NCSCのシャドーAI警告、未承認の職場ツールがもたらす代償を浮き彫りに
NCSCによるシャドーAI警告は、多くの雇用主がいまだ把握できていないセキュリティ問題を数字で示している。調査対象となった英国の従業員の71%が、雇用主の承認を受けていない一般消費者向けAIツールを使用していた。
英国国家サイバーセキュリティセンター（NCSC）は2026年9月7日に警告を発表した。同機関はシャドーAIを、組織が承認したシステムやプロセスの外で利用される人工知能と定義している。文書を一般向けチャットボットに貼り付ける、アシスタントを業務アカウントに接続する、セキュリティレビューを経ずにエージェントを導入するといった行為が該当しうる。
もはや対立は、AIを使う従業員とAIを拒む雇用主の間にあるのではない。迅速で身近なツールと、企業データを守るために必要な時間のかかる統制との間にある。NCSCは、一律の禁止ではこの対立を解決できないと主張している。
この立場が重要なのは、AIソフトウェアの接続性が高まっているためだ。チャットボットはプロンプトに入力されたテキストを露出させうる。AIエージェントは認証情報を保持し、ファイルを取得し、他のサービスを呼び出し、ユーザーの権限で行動することもできる。
その結果生じるシャドーAIのセキュリティリスクは、偶発的な情報開示にとどまらない。データの可視性低下、規制上のリスク、悪用可能な統合、企業システムへの新たな侵入経路が含まれる。
NCSCのシャドーAI警告がセキュリティ議論を変える
NCSCは、未承認のAIを単なる従業員ポリシー違反ではなく、管理されていない業務システムとして扱っている。
同機関のシャドーAIに関するガイダンスは、承認済みプロセスの外で稼働するテクノロジーに焦点を当てている。この区別は重要だ。なぜなら、同じAIサービスでも、利用条件によって異なるリスクをもたらしうるからである。
エンタープライズ環境での導入には、契約上の保護、ID管理、監査ログ、保持設定、制限された統合が含まれる場合がある。個人アカウントでは、雇用主が求めるこうした統制が一切提供されないこともある。
NCSCは、主に3つのリスク領域を挙げている。第一は、企業情報または顧客情報の露出だ。従業員は通常業務を進める中で、契約書、ソースコード、財務記録、会議メモ、個人データを共有する可能性がある。
第二のリスクは、可視性と統制の喪失である。組織は、送信された情報がどこに保存されるのか、どれほど長く利用可能な状態で残るのか、あるいはサービスの改善に使われるのかを把握できない場合がある。
特定のプライバシー設定によって、こうした条件は変わりうる。しかし、セキュリティチームは、従業員が利用していることを把握していないサービスの設定を検証できない。
第三のリスクはAIエージェントに起因する。これらのシステムは、モデルをツール、データソース、メモリー、実行権限と組み合わせる。侵害されたエージェントは、正当な権限で到達できるあらゆるものを露出させうる。
これが警告の背景にある重要な変化だ。かつてのシャドーソフトウェアは、未知のアカウントや孤立したデータストアを生み出すことが多かった。シャドーエージェントは、複数の業務システムにまたがって動作する能動的なIDを持ち込む可能性がある。
NCSCは、人々にAIの利用をやめるよう求めているわけではない。職場情報を共有する前に、どのサービスを使うのか考慮するよう促している。
雇用主に対しては、非現実的な完全排除の約束ではなく、リスク低減を推奨している。組織は従業員のニーズを特定し、安全な代替手段を提供し、未承認利用を従業員が申告できる文化を築くべきだ。
このアプローチは、NCSCのより広範なシャドーITに関するガイダンスに基づいている。同ガイダンスでは、従業員が非公式なサービスを採用するのは、通常、セキュリティを損なうためではなく、仕事を完了するためだとしている。
一般的なきっかけには、承認プロセスの遅さ、機能不足、不十分なコラボレーションツール、使い慣れない企業システムがある。AIでは、有用な一般向けサービスを数秒で利用できることが緊急性を高めている。
したがってこの出来事は、承認済みアプリケーションのリスト以上のものを変える。使いやすさ、調達のスピード、セキュリティ文化が、組織の技術的防御の一部になる。
71%が示すガバナンスの隔たり
