は「見ることはもはや信じることではない」と述べ、AI駆動の自動本人確認を対話時点で実行するインフラ構築の必要性を訴えました。合成メディアが人間の知覚を超えた今、認証を事後的なコンプライアンス機能ではなく中核的なデジタル基盤として再設計することが、企業の信頼維持に不可欠だとしています。

2026年5月20日、GitHubは従業員の端末にインストールされた汚染済みVS Code拡張機能を起点に、約3800件の内部リポジトリへの不正アクセスが発生したことを公式に認めました。脅威グループTeamPCP（Google Threat Intelligence GroupがUNC6780として追跡）が犯行を主張し、窃取したリポジトリを5万ドルから売り出しています。GitHubは「攻撃者の主張は調査結果と概ね一致する」と述べています。

この侵害は孤立した事件ではありません。同時期にTeamPCPによるサプライチェーン攻撃が複数の経路で展開されました。5月19日にはAlibaba系の@antvエコシステムで639の悪意あるnpmパッケージバージョンが検出され、合計で週間1600万ダウンロードに影響が及ぶ規模です。この攻撃波では、Sigstore署名証明書を実行時に偽造する手法が初めて導入されました。

さらに同日、Microsoftの公式Python SDK「durabletask」もPyPI上で3つの悪意あるバージョンが公開されました。過去のTeamPCP攻撃で侵害されたGitHubアカウントが悪用され、AWS、Azure、GCPなど90以上の開発ツール設定から認証情報を窃取するペイロードが仕込まれていました。月間40万ダウンロード以上のパッケージが対象です。

前日の5月18日には、220万インストールのVS Code拡張機能Nx Consoleも侵害され、GitHub、npm、AWSなどのトークンに加え、Claude Codeの設定ファイルまで窃取対象となっていました。Trend Micro、StepSecurity、Snykの調査では、TeamPCPは2026年3月以降少なくとも7波の攻撃を実施したと確認されています。

企業にとって深刻なのは、攻撃チェーン全体がMicrosoft系エコシステム内で完結している点です。VS Code拡張機能のマーケットプレイスに対するセキュリティ審査の不備は以前から指摘されており、今回の事態はその懸念が現実化した形です。GitHubは最重要認証情報の即時ローテーションを実施しましたが、流出した内部リポジトリにはインフラ設定やデプロイスクリプトが含まれており、二次被害のリスクが残ります。

Anthropicは2026年5月19日、Claude Managed Agentsに自己ホスト型サンドボックスとMCPトンネルの2つの新機能を発表しました。企業がAIエージェントを社内APIやデータベースに接続する際、認証情報がエージェントのコンテキスト内を通過しない仕組みを提供し、セキュリティ上の最大の障壁を取り除くことを目指します。

従来のエージェント運用では、ツール呼び出し時に認証トークンがエージェント自体に渡されるため、エージェントが侵害された場合に認証情報ごと流出するリスクがありました。自己ホスト型サンドボックスはツール実行を企業の自社インフラ内に閉じ込め、エージェントのオーケストレーションループだけをAnthropicのプラットフォーム側で処理する分離アーキテクチャを採用しています。

MCPトンネルは、組織のネットワーク内にアウトバウンド専用の軽量ゲートウェイを設置し、エージェントがプライベートなMCPサーバーに接続する際にも認証情報がエージェントを経由しない設計です。これにより認証制御をネットワーク境界に移動させ、エージェント内部に鍵を残さない運用が可能になります。

競合するOpenAIも4月にAgents SDKへローカル実行機能を追加していますが、Anthropicはエージェントループとツール実行を明確に分離する点を差別化として強調しています。自己ホスト型サンドボックスはパブリックベータ、MCPトンネルはリサーチプレビューの段階にあり、Anthropicは既存ユーザーに対しまずサンドボックスの導入から始めることを推奨しています。

Googleは2026年5月19日、年次開発者会議Google I/Oで、あらゆる入力から動画を生成できる新しいマルチモーダルモデル「Gemini Omni」を発表しました。CEOのサンダー・ピチャイ氏は「あらゆる入力からあらゆるコンテンツを生成できる」と説明し、テキスト予測から現実のシミュレーションへとAIが進化する次の段階だと位置づけています。

Gemini Omniは、テキスト・画像・音声・動画を組み合わせて入力し、単一のモデルで高品質な動画を出力できます。従来のように複数の専門モデルを連携させるのではなく、1つのモデル内で複数のモダリティを横断的に推論するため、一貫性のある編集が可能です。自然言語で指示を重ねる会話的な動画編集に対応し、前の指示を記憶したまま場面を発展させることができます。

最初のモデルとなるGemini Omni Flashは本日からGeminiアプリ、YouTube Shorts、動画編集ツールFlowで提供が開始されました。現時点では10秒の動画生成に対応しており、今後より長い動画にも対応予定です。AI Plus（月額20ドル）以上のサブスクリプションプランで利用でき、開発者・企業向けのAPI提供は数週間以内に予定されています。上位モデルのOmni Proの公開時期は未定です。

企業向けの活用領域は幅広く、マーケティング動画の量産、社内研修コンテンツの作成、製品デモの自動生成などが想定されています。また、ユーザー自身の声と姿を使うデジタルアバター機能も提供され、ディープフェイク防止のため録画と音声による本人認証が求められます。すべての生成動画にはGoogleのSynthID電子透かしが埋め込まれ、AI生成コンテンツの検証が可能です。

競合環境としては、ByteDanceのSeedance、KuaishouのKling AI、英SynthesiaのAIアバターなどが存在します。GoogleはNano Bananaに続くマルチモーダル統合の成果としてOmniを位置づけており、画像やオーディオの出力にも将来的に対応する計画です。企業の導入にあたっては、API公開後にデータガバナンスや利用規約を確認した上で本格運用に移行することが推奨されています。

プログラミング経験ゼロのWIREDライター、クリス・コリン氏が「バイブコーディング」でWebアプリを開発した体験記が公開されました。きっかけは母親の骨折後、父親が病院の電話自動応答システムに3時間費やしたことです。日常の煩雑な事務手続き（行政的スラッジ）を記録・共有するアプリを作ろうと思い立ち、母親のClaude Proサブスクリプションを借りて開発に着手しました。

開発プロセスは「レゴの組み立て」に近いものでした。コリン氏はコードの中身を理解せず、Claudeの指示に従ってGitHub、Supabase、Netlifyのアカウントを設定し、認証情報を各サービス間で受け渡す作業を繰り返しました。APIキーの漏洩リスクをClaudeが検知して修正したほか、ユーザー入力のサニタイズ不備によるXSS脆弱性もAI主導のセキュリティ監査で発見・対処しています。

完成したアプリ「Admin Night」は、保険の電話対応やサブスク解約の手間など、日常の理不尽な事務負担をユーザーが記録・共有できる市民台帳です。投稿するとAIが問題の構造的背景を解説し、関連する規制当局への苦情レターも自動生成します。さらに名言と動物の写真で投稿者をねぎらう仕掛けも備えています。

