17,800件のAIアドオンが、誰も検証していない出所から指示を受けている。エンドポイントはあなたのものも遮断できる
By Surya Pratap
2026年9月7日
11分で読めます
AIとテクノロジー
2026年9月7日
11分で読めます
サプライチェーンと、新しい関門Hover to exploreたいていの週、エージェントのニュースは能力の話だ。今週は関門の話だった。
9月1日、二つのことが数時間差で発表された。CrowdStrikeはFalcon Guardianを公開した。マシン上で動いているAIエージェントを——誰も登録していないものも含めて——すべて棚卸しし、誰も承認していないエージェントを遮断する。そしてAIR Securityが5,000万ドルでステルスを抜け、エージェントが動く前にそのコンテキストへ入るものを検査するインラインのファイアウォールを構築すると発表した。
別々に読めば、二つの製品発表だ。並べて読むと、同じ一文を両端から述べている。エージェントは、誰も把握しきれない速さで企業に入り込んでおり、その対応は方針から強制へと移った。
二つの発表、2026年9月1日
片方はエージェントを見て止めるため、もう片方は何を読み込むかを確かめるため
誰が買っているかに注目したい。AIRによれば、すでに20社超がプラットフォームを利用しており、うち約4分の1が大企業、需要が最も強いのは金融サービスと製薬だという。この二つは、歴史的に、その他すべての調達が18か月後にどうなるかを決めてきた業界だ。
資金調達でもない。遮断でもない。これだ。
シャドーAIエージェント。既知とシャドー、WindowsとmacOSで。
「シャドーAIエージェント」は、いまやセキュリティ製品の中の名前のついたカテゴリであり、ライブの棚卸しが紐づき、その隣に遮断ボタンがある。
この言い回しには来歴がある。業界は10年にわたり、ボトムアップのSaaS導入を「シャドーIT」と呼んできた。そしてそのボトムアップのSaaS導入は、同じ10年のあいだ、ソフトウェア創業者が持ちうる最も確実な流通戦略だった。CIOに売るのではない。そのものを必要とした人が入れてくれて、調達部門が気づくころには、400席と社内の推進者ができている。
私の知るエージェントのスタートアップは、いまどこもこの定石の変奏を回している。エンジニアがあなたのCLIを入れる。チームがあなたのMCPサーバーをつなぐ。誰もチケットを起票しない。
居心地の悪い対称性
まさにそうしたインストールの一覧を作り、それぞれを展開した人物の名前を挙げ、承認されていないものを止めることを明示的な仕事とする製品が、いま存在する。あなたの流通戦略と、その検知ロジックは、同じ出来事を記述している。だからといってあなたが、それが想定した脅威だという意味ではない。ただ、初日の棚卸しはそれを知らないし、それを読むセキュリティ担当者も知らない。
AIRの数字を、悪意ある者が有害なスキルを公開している話として読むのは簡単だ。一部はそのとおりで、レビューをすり抜けるためにAnthropicやOpenAIの装いをまとった偽アドオンは、素直に攻撃である。
だが17,800件の大半は悪意ではない。実行時に別の場所から指示を取ってくるアドオンだ——URL、リポジトリ、ホストされた設定。パッケージを再公開せずに更新を届ける方法として、まったく理にかなっている。サプライチェーンはサプライチェーンらしく振る舞っているにすぎない。
問題は、その向こう側にエージェントがいるときに何を意味するかだ。あなたがインストールしたライブラリは、あなたが監査したコードを実行する。**実行時に指示を取ってくるアドオンは、あとから届くテキストを、あなたの認証情報とツール権限が紐づいたコンテキストウィンドウの中で実行する。**依存関係スキャナが理解する意味での依存関係ではない。行動する側のシステムへ向けて開いたままの経路である。
この件のアイデンティティ側については、MCPのロードマップが人間をループの外に設計し始めたときに書いた。これはもう半分だ。エージェントが誰であるかではなく、その指示がどこから来たかという話である。
同じ調査は、逆向きにも警告になる。エージェント製品を届けている創業者の多くは、自社のスタックでも静かに他人のアドオンを20個ほど動かしている。
OpenAIのエージェント侵害の完全な法的鑑識タイムラインは、これがすでに起きた版であり、形は同じだった。侵害されたのはエージェントではなく、エージェントが信頼していたものだ。
**これはボトムアップの終わりではない。**強制は、有効化し、調整し、人を割り当てて初めて動く能力だ。多くの企業は、遮断を回す前に長いあいだ検出を回すだろう。エンジニアのコーディングエージェントを殺す誤検知は高くつくチケットだからだ。棚卸しは、遮断よりずっと先に届く。
**一日に二つの発表はシグナルであって、市場ではない。**ベンダーはカンファレンスに合わせて発表を束ねるもので、その週はFal.Conだった。書く価値があると思うのは、一方が強制を足した既存大手であり、もう一方が同じ前提で5,000万ドルを調達した設立6か月の会社だからだ。それでも二つの点にすぎず、私はそこに方向を読み込んでいる。
**AIRの17,800件は同社自身の調査だ。**測った当のものへの解決策を売る会社から出ている。だからといって誤りではない——なりすましの発見は具体的で検証できる——が、何を「信頼できない」と数えるかの枠は同社のものであり、27%という除外率は、生の数字がさらに雑然としていたことを示唆する。
9月1日について興味深いのは、どちらの製品でもない。問いが「エージェントは信頼できるか」から「ここではどのエージェントが動いていて、誰が置いたのか、そして置かれてよいのか」へ変わったことだ。これは運用上の問いであり、運用上の問いはツールで答えられ、ツールは購入される。
エージェントを届ける創業者にとって、実務上の変化は小さく、そして煩わしい。誰にも気づかれなかったあの瞬間が荷重を支えていたのに、それが計測されて消えていく。代わりに来るものは悪くはない。ただ遅く、明示的になる——承認のための資料、名前のある責任者、1ページで説明できる範囲。
エージェントを動かす創業者にとって、変化はもっと大きい。あなたの依存関係の一覧は、いまや指示の一覧でもある。そして後者は誰にもレビューされたことがない。17,800件のアドオンと670万件のインストールは、他人のセキュリティ体制の話ではない。ごく普通の会社の中で、いまその経路がどれだけ開いているかの妥当な見積もりだ。あなたの会社も含めて。
出典: CrowdStrikeプレスリリース「CrowdStrike Unveils Falcon Guardian to Secure AI Agents Where They Execute」 · SiliconANGLEによるFalcon Guardianの報道 · SiliconANGLEによるAIR Security立ち上げの報道 · SecurityWeekによるAIR Securityの調達の報道 · 製品の機能、調達額、調査の数字は報じられたとおり。流通についての議論とセクション6の留保は私自身のものです。
IdeaToMVP Academy
4-week live cohort for founders. Learn to ship AI agents, scope MVPs, and automate your business — taught by the same team that writes these guides.