この注目すべき統計は従業員の行動を示すと同時に、多くの組織が統制を実際の業務にどれほど適合させられていないかも測っている。
71%という数値は、Microsoftが委託し、Censuswideが2025年10月に実施した調査に基づく。この調査は、18歳以上の英国の従業員2,003人を対象にした。
公表された職場におけるAI調査によると、回答者の51%は毎週、未承認の一般向けAIツールを使用していた。これは、多くの従業員にとってシャドー利用が単発の実験ではなく、繰り返される業務フローとなっていることを意味する。
報告された用途は日常的なものだった。49%が職場でのコミュニケーション文書の作成や返信に一般向けアシスタントを利用した。40%はレポートやプレゼンテーションに、22%は財務関連業務に利用していた。
これらの例は、単純なブロックリストが機能しにくい理由を説明している。需要は、部門、ブラウザー、個人端末、クラウドアプリケーションにまたがる日常業務から生じている。
従業員は、これらのツールを選ぶ具体的な理由も報告している。41%は私生活で使い慣れたサービスを選択した。さらに28%は、会社が承認済みの選択肢を提供していないと答えた。
一般向けツールに入力した企業または顧客データのプライバシーについて懸念を示したのは32%にとどまった。29%は雇用主のITシステムのセキュリティを懸念していた。
これらの調査結果には慎重な解釈が必要だ。Microsoftはこの調査を委託しており、エンタープライズAIサービスを販売しているため、管理された導入に商業的な利害を有している。
また、この調査は確認済みのセキュリティインシデントではなく、自己申告による利用状況を測定している。71%の従業員が機密情報を漏えいした、あるいは侵害を引き起こしたことを示すものではない。
この調査の価値は別の点にある。英国のサンプル全体で、従業員の需要と正式なガバナンスの間に大きな隔たりがあることを示している。NCSCは、この隔たりをシャドーAIが広く普及している証拠として引用している。
セキュリティチームは両側から圧力を受けている。正当な業務を妨げる統制を避けながら、管理されていない利用を減らさなければならない。調達、法務、プライバシー、事業部門のリーダーもこの圧力を共有している。
企業はAIポリシーを公開しても、実際の行動を見逃す可能性がある。従業員は個人アカウント、ブラウザー拡張機能、モバイルアプリケーション、承認済みソフトウェアに組み込まれたAI機能を利用できる。
一部のツールは、年次のポリシーレビューより速く変化する。テキスト生成ツールとして始まったサービスが、後にファイルストレージ、永続メモリー、サードパーティーコネクター、自律的なアクションを追加することもある。
つまり、承認は一度きりのブランド判断では済まない。組織はサービス、アカウント種別、データフロー、有効化された機能、権限を評価しなければならない。
この調査は、意識向上トレーニングだけで問題を解決できるという前提にも疑問を投げかける。親しみやすさと企業向け代替手段の不足は、実務上の動機となる。警告スライドでは、どちらの動機も取り除けない。
組織には、速度と有用性で競争できる承認済みの経路が必要だ。そうでなければ、制限を追加するたびに、非公式な回避策の価値が高まる。
利便性と統制はいまや直接の対立関係にある
主要な対立は、従業員の利便性と組織の統制の間にあり、どちらか一方が単純に相手を打ち負かせるものではない。
一般向けAIサービスは即時の価値を提供する。従業員は、技術導入の申請を出すことなく、文書の要約、メールの推敲、メモの分析、プレゼンテーションの下書きを行える。
そのサービスが雇用主のセキュリティ境界の外にあるとき、この利便性はリスクになる。組織は、ID、プロンプト、アップロードされたファイル、接続済みアカウント、生成された出力について、信頼できる把握を失う。
承認済みブランド名だけに焦点を当てたポリシーでは、この違いを見落とす。従業員は、保持設定や管理統制が異なる個人アカウントを通じて、承認済みプロバイダーを使うかもしれない。
逆のケースも起こりうる。あまり知られていないサービスでも、データアクセスが制限され、明確な契約条件を備えた管理環境内では安全に運用できる場合がある。