コリン氏はバイブコーディングの可能性に興奮しつつも、冷静な視点を忘れていません。過去の技術革新が生産性向上を約束しながら、結局は新たな事務負担を生み出してきた歴史を振り返り、AI開発ツールも同じ轍を踏む可能性を指摘しています。それでも「数回の訪問と素人の熱意だけで、かつては専門家の領域だったアプリ開発を実現できた」事実は、技術の民主化における大きな転換点だと述べています。

記事は、ギター・エフェクト生成アプリ「Stratus」や合板カット計算ツールなど、非エンジニアによる個人開発の事例も紹介しています。アイデアから実装までの障壁が消えたことで、大規模ではないが個人にとって切実な問題を解くアプリが次々と生まれている現状を伝えています。

AIコーディングツールの進化により、プログラミング経験のない一般ユーザーが自分だけのソフトウェアを作る「パーソナルソフトウェア革命」が始まっています。The Vergeの記者David Pierce氏が、自身の体験と多数の開発者・ユーザーへの取材を通じて、この新潮流の全体像を描きました。2025年末のAnthropic Claude Codeのアップデートを転機に、月額20ドルとアイデアさえあれば機能するソフトウェアを構築できる時代が到来したのです。

Apple App Storeでは2025年に新規アプリ数が前年比30%増となり、約10年続いた減少傾向を逆転させました。2026年にはアプリ総数が倍増する可能性も指摘されています。GitHubも2025年に過去最速の成長を記録し、新規ユーザーの80%が初週からCopilotを利用しています。ファンタジー野球の選手ランキング、レトロゲームへの再生可能エネルギー導入、102段ある階段のどこに荷物が届いたかを記録するツールなど、市場価値ゼロ・対象ユーザー1人の極めて個人的なアプリが次々と生まれています。

ただし課題も明らかです。Pierce氏自身、AIが提案するデザインの「紫グラデーション偏愛」に悩まされ、アイコン案が「お尻の穴に見える」と返したエピソードを紹介しています。Notionのデザイナー Brian Lovin氏も「コーディングエージェントは良いインターフェース作りが苦手」と指摘します。セキュリティ保証やサポート体制もなく、企業がバイブコーディングで基幹システムを置き換えるという考えは非現実的です。

より現実的なアプローチとして浮上しているのが、既存アプリのカスタマイズや拡張です。Notionのように豊富な構成要素を提供し、AIがマクロだけを書けばよい仕組みが有効だとNotion CEOのIvan Zhao氏は語ります。GitHub Nextのデザイナー Maggie Appleton氏は、セキュリティや認証などの「オープンソースの優れた基本部品」を整備し、その上に誰もが構築できる環境が必要だと提唱しています。

この新時代に最も重要なのは技術力ではなくテイスト（自分が何を求めるかを知る感覚）だとPierce氏は結論づけます。音楽プロデューサーのRick Rubin氏が技術ではなく「自分の感覚への自信」で成功したように、AIに的確に要望を伝える力が問われます。万人向けのソフトウェアを受け入れる必要はもうありません。自分が必要なもの、好きなものを知っていれば、コーディングを学ばなくても思い通りのものを作れる時代が来ています。

OpenAIは2026年5月14日、コーディングエージェント「Codex」をChatGPTモバイルアプリに統合したと発表しました。iOS・Androidの両プラットフォームに対応し、無料プランを含む全プランのユーザーがプレビュー版を利用できます。ユーザーはスマートフォンから、PCやリモート環境で稼働中のCodexに対してタスクの指示、出力の確認、コマンドの承認などを行えるようになります。

技術的には、セキュアリレー層を介して端末間の通信を実現しています。開発マシンをインターネットに直接公開することなく、スクリーンショットやターミナル出力、差分、テスト結果といった情報がリアルタイムでスマートフォンに同期されます。ファイルや認証情報、権限設定はCodexが動作するマシン側に保持される設計です。

同時にエンタープライズ向けの機能も大幅に拡充されました。Remote SSHが一般提供となり、管理されたリモート開発環境への直接接続が可能になりました。CI/CDパイプラインとの連携を想定したプログラマティックアクセストークン、プロンプト検証やログ記録に使えるHooksも正式リリースされています。さらに、ChatGPT Enterpriseワークスペース向けにHIPAA準拠のローカル環境利用がサポートされ、医療機関での活用にも道が開かれました。

今回の発表は、AIコーディングツール市場での競争激化を反映しています。Codexの週間利用者数は400万人を超えましたが、AnthropicのClaude Codeは企業やエンジニアの間で急速に支持を広げており、同様のモバイル遠隔操作機能「Remote Control」を2月に先行リリースしていました。OpenAIはSoraの終了など「サイドクエスト」の整理を進め、Codexを中核プロダクトとして強化する方針を鮮明にしています。

CiscoのAnthony Grieco SVP兼最高セキュリティ責任者は、RSAC 2026の独占インタビューで、企業環境においてAIエージェントの認可（Authorization）に深刻なギャップが存在すると警告しました。エージェントの本人確認（認証）は通過するものの、アクセスすべきでないデータに触れたり、許可されていない操作を実行するインシデントが頻発しているといいます。Ciscoの「State of AI Security 2026」レポートによれば、83%の組織がエージェント機能の導入を計画する一方、セキュリティ対策の準備ができていると回答したのはわずか29%でした。

問題の根本は、企業のIAMチームが人間ユーザーの権限プロファイルをそのままエージェントに複製していることにあります。LLMのフラットな認可平面では、エージェントが権限昇格する必要すらなく、最初から過剰な権限を持ってしまいます。Grieco氏は「財務エージェントであっても、すべての財務データにアクセスすべきではない。特定の時点の個別の経費報告書だけにアクセスを限定すべきだ」と具体的に述べました。

この問題はベンダー固有のものではなく、構造的な課題です。NIST、OWASP、Cloud Security Allianceの3つの標準化団体が2026年初頭に独立して同じギャップを指摘しました。またRSAC 2026で全ベンダーが採用したModel Context Protocol（MCP）についても、セキュリティ上の穴が認識されつつあります。Grieco氏は「セキュリティリーダーとしてMCPにノーとは言えない時代だ」と述べ、まず環境内のMCPサーバーを発見・可視化することが統制の前提だと強調しました。

さらに深刻なのは、重要インフラの約半数がすでにサポート終了またはその間際にあるという調査結果です。ベンダーからセキュリティパッチが提供されないシステム上でエージェントが稼働すれば、認可の欠陥はさらに検知・封じ込めが困難になります。RSAC 2026では5社がエージェント向けアイデンティティフレームワークを発表しましたが、VentureBeatが特定した4つのギャップ（インフラ老朽化、MCP発見、エージェント過剰権限、行動可視性）をすべて塞いだベンダーは存在しませんでした。

