IPA（情報処理推進機構）が2026年9月7日、「AIセキュリティ短信 2026年8月号」（公開版・全58ページ／対象期間2026年6月8日〜8月10日）を公開しました。国内外の公開情報からAIセキュリティ事例を選別・要約した定期刊行物で、2026年4月の開設以降2〜3か月ごとに発行されています。本記事は中小企業に効く3点に絞ります（2026年9月時点）。
IPA「AIセキュリティ短信」とは｜4観点と6つの動向
収集は①AIの安全性確保 ②AIを活用したセキュリティ確保 ③AI悪用攻撃への対処 ④AIセーフティの4観点。今号は6つの動向を挙げており、本記事はそのうち開発現場・防御側AI・権限統制の3つを扱います。事例には【当局公表】【ベンダー観測】【検証環境での実証】等の情報区分が付き、信頼性や一般性を読む手がかりになります。なおIPAは、記載内容は情報源に準じたもので正確性・妥当性を保証せず、参照される製品・ソリューションを批判・推奨するものでもないと明記しています。原典はIPAのページで無料公開されています。
注目1：AIコーディング支援が侵入経路に｜中小企業への影響
AIコーディングエージェント（指示でコードを書き変更するAI）や開発基盤が、攻撃対象にも侵入経路にもなっています。開発者の通常操作に紛れて不正動作が起動し、判断材料が示されないままHuman-in-the-Loop（人の確認・承認）が働かなかった例も指摘されています。
【ベンダー観測】npmのワーム「CHAINDROP」（8月4日）はメンテナのGitHubアカウント侵害を起点に400超のパッケージへ拡大。窃取したトークンでリポジトリに悪性フックを仕込むため、そのリポジトリをVS Codeで開くかAIコーディングツールのセッションを開始しただけで、npm installを経ずに感染しうるとされます。外注先の部品経由で及ぶサプライチェーン攻撃の一形態です。
【ベンダー調査】Wizは7月9日、AIコーディング支援6製品に共通する欠陥「GhostApproval」を公表。シンボリックリンクの解決先が確認時に示されず同意が形骸化する例や、承認ボタン表示前の書き込みがあるとします。AWS・Cursor・GoogleはCVEを採番し修正済み。Anthropicは、起動時に利用者がディレクトリを信頼し確認も承認している以上、現行の脅威モデルに含まれないとして脆弱性とは扱わず、機微なファイルへの書き込み前には警告するとし、解釈はベンダー間で分かれています。【検証環境での実証】Adversaはオープンソースのエージェント11本中10本で、ガードの検査文字列と実際に実行される命令の不一致（GuardFall）を悪用できたとしますが、自動実行モード有効化等が前提のラボ実証で実被害の観測ではありません。
注目2：防御側AIの限界｜人の最終確認が必要な理由
Off-by-1 Labs（1Password）は8月6日、複雑な修正を要するCVEへの6,080件のAIパッチのうち、挙動を変えず脆弱性を完全に解消したものは平均26.0％、残存または新規混入が53.9％だったと報告しました。
成果も出ています。MicrosoftはWindowsのコード監査にエージェント型の走査基盤を適用し、特化モデルに全タスクの最大9割、難所のみ大型モデルという構成で従来比約50％のコスト削減。GoogleはGeminiベースのエージェントでChromeに13年以上残存した欠陥を発見し、2マイルストーンで1,072件のバグを修正しました。軽量モデルが大型を上回る評価もあり、使い分けの余地があります。ただしCSA（Cloud Security Alliance）は、完全自動化は必要な速度で動作しうるものの、誤りの検出・責任の所在・信頼の維持には人間の実質的な説明責任が必要で、境界の引き方に合意は形成されなかったとしています。
注目3：AIエージェントの権限管理｜中小企業 対策の勘所
意図から外れたAIエージェントの振る舞いは内部不正と区別がつかないおそれがあり、統制はこれを前提に設計する必要があるとされます。Anthropicの手引きは①既存のIdP（IDを発行・失効する基盤）によるID管理 ②コネクタ単位ではなく動作単位での権限削減 ③ツール呼び出しの監査基盤への集約 ④迂回できないプロキシによる通信先の許可リストを挙げ、「CISOの務めはゼロリスクの達成ではなく、リスクの可視化と境界設定である」としています。隔離や通信制限も完全な予防は保証しません。CSAもタスク単位で権限を限定し完了時に自動失効させるJust-In-Time付与を提示。MCPで社内システムにつなぐ際も、接続先ではなく動作の粒度で絞る点が共通です。
Netwrix調査（世界2,317人・1,889組織）では、AI導入でID数が大きく増えた組織の過去1年の侵害率43％に対し、影響が実質的にない組織は11％。差は管理成熟度では説明できず、AI導入が進む組織ほどデータ棚卸し（46％対60％）、非人間IDのガバナンス（25％対44％）、シャドーAIの可視化（13％対25％）で先行します。Outtake調査（1,138人）では外部とのやり取りを完全に可視化・制御できているとの回答は4％、84％が実害ある事案を経験、自組織を先進的と評したのは7％。Noma Labsの「GitLost」は、他リポジトリ読み取りとコメント投稿という個々には正当な権限の組み合わせで非公開リポジトリの内容が公開投稿された間接プロンプトインジェクションですが、検証環境での再現で実被害ではありません。
中小企業が今すぐできる一歩｜接続先の棚卸し
費用も契約もかけず今日できるのは、AIの「接続先」の棚卸しです。
- 社内で使っているAIツール・AI機能を一覧にする
- それぞれが何に接続できるか（メール／ファイル／社内システム／外部への通信）を書き出す
- 接続が不要な項目と、誰も把握していないツールに印を付ける
これだけで権限を絞る対象とシャドーAIの所在が見えます。
当協会の視点｜AI活用を止めずに統制する
AIが危険だからやめる、という話ではありません。実証段階の指摘と実観測の事例を区別し、権限と接続の設計で扱える範囲に収める運用の問題です。当協会は棚卸しと権限設計をセットで進めるご支援をしています。AI悪用の実態レポート解説も併せてどうぞ。
まとめ
- IPAが2026年9月7日に短信2026年8月号を公開（対象期間6月8日〜8月10日）。無料で読めます
- AIコーディング支援が侵入経路になる事例の一方、脅威モデルの解釈は分かれ、修正済みのものもあります
- AIが作ったパッチで脆弱性を完全に解消できたのは平均26.0％。人の最終確認は必要です
- 統制はコネクタ単位ではなく動作単位へ。まずは無料の「接続先の棚卸し」から
AIエージェントに渡す権限と承認・監査の線引きは、AIエージェントの権限設計とは｜中小企業が決める承認・監査の社内ルールで手順としてまとめています。