したがって、ガバナンスの真の単位は導入全体である。セキュリティチームは、誰がシステムを使うのか、どのようなデータが入力されるのか、そのデータがどこへ移動するのか、どのようなアクションを実行できるのかを理解しなければならない。
この要件は運用上の摩擦を生む。統合と権限のレビューには時間がかかる一方、従業員は昼休みの間に新しいツールを導入できる。
未知のドメインをすべてブロックすれば、可視化されたブラウザー利用は減らせるかもしれない。しかし、個人のスマートフォン、自宅のコンピューター、コピーされたテキスト、あるいは承認済みプラットフォームを通じて提供されるAI機能までは対象にできない。
積極的な監視には、それ自体の問題もある。暗号化トラフィックの傍受は、プライバシー、システム性能、従業員の信頼に影響しうる。また、個人アカウント内での活動を明らかにできない可能性もある。
NCSCの以前のシャドーITガイダンスは、こうした限界を認めている。クラウドアクセスセキュリティブローカーは、ネットワークトラフィックの監視によって一部の未承認クラウドサービスを特定できる。しかし、承認済みサービスの個人的な利用や、暗号化接続内に隠された活動を常に把握できるわけではない。
そのためセキュリティリーダーには、監視だけに依存しない発見手法が必要となる。経費データ、IDログ、ソフトウェアインベントリー、ブラウザー制御、データ損失アラート、従業員からの報告は、それぞれ異なる部分を明らかにできる。
どの手法も完全な可視性を提供するものではない。だが組み合わせれば、より詳しいレビューに値するパターンを特定できる。
非難しない報告プロセスは特に重要である。処罰を予想する従業員には、過去の利用を隠し、証拠を削除し、個人端末の利用を続ける動機が生まれる。
オープンな開示により、セキュリティチームは影響を受けたデータを特定し、有用なワークフローを管理対象システムへ移行する機会を得られる。また、承認済みの代替手段が失敗した理由も明らかになる。
この教訓は、より広い知識労働にも当てはまる。管理されたパーソナルナレッジシステムは、有用な情報検索と、保存情報に関する明確な境界とのバランスを取る必要がある。
答えは無制限の導入ではない。一般向けソフトウェアと競争できるほど迅速な承認経路である。
組織は、事前承認された低リスク業務、制限付きサンドボックス、明確なデータ分類、迅速なレビュー経路を設けられる。また、実験環境を本番システムへのアクセスから分離することもできる。
これにより、実行可能なトレードオフが生まれる。従業員は有用なツールを試す余地を維持しつつ、機密データと特権的なアクションはより強力な統制の下に置かれる。
AIエージェントはデータ漏えいをアクセスの問題へ変える
未承認のアシスタントがテキストを生成するだけでなく、企業権限を用いて行動できるようになると、シャドーAIはさらに危険になる。
従来型のチャットボットはプロンプトを受け取り、コンテンツを返す。エージェント型システムは、目標を解釈し、複数の手順を計画し、外部ツールにアクセスし、メモリーを保持し、アクションを実行できる。
このアーキテクチャはエージェントの有用性を高める。同時に、攻撃者が標的にできるコンポーネントの数も増やす。
国際的なセキュリティ機関は、2026年5月のエージェント型AIに関するガイダンスで、これらのリスクを説明している。この文書は、オーストラリア、カナダ、ニュージーランド、英国、米国の機関が共同執筆した。
このガイダンスは、低リスクかつ非機密の業務にエージェントを使用し、広範または無制限のアクセスを避けることを推奨している。また、AIセキュリティを独立した専門領域として扱うのではなく、既存のサイバーセキュリティプログラムの中に位置付けている。
プロンプトインジェクションは懸念の一つです。この攻撃では、メール、ウェブページ、取得された文書など、AIシステムが読み取るコンテンツ内に悪意ある指示が埋め込まれます。
人間であれば、疑わしいテキストを信頼できないコンテンツとして認識できるかもしれません。一方でエージェントは、それを指示として解釈し、接続されたツールを呼び出す可能性があります。
メール監視エージェントは、ソフトウェアのダウンロードを指示する悪意あるメッセージに遭遇する可能性があります。サポートエージェントは、顧客記録へのアクセスを操作するよう設計されたチケットを処理するかもしれません。