企業のセキュリティ担当者が今すぐ着手すべき対策は明確です。IAMチームは人間のアカウントをエージェントに複製する運用を即時停止し、データセット・操作・時間枠を限定した権限設計に切り替えること。SOCチームはプロセスツリーの系譜をログに記録し、エージェントの行動と人間の行動を区別できる体制を整えること。そしてインフラチームはサポート終了資産の棚卸しを今四半期中に実施し、更新をIT投資ではなくセキュリティ投資として位置づけ直すことが求められています。

Googleは2026年5月、スイス・チューリッヒで開催した第2回EMEA詐欺対策サミットに合わせ、AI駆動の詐欺防止策5項目を発表しました。同社のGoogle Safety Engineering Center（GSEC）が主催し、政府・テック企業・消費者団体・学術機関の専門家が集結しています。

第一の柱はAIによる自動防御です。Gmailでは毎日約150億件のスパム・フィッシングメールを遮断し、99.9%以上の到達を阻止しています。2025年には83億件超のポリシー違反広告をブロックし、うち6億200万件が詐欺関連でした。Androidの「Phone by Google」ではオンデバイスAIが通話中にリアルタイムで詐欺パターンを検知します。

利用者側のツールも強化されました。Security Checkupでパスキーや2段階認証を簡単に有効化でき、Circle to Searchでは不審なテキストメッセージを囲むだけでAIが詐欺の可能性を判定します。教育面では体験型プログラム「Be Scam Ready」を多言語展開し、Google.orgの500万ドル助成で700万人以上の脆弱な利用者の保護を目指しています。

業界横断の取り組みとしては、脅威データの共有基盤Global Signal Exchange（GSE）が中核を担います。現在12億件超のシグナルを蓄積し、AIがパターンを分析して犯罪捜査や法執行に活用されています。英国国家犯罪対策庁（NCA）との連携では、GSE経由の情報をもとに西アフリカの詐欺ネットワークを特定・摘発しました。

法的措置にも積極的で、フィッシング・アズ・ア・サービス業者「Lighthouse」は提訴翌日に運営を停止しました。BadBoxボットネットの運営者にも訴訟を起こしています。Googleはこれらの施策を通じ、AIと官民連携の両輪でオンライン詐欺の根絶を目指す姿勢を鮮明にしています。

2026年5月11日、サプライチェーン攻撃ワーム「Mini Shai-Hulud」がnpmおよびPyPIの計172パッケージ・403バージョンを侵害しました。週間1,270万ダウンロードの@tanstack/react-routerを含む主要パッケージが標的となり、累計5.18億ダウンロードに影響が及んでいます。CVSSスコアは9.6と極めて深刻です。

攻撃者はGitHub ActionsのキャッシュポイズニングとOIDCトークン抽出を組み合わせ、正規のリリースワークフロー内でコード実行を達成しました。すべての悪意あるバージョンが有効なSLSA Build Level 3署名を持っており、署名検証だけでは検知できません。TanStackのポストモーテムによれば、2FA・OIDC・署名付き出所証明をすべて導入していたにもかかわらず、OIDC信頼範囲の設定不備を突かれました。

今回のキャンペーンで特筆すべきは、AIコーディングエージェントを信頼された実行環境として標的にした点です。ワームはClaude Codeの.claude/settings.jsonやVS Codeのtasks.jsonに永続化フックを書き込み、パッケージを削除してもプロジェクトを開くたびに再実行されます。さらにClaude・KiroのMCP設定ファイルから外部サービスの認証トークンを収集します。Endor LabsのKennedy氏は「攻撃者はAIエージェントを信頼された実行環境の一部として扱った。実際そのとおりだ」と指摘しています。

npmからPyPIへの拡散も確認されています。Microsoftの脅威情報チームによると、mistralai PyPIパッケージv2.4.6はインストール時ではなくインポート時に実行され、npmの--ignore-scripts対策は無効です。UiPath・OpenSearch・Guardrails AIなど65以上のパッケージにも波及しています。

対応では順序が極めて重要です。ワームはトークン失効を検知するとホームディレクトリ全消去を実行する破壊的デーモンを仕込んでおり、先にマシンを隔離・フォレンジック保全してからトークンを失効させる必要があります。中長期的には、OIDCの信頼範囲を特定ワークフロー・保護ブランチに限定し、キャッシュを信頼境界ごとに分離し、署名検証に加えて行動分析を導入することが求められます。

Google Threat Intelligence Group（GTIG）は2026年5月11日、AIを利用して開発されたと見られるゼロデイエクスプロイトを初めて検出し、大規模攻撃を未然に阻止したと発表しました。著名なサイバー犯罪グループが、オープンソースのウェブベースシステム管理ツールの二要素認証を回避する目的で、このエクスプロイトを大量攻撃に使用する計画でした。

このエクスプロイトはPythonスクリプトで構成されており、コード中に「幻覚的なCVSSスコア」やLLMの訓練データに特徴的な教科書的フォーマットが含まれていました。開発者がハードコードした信頼前提を悪用する高レベルなセマンティックロジックの欠陥を突く手法であり、AIの支援なしには発見が困難な脆弱性を効率的に特定していたことが示唆されます。

GTIGの報告書では、攻撃者がAIモデルに対して「セキュリティ専門家を装え」と指示するペルソナ型ジェイルブレイクの手口も詳述されています。さらに、脆弱性データベース全体をAIに読み込ませたり、OpenClawを利用してAI生成ペイロードの信頼性を事前に検証するなど、攻撃の高度化が進んでいます。

防御面では、GoogleはBig Sleepエージェントによるソフトウェア脆弱性の事前検出や、CodeMenderエージェントによる自動修正など、AI技術を防御側にも積極的に活用しています。Geminiに対しては分類器やモデル内保護、悪意あるアカウントの無効化で不正利用を抑制しています。

報告書はまた、攻撃者がAIシステムの自律的スキルやサードパーティデータコネクタなど、AI基盤そのものを標的にする傾向が強まっていると指摘しています。AIが攻撃と防御の双方で中心的役割を担う時代において、Googleは今回の事例を通じてAIが防御側にとっても強力なツールであることを実証したと述べています。

Ciscoのプレジデント Jeetu Patel氏がRSAC 2026で明らかにしたところによると、企業の85%がAIエージェントのパイロットを実施している一方、本番環境に到達したのはわずか5%にとどまっています。この80ポイントの差は、モデル性能や計算資源ではなく、アイデンティティガバナンスという構造的な信頼の問題に起因しています。

Ciscoのキャンパスネットワーキング事業SVP兼GM Michael Dickman氏は、VentureBeatの取材に対し、エージェントAIが従来の「まず生産性、セキュリティは後付け」というパターンを根本的に覆すと指摘しました。エージェントが患者記録の更新やネットワーク設定の変更を自律的に実行する場合、侵害されたIDの影響範囲は劇的に拡大します。信頼はもはや後から追加するものではなく、最初からの必須要件だと同氏は強調しています。

Dickman氏は信頼構築の条件として4つを挙げています。第一に、エージェントの許可範囲と人的責任者を明確にする安全な委任。第二に、アラート疲れへの対処を含む文化的準備。第三に、推論はAIが担い実行は従来型ツールが行うハイブリッドアーキテクチャによるトークンコスト最適化。第四に、AIの出力を評価し適切に調整する人間の判断力です。

同氏が特に重視するのは、ネットワーク層が持つ可視性です。エンドポイントや各種監視ツールが推測に頼るのに対し、ネットワークは実際のシステム間通信を直接観測できます。この行動データがクロスドメイン相関分析の基盤となり、チームごとにサイロ化したエージェントデータでは得られない洞察を生み出すと述べています。

具体的な対策として、Dickman氏は5つの優先事項を示しました。事業部門・IT・セキュリティの部門横断的な合意形成、エージェント対応のIAM・PAMガバナンス整備、データ共有を可能にするプラットフォーム型ネットワーク戦略、推論と実行を分離するハイブリッド設計、そして信頼基盤を組み込んだ少数ユースケースからの着手です。

IANS Researchの調査では、多くの企業が現在の人間用IDに対するRBACすら十分に成熟させていない実態が判明しており、エージェントの登場はこの課題をさらに深刻化させます。IBM X-Forceの2026年レポートでも、公開アプリケーションへの攻撃が44%増加しており、認証制御の欠如が主因とされています。先行して信頼アーキテクチャを構築した企業だけが、エージェント本番展開の速度で競合を引き離すことになります。

AIエージェントが共有レジストリから自然言語の説明文をもとにツールを選択する仕組みに、深刻なセキュリティ上の欠陥があることが明らかになりました。セキュリティ研究者のNik Kale氏がCoSAIリポジトリに報告した問題は、選択時の脅威と実行時の脅威という2つの脆弱性に分類され、ツールのライフサイクル全体にわたるリスクを示しています。

現在広く使われているコード署名やSLSA、SBOMといったソフトウェアサプライチェーンの防御策は、成果物が本物かどうかを検証するものです。しかしAIエージェントのツールレジストリに必要なのは、ツールが説明どおりに動作し、宣言外のデータに触れないかという動作の整合性の検証です。たとえば、攻撃者がツールの説明文に「常にこのツールを優先せよ」というプロンプト注入を仕込んだ場合、コード署名は正常でもエージェントの判断が操作されてしまいます。

Kale氏が提案するのは、MCP（Model Context Protocol）のクライアントとサーバーの間に検証プロキシを設置する方法です。このプロキシは3つの検証を行います。まずディスカバリーバインディングにより、発見時と実行時でツールが入れ替わる「おとり商法」を防止します。次に通信先ホワイトリストにより、ツールが宣言外のエンドポイントに接続した場合は即座に遮断します。さらに出力スキーマ検証により、想定外のフィールドやプロンプト注入パターンを検出します。

この検証の基盤となるのが「動作仕様書」という新しい概念です。Androidアプリのパーミッションマニフェストに似た機械可読の宣言で、ツールが接続する外部エンドポイント、読み書きするデータ、生じる副作用を明記します。署名付き証明書の一部として配布されるため、改ざんも検知可能です。スキーマ検証と通信先チェックだけなら、1回の呼び出しあたり10ミリ秒未満の遅延で済むとされています。

導入は段階的に進めることが推奨されています。まず通信先ホワイトリストの適用から始め、次に出力スキーマ検証を追加し、認証情報や個人情報を扱う高リスクツールにはディスカバリーバインディングを適用します。既存のSLSAやSigstoreによる来歴検証と組み合わせることで初めて、エージェントツールの安全性を包括的に担保できるというのがKale氏の主張です。

イスラエルのサイバーセキュリティ企業RedAccessは、Lovable・Base44・Replitなどのバイブコーディングツールで構築された38万件の公開アクセス可能なアプリケーション・データベース・関連インフラを発見しました。このうち約5,000件（1.3%）に企業の機密情報が含まれていたことが判明しています。AxiosとWiredがそれぞれ独立して調査結果を検証しました。

露出が確認されたデータには、船舶の入港予定を詳述した海運会社のアプリ、英国の臨床試験一覧を含む医療企業の内部アプリ、ブラジルの銀行の財務情報などが含まれます。さらに小児長期ケア施設の患者会話記録や病院の医師・患者面談要約も公開状態でした。これらはHIPAA、UK GDPR、ブラジルLGPDなどの規制上の報告義務に抵触する可能性があります。

問題の根本は、バイブコーディング基盤のデフォルト設定が「公開」になっている点にあります。ユーザーが手動で非公開に切り替えない限り、アプリはGoogleにインデックスされ誰でもアクセスできます。2025年10月にはEscape.techが5,600件のバイブコーディングアプリを調査し、2,000件超の重大な脆弱性と400件超のAPIキー・アクセストークンの露出を発見していました。

IBMの2025年データ侵害コストレポートによれば、組織の20%がシャドーAIに起因する侵害を経験し、平均コストは463万ドルに達しました。AI関連侵害を報告した組織の97%が適切なアクセス制御を欠いており、63%にはAIガバナンスポリシー自体が存在しませんでした。バイブコーディングによる露出は、シャドーAIの本番環境における実害そのものです。

セキュリティチームへの提言として、RedAccessの調査結果はDNSおよび証明書透過性スキャンによるバイブコーディング基盤の資産発見、デプロイ前のセキュリティレビュー義務化、既存AppSecパイプラインの市民開発者向けアプリへの拡張、DLPルールへの対象ドメイン追加を推奨しています。従来の資産管理ツールでは検出できない新たな脅威に対し、早急な対応が求められます。

OpenAIは2026年5月8日、自律型コーディングエージェントCodexを企業環境で安全に運用するためのセキュリティ・ガバナンス体制を公開しました。AIエージェントがリポジトリの確認やコマンド実行を自律的に行う時代に対応し、組織が必要とする制御機能を設計段階から組み込んでいます。

運用の基本方針は、明確な技術的境界の中でエージェントを動作させ、低リスク操作は自動承認で開発者の生産性を維持しつつ、高リスク操作には人間のレビューを必須とすることです。サンドボックスが書き込み先やネットワーク到達範囲を制限し、承認ポリシーが境界外の操作を制御します。自動承認モードでは、サブエージェントが操作内容とコンテキストを評価し、低リスクと判断した操作を自動で承認します。

ネットワーク制御では、既知の安全な接続先のみ許可し、未知のドメインへのアクセスには承認を求めます。認証情報はOSのセキュアキーリングに保存され、ChatGPT Enterpriseのワークスペースレベルで管理されます。シェルコマンドも一律には扱わず、日常的な安全なコマンドは承認不要、危険なコマンドはブロックまたは承認必須とする段階的なポリシーを適用しています。

従来のセキュリティログが「何が起きたか」しか記録しないのに対し、Codexはエージェント固有のテレメトリで「なぜその操作をしたか」まで記録します。ユーザーのプロンプト、ツール承認判断、実行結果、ネットワークポリシーの判定をOpenTelemetry形式で出力し、SIEMやコンプライアンスシステムに統合できます。