接続は攻撃対象領域を拡大します。検索ツール、ファイルストア、プラグイン、メモリシステム、アプリケーションインターフェース、他のエージェントは、それぞれ脆弱性や敵対的入力を持ち込む可能性があります。
権限は潜在的な被害を左右します。1つのフォルダへの読み取り専用アクセスしか持たないアシスタントと、メール送信、契約変更、支払い承認が可能なエージェントでは、リスクが異なります。
このガイダンスは、攻撃者が自らにはない権限を信頼されたシステムに使わせる「代理人混同問題」を説明しています。AIエージェントは、この確立されたセキュリティ上のパターンを、より大きな運用規模で再現し得ます。
静的な認可は問題を悪化させます。サービスはセットアップ時に広範な権限を受け取り、ワークフローが変化してもそれを保持し続ける可能性があります。後の操作が、もはや現在の状況に適さない過去の承認に依存することもあります。
シャドーエージェントは、管理者がその存在自体を知らない可能性があるため、特に扱いが困難です。管理者は認証情報をローテーションできず、権限を絞り込めず、ログを調査できず、インシデント対応に組み込むこともできません。
これが、NCSCによるシャドーAIの警告がデータガバナンスの範囲を超える理由です。未知のAI統合は、メール、クラウドストレージ、ソースリポジトリ、顧客システム、社内データベースへの未知のアクセス経路になり得ます。
ただし、この警告は、未承認のエージェントがすべて現在進行形の侵害を引き起こしていることを示すものではありません。リスクは、その構成、データ、統合、権限、敵対的コンテンツへの露出に左右されます。
機密入力を扱わないスタンドアロンの文章作成アシスタントが組織にもたらすリスクは限定的です。一方、財務情報や契約へのアクセスを持つ、レビューされていない調達エージェントは、はるかに大きなリスクをもたらします。
セキュリティチームは、新規性ではなく能力に基づいて優先順位を付けるべきです。機密データを取得できる、または重大な影響を伴う操作を実行できるシステムは、孤立したコンテンツツールより優先して対応すべきです。
最小権限の原則が中心となります。各エージェントには、定義されたタスクのために、定義された期間に限り必要なアクセスだけを与え、機密性の高い操作には追加承認を求めるべきです。
組織には、モデルの判断をツール呼び出しやIDイベントと結び付けるログも必要です。通常のアプリケーションログでは、操作が操作されたエージェントによって開始された事実が隠れてしまう可能性があります。
サンドボックス化、セグメンテーション、リクエストごとの認可、認証情報のローテーション、人間による確認は、いずれも潜在的な被害を抑えます。これらはAI特有の失敗をすべて排除するものではありません。
しかし、際限のない露出を限定的なものへと変えます。それこそが、NCSCがシャドーAI全体に適用する防御上の目標です。
この警告はAI侵害の急増を証明するものではない
NCSCは信頼性が高く広範なリスク状況を特定しましたが、公的な証拠は、それに見合う規模で実際のインシデントが発生していることを示していません。
この違いは、責任あるセキュリティ計画において重要です。リスクは、侵害の流行が進行中だという主張を裏付けなくても、対策を正当化し得ます。
NCSCは、シャドーAIによって生じ得る結果を説明しています。これには、データ侵害、知的財産の損失、コンプライアンス違反、管理能力の低下、エージェントの脆弱性の悪用が含まれます。
同組織の9月の発表では、未承認の職場AIによって発生したインシデント数は示されていません。また、調査対象の従業員がこれらのサービスに入力した機密情報の量も測定していません。
71%という統計は、未承認ツールの利用を対象としています。無害な文章を書き換えた場合と、機密の顧客記録をアップロードした場合は区別されていません。
また、この数値は大手エンタープライズAIベンダーの委託による英国の労働者調査に基づくものです。読者は、この割合をすべての国、業界、組織に自動的に当てはめるべきではありません。
規制対象の機関は、全体サンプルよりも厳格な管理を行っている可能性があります。小規模企業では、正式な承認プロセスが少ないかもしれません。テクノロジーチームのAI利用は、医療や公共部門の従業員とは異なる可能性があります。