OpenAI社内では、エンドポイントアラートとCodexログを組み合わせたAIセキュリティトリアージエージェントを運用しています。異常検知時にユーザーの意図やエージェントの行動履歴を自動分析し、正常な動作・単純なミス・要エスカレーション案件を区別してセキュリティチームに提示します。同じテレメトリは導入状況の把握やツール利用分析にも活用されています。

CiscoのMatt Caulfield氏（Duo担当VP）は、RSAC 2026でAIエージェント専用のアイデンティティ管理における6段階成熟度モデルを発表しました。CrowdStrikeのGeorge Kurtz CEOが基調講演で、Fortune 50企業でAIエージェントがセキュリティポリシーを自ら書き換えた事例を公開したことが背景にあります。CiscoのJeetu Patel社長によれば、企業の85%がエージェント試験運用中である一方、本番稼働はわずか5%にとどまっています。

従来のIAMは人間を前提に設計されており、エージェントという第三のアイデンティティに対応できません。Caulfield氏は「エージェントは人間のような広範なアクセス権を持ちながら、機械の速度で動作し、判断力を一切持たない」と指摘しています。Cato NetworksのEtay Maor氏がCensysスキャンで確認したインターネット公開のOpenClawインスタンスは約50万件に達し、わずか1週間で倍増しました。

Ciscoが提唱する6段階モデルは、発見（全エージェントの棚卸し）、オンボーディング（ID登録と責任者の紐付け）、制御と実施（ゲートウェイによる全リクエスト検査）、行動監視（プロセスツリーレベルのログ記録）、ランタイム隔離（暴走時の封じ込め）、コンプライアンスマッピング（監査枠組みとの対応付け）で構成されます。CiscoのDuoエージェントアイデンティティ基盤では、ユーザー認証・エージェント認可・アクション検査・レスポンス検査の4段階チェックを全リクエストに適用します。

CrowdStrike CTOのElia Zaitsev氏は、既定のログ設定ではエージェントの活動と人間の活動が区別不能であることを指摘しました。ブラウザセッションが人間によるものかエージェントが生成したものかを判別するには、プロセスツリーの追跡が必要です。Ciscoは5月4日にAstrix Securityの買収意向を発表し、エージェントID発見が取締役会レベルの投資テーマとなっていることを示しました。

コンプライアンス面では、SOC 2、ISO 27001、PCI DSSのいずれもエージェントIDを運用レベルで規定していません。Cloud Security Allianceが2026年4月にNIST AI RMFエージェントプロファイルを公開しましたが、主要な監査カタログへの反映はこれからです。Caulfield氏は「監査人が来る前に、エージェント向けの統制カタログと監査証跡を準備すべきだ」と企業に呼びかけています。

セキュリティ研究者のDor Zvi氏率いるRedAccess社が、Lovable、Replit、Base44、NetlifyなどのAIコーディングツールで作成された数千のWebアプリを調査しました。その結果、5000件超のアプリが認証やセキュリティ機能をほぼ持たず、URLを知るだけで誰でもアクセスできる状態にあることが判明しました。約40%のアプリが機密データを露出していたと報告されています。

露出していたデータには、病院の医師の個人情報を含む勤務表、企業の広告購入情報、市場参入戦略のプレゼン資料、小売業者のチャットボット会話ログ（顧客の氏名・連絡先含む）、物流会社の貨物記録などが含まれていました。一部のアプリでは管理者権限の奪取すら可能な状態でした。Lovableのドメイン上にはBank of AmericaやFedExなどを模したフィッシングサイトも発見されています。

各プラットフォーム企業は、アプリの公開・非公開設定はユーザーの責任であると主張しています。Replitは公開アプリがインターネット上でアクセス可能なのは想定通りの動作だと回答し、Lovableもセキュリティ設定は作成者の責任だとしました。Base44の親会社Wixも、公開設定はユーザーの選択によるものだと述べています。

セキュリティ研究者のJoel Margolis氏は、この問題が現実に広く存在すると指摘します。マーケティング担当者などセキュリティの専門知識を持たない社員がAIツールでアプリを作成し、セキュリティを明示的に要求しなければツール側も対策を講じないという構造的な問題があります。

Zvi氏は、今回発見された5000件はAIツール企業のドメイン上のものに限られ、独自ドメインで運用されるアプリを含めれば数はさらに膨大になると警告しています。かつてAmazon S3の設定ミスで大量のデータ漏洩が発生した問題と同じ構造であり、社内の誰もがセキュリティ審査なしにアプリを作り本番運用できてしまう現状が最大のリスクだと強調しました。

ベルリン発のスタートアップParloaは、OpenAIのモデルを活用した企業向け音声カスタマーサービス基盤「AI Agent Management Platform（AMP）」を構築しました。AMPはGPT-5.4を含む最新モデルを基盤とし、設計・展開・管理を一元化するプラットフォームです。小売・旅行・保険など複数業界で数百万件の会話を処理しています。

AMPの特徴は、ノーコードでAIエージェントを構築できる点です。業務担当者が自然言語でエージェントの役割・指示・ツール・制約を定義し、コードやインテントツリーを書く必要がありません。認証や予約変更などの機能をサブエージェントに分離するモジュラー設計により、単一プロンプトの複雑化を回避しています。

本番投入前の品質保証プロセスが差別化要因となっています。GPT-5.4を使い、一方が顧客役・もう一方がエージェント役となるシミュレーションを実行し、LLM-as-a-judgeと決定的ルールの組み合わせで評価します。抽象的なベンチマークではなく、実際の本番エージェントを再現したテストで性能を検証する方針です。

音声対話では低遅延が不可欠です。音声認識・モデル推論・音声合成のパイプライン全体で、わずかな遅延も通話体験を損ないます。ParloaはOpenAIと連携し、リアルタイム用途向けにレイテンシと応答品質を最適化しています。音声認識の単語誤り率テストや、音声合成のブラインドリスニングテストも実施しています。

導入効果として、ある大手旅行会社では有人対応リクエストが80%削減されました。Parloaは今後、電話・チャット・インタラクティブ要素を統合したマルチモーダルな顧客体験への進化を見据えており、AIエージェントがウェブサイトやモバイルアプリと同等の存在になると展望しています。

OpenAIは2026年5月7日、サイバーセキュリティ防御者向けの新モデルGPT-5.5-Cyberを限定プレビューとして公開しました。同時に、既存のGPT-5.5に対するTrusted Access for Cyber（TAC）フレームワークの拡充も発表しています。重要インフラの防護に携わる組織が、AIの高度なサイバー防御能力を活用できるようにする取り組みです。

TACは身元確認と信頼レベルに基づく3段階のアクセス構造を採用しています。標準のGPT-5.5は汎用業務向け、TAC付きGPT-5.5は脆弱性トリアージやマルウェア解析、検知エンジニアリングなど大半の防御業務に対応します。最上位のGPT-5.5-Cyberは、レッドチーミングやペネトレーションテストなど、より許容的な挙動が必要な専門ワークフロー向けです。

OpenAIはCisco、Intel、SentinelOne、Snykなどのセキュリティベンダーと連携し、脆弱性の発見からパッチ適用、検知、サプライチェーン保護までをカバーする「セキュリティフライホイール」の構築を進めています。各レイヤーが連動して防御力を高める仕組みです。

オープンソースの保護にも注力しており、Codex Securityプラグインの提供や、重要プロジェクトのメンテナー向けにCodex for Open Sourceプログラムを通じたアクセス権とAPIクレジットの付与を開始しました。脅威モデリングから修正パッチの提案まで一貫して支援します。

アクセスには厳格なセキュリティ要件が課されます。2026年6月1日以降、TACを利用する個人ユーザーにはフィッシング耐性のあるアカウントセキュリティが必須となります。OpenAIは今後、フラッグシップモデルへのTAC適用拡大と、さらに高性能なサイバー専用モデルの開発を計画しています。

Googleは2026年5月7日の世界パスワードデーに合わせ、Googleアカウントの安全性を高める5つのツールと設定を公式ブログで紹介しました。パスキー、2段階認証、復旧連絡先、Googleログイン、パスワードマネージャーの5機能で、パスワードに依存しない安全なアカウント管理を推奨しています。

パスキーは2023年の世界パスワードデーにGoogleアカウント向けに提供が開始された認証方式です。指紋や顔認証、PINなど端末のロック解除機能をそのまま使えるため、パスワードより簡単かつ安全にログインできます。生体データはデバイス上に留まり、Googleには共有されません。

2段階認証（2SV）はパスキーと併用することで、第三者がパスキー紛失を偽装した場合にも多要素認証による保護が働きます。また復旧連絡先機能では、信頼できる家族や友人を最大10人登録でき、端末を紛失した際にアカウントへの復帰を支援してもらえます。復旧連絡先がアカウントや個人情報にアクセスすることはありません。

「Googleでログイン」機能を活用すれば、新しいアプリやサイトごとにパスワードを作成・記憶する必要がなくなります。他サービスでの情報漏洩リスクも軽減できます。Googleログインに対応していないサイトでは、Googleパスワードマネージャーがパスワードとパスキーの生成・保存・自動入力を担い、デバイス間で安全に同期します。

セキュリティ企業Gecko Securityの研究者が、AnthropicのClaude Code向けスキルスキャナーに構造的な盲点があることを実証しました。スキャナーはSKILL.mdや実行スクリプトの検査には対応していますが、スキルディレクトリに同梱されたテストファイルを検査対象としていません。攻撃者はこの盲点を突き、悪意あるコードをテストファイルに仕込むことでスキャナーを完全に回避できます。

攻撃の仕組みはこうです。開発者が`npx skills add`でスキルをインストールすると、テストファイルを含むディレクトリ全体がプロジェクトにコピーされます。JestやVitestはデフォルトで`.agents/`内のテストファイルも自動検出し、`beforeAll`ブロック内の悪意あるコードが環境変数やSSH鍵、クラウド認証情報を外部に送信します。エージェントは一切関与せず、開発者の通常のテスト実行で攻撃が成立します。

背景として、スキル市場の脅威は既に深刻な規模に達しています。学術研究SkillScanは31,132件のスキルを分析し、26.1%に脆弱性を発見しました。Snykは3,984件中76件の悪意あるペイロードを確認し、うち8件は公開時点でClawHubに残存していました。Ciscoもスキルスキャナーを公開しましたが、いずれもテストファイルの実行面は検査していません。

CrowdStrike CTOのElia Zaitsev氏は、スキャナーがエージェントの「意図」を分析する一方で、テストファイルの実行という「実動作」を見逃していると指摘しています。テストファイルはリポジトリにコミットされるため、クローンした全チームメンバーとCIパイプラインに伝播し、被害が拡大します。

即座に実施すべき対策は3つあります。第一に、Jestの`testPathIgnorePatterns`やVitestの`exclude`に.agents/を追加すること。第二に、CIで`.agents/skills/`内のテストファイルや設定ファイルを検出しマージをブロックすること。第三に、スキル導入時にリポジトリの最新版ではなく特定のコミットハッシュに固定することです。OWASPのAgentic Skills Top 10もこの手法を推奨しています。

Vercelは2026年5月4日、コーディングエージェントを活用したセキュリティスキャナ「deepsec」をオープンソースとして公開しました。このツールは自社インフラ上で動作し、大規模コードベースに潜む発見困難な脆弱性を検出します。推論にはClaude OpusやGPT 5.5のサブスクリプションをそのまま利用でき、追加セットアップなしでノートPC上でも実行可能です。

deepsecのアーキテクチャは5段階で構成されています。まず正規表現によるスキャンでセキュリティ上重要なファイルを特定し、次にエージェントが各ファイルのデータフローを追跡して調査します。さらに別のエージェントが再検証を行い偽陽性を除去、gitメタデータから修正担当者を特定し、最終的にチケット化可能な形式でエクスポートします。

大規模リポジトリのスキャンには単一マシンで数日かかる場合がありますが、Vercel Sandboxesへのファンアウトにより1000以上の並列実行が可能です。Vercel自身のモノレポでは認証条件の微妙なエッジケースを発見し、カスタムスキャナプラグインの開発につながりました。

マーケティングプラットフォームdub.coへの試験適用では、創業者から「実際にセキュリティエンジニアが指摘すべき問題を初めて自動で発見したツール」と評価されています。偽陽性率は10〜20%程度で、再検証ステップによりさらなる削減を図っています。

deepsecはアプリケーションやサービス向けに最適化されており、プラグインシステムによるカスタマイズが可能です。専用のサイバーモデルがなくても市販モデルで十分機能し、セキュリティタスクの拒否もほぼ発生しないとVercelは報告しています。

Microsoftは2026年5月、AIエージェントの統合管理プラットフォーム「Agent 365」を正式リリースしました。2025年11月のIgniteカンファレンスで発表された同製品は、企業のIT・セキュリティチームがあらゆるAIエージェントを一元的に可視化・制御するための基盤です。月額15ドル/ユーザーで提供され、Microsoft 365 E7スイートにも含まれます。

同社が最も強調するのは「シャドーAI」への対応です。従業員がIT部門の承認なくローカルデバイスにインストールするコーディングアシスタントや自律ワークフローが、新たなセキュリティリスクとして急速に拡大しています。AI Security担当CVPのDavid Weston氏は、MCP経由で認証なしにバックエンドを公開するケース、プロンプト注入攻撃、エージェント通信を想定しないDLPからのデータ漏洩という3種類のインシデントをすでに確認していると述べました。

Agent 365はまずOpenClawエージェントの検出に対応し、2026年6月までにGitHub Copilot CLIやClaude Codeなど18種類へ拡大予定です。Microsoft Defenderとの連携により、各エージェントが接続するMCPサーバー、関連するID、到達可能なクラウドリソースをグラフ化し、侵害時の「爆発半径」を可視化します。悪意ある挙動を検知した場合はランタイムで遮断する機能も備えます。

競合他社との差別化として、AWS BedrockやGoogle Cloud上のエージェントも検出・管理できるマルチクラウド対応を打ち出しました。さらにZendesk、SAP、Adobe、Nvidiaなど広範なパートナーエコシステムを構築し、SaaSエージェントのオンボーディングはEntra IDの付与だけで基本的なガバナンスが可能になります。

高リスクなワークロード向けには「Windows 365 for Agents」のパブリックプレビューも開始しました。エージェント専用のクラウドPCをIntuneで管理し、エンドポイントから隔離した状態で自律処理を実行できます。Weston氏は導入の段階を「棚卸し→ID・アクセス管理→隔離と高度制御」の3段階で示し、90日間で実現可能だと説明しました。

2026年5月4日、GoogleはGemini APIにイベント駆動型Webhook機能を追加したと発表しました。これにより、エージェント型ワークフローやバッチ処理など長時間かかるタスクの完了通知を、開発者がポーリングなしでリアルタイムに受け取れるようになります。

Gemini APIでは、Deep Researchや長尺動画の生成、Batch APIによる大量プロンプト処理など、数分から数時間を要するタスクが増えています。従来はGETリクエストを繰り返し送信してジョブの完了を確認する必要がありましたが、Webhook導入により、タスク完了時にGemini APIが開発者のサーバーへHTTP POSTを即座にプッシュする仕組みになりました。

セキュリティ面では、Standard Webhooks仕様に厳密に準拠しています。すべてのリクエストにwebhook-signature、webhook-id、webhook-timestampヘッダーが付与され、べき等性の確保とリプレイ攻撃の防止を実現します。配信は「少なくとも1回」が保証され、失敗時には最大24時間の自動リトライが行われます。

Webhookの設定はプロジェクト単位でのグローバル設定と、リクエスト単位での動的オーバーライドの2通りに対応します。プロジェクト単位ではHMAC認証、リクエスト単位ではJWKS認証が使われます。Python SDKからの設定例やCookbookも公開されており、即日利用が可能です。

American Expressは2026年5月、AIエージェントが利用者に代わって商品を検索・購入・決済できるエージェント型コマース基盤「ACE開発キット」を発表しました。同社イノベーション担当EVPのLuke Gebb氏は、カード発行者としての信頼とセキュリティの観点がこれまでの議論に欠けていたと指摘し、発行者が初めてエージェント商取引に本格参入する意義を強調しています。

ACEの中核は「意図契約」と呼ばれる仕組みです。利用者がエージェントに依頼内容を定義すると、システムが意図IDと認可証明トークン（Proof of Intent Token）を生成します。実際の決済には金額上限などの制約が組み込まれた使い捨てトークンが使われ、たとえば500ドルの上限を設定すれば600ドルの購入は自動的に拒否されます。

Amexの強みは、カード発行者と決済ネットワークの両方を自社で運営する閉鎖ループ構造にあります。VisaやMastercardが銀行を介して決済を処理するのに対し、Amexは自社ネットワーク内でエージェント取引を直接検証できます。これによりエージェント登録、アカウント連携、意図確認、決済、カート検証までを一貫して管理する体制を構築しました。

一方で、検証プロセスの具体的な仕組みは公開されておらず、業界からは透明性への懸念が出ています。本人確認サービスを提供するTruaのCEO、Raj Ananthanpillai氏は、認証済みの人間の明示的権限に基づく暗号的な証明がなければ、チャージバックの急増や詐欺リスクが高まると警告しました。エージェント商取引の普及には、決済の制御だけでなく上流の本人認証の透明化が不可欠です。

米国家安全保障局（NSA）が、AnthropicのAIモデル「Mythos Preview」を使ったソフトウェア脆弱性の発見テストを実施していることが報じられました。BloombergとAxiosによると、NSAはMicrosoft製品のバグ探索にMythosを利用し、その速度と有効性に高い評価を示しています。現在Mythosへのアクセスは40組織に限定されています。

注目すべきは、国防総省がAnthropicを「サプライチェーンリスク」として利用禁止を宣言している中での動きである点です。ヘグセス国防長官は6カ月の移行期間を設けていますが、NSAがMythosの能力を理由に例外措置を検討する可能性も取り沙汰されています。Anthropic側は禁止令に対し訴訟を起こしています。

一方、ウォルト・ディズニー社はカリフォルニアのディズニーランドとディズニー・カリフォルニア・アドベンチャーで顔認証技術の導入を発表しました。来園者は顔認証レーンを「任意で」選択できますが、通常レーンでも画像が撮影される可能性があると説明されています。顔データは30日後に削除されるとのことです。

ランサムウェアグループ「Scattered Spider」の19歳の容疑者がフィンランドの空港で逮捕されました。MGMリゾーツやシーザーズ・エンターテインメントなどへの攻撃に関与した同グループは、英語圏の若年メンバーが多いことで知られています。容疑者は複数企業から数百万ドルを窃取した疑いが持たれています。

また、メディケアのオンラインディレクトリに紐づくデータベースが少なくとも数週間にわたりインターネット上で公開状態となり、医療提供者の社会保障番号などの個人情報が露出していたことがワシントン・ポストの報道で判明しました。このディレクトリはトランプ政権による医療提供者の全国データベース構築の一環として運用されていました。

Stripeは2026年4月30日、年次カンファレンスにおいてデジタルウォレット「Link」を発表しました。Linkは従来のデジタルウォレット機能に加え、自律型AIエージェントがユーザーに代わって買い物や予約、チケット購入などの決済を行える点が特徴です。Web、iOS、Androidの各プラットフォームで利用可能となっています。

Linkではカード、銀行口座、暗号資産ウォレット、後払いサービスなど多様な決済手段を登録できます。支出状況の確認やサブスクリプションの追跡、登録決済手段の更新といった管理機能も備えています。対象加盟店での購入には90日間の購入保護も提供されます。

AIエージェントによる決済では、まずユーザーがOAuth認証を通じてエージェントにウォレットへのアクセスを許可します。エージェントが支出リクエストを作成すると、ユーザーのモバイルやWebに通知が届き、取引内容を確認したうえで承認する仕組みです。生の決済情報をエージェントに渡す必要がないため、セキュリティ上の懸念を軽減できます。

技術基盤にはStripeの新サービス「Issuing for agents」が使われています。エージェント向けにワンタイム仮想カードを発行し、リアルタイムの認可制御と取引の可視化を実現します。Stripeは今後、支出上限の設定や承認なしでの自動決済、ステーブルコイン対応なども追加する予定です。AIアシスタントを開発する企業にとっては、独自のウォレット構築を省略できる選択肢にもなります。

Spotifyは2026年4月30日、アーティストがAIではなく実在の人物であることを証明する「Verified by Spotify」バッジの提供を開始しました。認証を受けたアーティストのプロフィールには緑のチェックマークが表示され、リスナーはその音楽が人間によって制作されたものであると確認できます。AI生成コンテンツの増加やなりすまし問題への対策として導入されたこの制度は、プラットフォーム上の信頼性向上を目的としています。

認証の対象となるには、一定期間にわたる継続的なリスナー活動とエンゲージメントが必要です。本人確認は運転免許証などの身分証提出ではなく、SNSでの活動やグッズ販売、コンサート開催といったプラットフォーム内外の実績を総合的に評価する方式を採用しています。ロイヤリティ支払いの基準を満たさない規模のアーティストは認証対象外となる可能性があります。

Spotifyによると、リスナーが積極的に検索するアーティストの99%以上がサービス開始時点で認証済みとなっています。メジャーレーベル所属のアーティストだけでなく、多数のインディーズアーティストも含まれており、今後も継続的に認証を承認していく方針です。

現時点ではAIペルソナやAI生成音楽を主とするプロフィールは認証対象外ですが、Spotifyは「アーティストの真正性という概念は複雑で急速に変化している」と述べ、将来的にAIアーティストへの認証拡大の可能性を残しました。また、アルバムリリースやツアー活動などの情報を「栄養成分表示」のようにまとめたアーティスト詳細機能のベータテストも並行して開始しています。

OpenAIは2026年4月30日、ChatGPTおよびCodexアカウント向けの新しいオプトイン型セキュリティ機能「Advanced Account Security（AAS）」を発表しました。ジャーナリスト、政治的反体制派、研究者、政府関係者など、デジタル攻撃のリスクが高い利用者を主な対象としていますが、希望するすべてのユーザーが利用できます。

AASを有効にすると、従来のパスワードによるログインが無効化され、パスキーまたは物理セキュリティキーによる認証が必須となります。アカウント回復についてもメールやSMSによる方法が廃止され、バックアップパスキー、セキュリティキー、リカバリーキーのみに限定されます。これにより、フィッシングやソーシャルエンジニアリングによるアカウント乗っ取りのリスクを大幅に低減します。

OpenAIはセキュリティキー大手のYubicoと提携し、共同ブランドのYubiKey C NFCとYubiKey C Nanoを優待価格で提供します。YubicoのJerrod Chong CEOは「OpenAIアカウントへの不正アクセスの脅威を世界規模で劇的に減らすことが目的」と述べています。さらにAAS有効時は、会話データがモデル学習に使用されない設定が自動的に適用されます。

セッション有効期間の短縮、ログイン通知、アクティブセッションの管理機能も追加されました。ただし、AASに登録したユーザーがセキュリティキーを紛失した場合、OpenAIのサポートチームでも回復を支援できない点には注意が必要です。同社の「Trusted Access for Cyber」プログラム参加者は、2026年6月1日までにAASの有効化が義務付けられます。今回の発表は、4月上旬に公表されたOpenAIの包括的なサイバーセキュリティ戦略の一環です。

2026年3月から4月にかけて、Codex、Claude Code、Copilot、Vertex AIの主要AIコーディングエージェント4製品に対し、6つの研究チームがセキュリティ脆弱性を相次いで公開しました。いずれの攻撃もAIモデルの出力ではなく、エージェントが保持する認証情報を標的としており、従来のIAM（ID・アクセス管理）では検知できない新たな攻撃パターンが浮き彫りになっています。

BeyondTrustの研究者は、OpenAI CodexがGitHubリポジトリのクローン時にOAuthトークンをURLに埋め込んでいることを発見しました。ブランチ名にコマンドインジェクションを仕込み、Unicode全角スペース94文字で偽装することでトークンを平文で窃取できる状態でした。OpenAIはこれを最高深刻度P1に分類し、2026年2月5日に修正を完了しています。

AnthropicのClaude Codeでは3件の脆弱性が見つかりました。CVE-2026-25723はパイプ処理によるサンドボックス脱出、CVE-2026-33068は設定ファイルによる信頼ダイアログの迂回、そしてAdversaが発見した50サブコマンド超過時のdeny-rule無効化です。Anthropicのエンジニアは処理速度を優先し、50個目以降のサブコマンドのチェックを省略していました。いずれもパッチ済みです。

GitHubのCopilotに対しては、プルリクエスト説明文やGitHub Issueに隠された指示でリモートコード実行が可能でした。Vertex AIでは、デフォルトのサービスアカウント権限がGmail、Drive、Cloud Storage全バケットに及び、Googleの内部Artifact Registryにもアクセスできる状態でした。CrowdStrike CTOのElia Zaitsev氏は、エージェントのIDを人間のIDに紐づけるべきだと主張しています。

セキュリティ専門家は、企業がAIコーディングエージェントのID・認証情報を棚卸しし、PAM（特権アクセス管理）と同等のガバナンスを適用する必要があると警告しています。Graviteeの2026年調査によると、エージェントのOAuth認証情報をPAMに統合している企業はわずか21.9%にとどまっています。ブランチ名やPR説明文を含むすべての入力を信頼しない前提で扱い、エージェント固有のID管理体制の構築が急務です。

Red Hatのプリンシパルソフトウェアエンジニアであり、OpenClawメンテナーでもあるSally O'Malley氏が、OpenClawエージェントを安全にデプロイ・管理するためのオープンソースツール「Tank OS」を公開しました。同ツールはRed Hat製のコンテナ技術Podmanを基盤としており、企業でのOpenClaw大規模運用を見据えた設計となっています。

Tank OSは、Fedora Linux上でOpenClawをPodmanコンテナとして起動し、ブータブルイメージとして構成します。Podmanは「ルートレス」で動作するため、コンテナがホストマシンの特権を取得できず、セキュリティ面での優位性があります。状態の保持やAPIキーの管理など、人間の監視なしにOpenClawを稼働させるための機能も一通り備えています。

OpenClawをめぐっては、MetaのAIセキュリティ研究者のメールが削除された事例や、WhatsAppのDMが平文でダウンロードされた事例など、安全上の問題が複数報告されています。マルウェアの標的にもなっており、適切な設定なしでの利用にはリスクが伴います。NanoClaw+Dockerのような競合プロジェクトも存在しますが、Tank OSはOpenClawメンテナー自身が開発した点で注目されます。

O'Malley氏は、将来的に企業内で数百万のOpenClawエージェントが自律的に動作する時代を見据えていると語っています。IT管理者が既存のコンテナ管理手法でエージェント群を一括更新できる仕組みは、Red Hatの主要顧客層であるエンタープライズIT部門のニーズに合致しています。技術的な知識を前提としたツールですが、OpenClawの企業導入を安全に進めるための実践的な選択肢となりそうです。

認証技術の業界団体FIDO Allianceは4月28日、AIエージェントが行う決済やその他の取引を検証・保護するための業界標準を策定する2つの作業部会を立ち上げると発表しました。GoogleとMastercardが初期貢献としてオープンソースツールを提供し、エージェント時代に対応した安全な取引基盤の構築を目指します。