こうした限界が、この調査結果を無意味にするわけではありません。むしろ、その結果が何を裏付けられるかを定めています。
この証拠は、調査対象集団において未承認AIの利用が一般的であるという結論を支持しています。また、多くの利用者がプライバシーやシステムセキュリティに十分な注意を払っていないことも示しています。
NCSCは、管理されていないデータやエージェントアクセスの結果について、技術的な判断を加えています。この評価は、資産管理、最小権限、データガバナンスに関する確立された原則と一致しています。
ただし、セキュリティ予算は観測された露出に従うべきです。チームは、別の管理プラットフォームを購入する前に、ツール、アカウント、データ分類、統合、権限のインベントリを整備する必要があります。
また、3種類の活動を区別する必要があります。低リスクの実験とは、特権的な接続を持たない公開データまたは合成データを使うものです。
データを伴う利用には、機密ファイル、顧客情報、知的財産、規制対象情報が関わります。エージェント型の利用では、認証情報と他のシステムに影響を及ぼす能力が加わります。
これらのカテゴリーに同じ対応を適用すべきではありません。一律に扱えば、レビュー能力を浪費し、従業員がプロセスを回避することを促します。
組織は、エンタープライズライセンスがすべてのリスクを解決すると考えることも避けるべきです。承認済みのシステムでも、誤設定、過剰な権限、不適切なデータへの接続が起こり得ます。
ベンダー契約はプロンプトインジェクションを防ぎません。管理ダッシュボードは慎重な権限設計の代わりにはなりません。データ保持設定では、不必要なアップロードを解決できません。
承認済みか未承認かという区別には、承認が説明責任を生むという点で、依然として価値があります。ただし、それは継続的な監督の終わりではなく、始まりであるべきです。
信頼できるプログラムには、モデル、コネクター、データストア、認証情報、生成物について明確な責任者が必要です。また、従業員の役割が変わった際にアクセスを削除する仕組みも必要です。
インシデント対応計画にはAIサービスを含めるべきです。調査担当者は、プロンプト、ツール呼び出し履歴、IDログ、影響を受けた出力をどのように保全するか把握しておく必要があります。
したがって、NCSCの警告を懐疑的に読む際の要点は明確です。シャドーAIは自動的に侵害を意味するものではなく、調査における導入率はインシデントの発生率ではありません。
より強い結論の方が有用です。未知のAI利用は組織が自らの露出を測定することを妨げ、接続されたエージェントはその不確実性がもたらす結果を大きくする可能性があります。
組織がギャップを埋めるかを示す3つのシグナル
次の試金石は、雇用主が静的なAIポリシーを、従業員が実際に利用する測定可能な管理策に置き換えられるかどうかです。
最初のシグナルは、社内AIインベントリの質です。今後3か月で、セキュリティリーダーは、コンシューマーアカウント、組み込みアシスタント、カスタムエージェント、接続サービスを特定できるかを確認すべきです。
単にリストが長くなっても、進展を証明することにはなりません。有用なインベントリは、各導入を責任者、アカウント種別、データ分類、保持ポリシー、統合、権限に結び付ける必要があります。
インベントリがこれらの項目をカバーし始めれば、NCSCのリスク低減アプローチは浸透しつつあります。組織が承認済みベンダーだけを数え続けるなら、最大の盲点は残ったままです。
2つ目のシグナルは、管理された代替手段へのアクセスの迅速化です。雇用主は、AIツール、機能、実験環境を利用するまでに従業員がどれだけ待つかを測定すべきです。
承認時間の短縮は、未承認AIツールが使われる一因に対処します。管理されたサービスのアクティブ利用の増加は、ポリシーへの同意確認よりも強い導入シグナルとなります。
セキュリティチームは、従業員が処分を受けずに過去のシャドー利用を報告するかも注視すべきです。報告件数の増加は当初、コンプライアンスの悪化に見えるかもしれませんが、可視性の向上を反映している可能性があります。
リクエストが遅いままで、承認済みツールに必要な機能がなければ、従業員には管理を回避する現実的な理由が残ります。新たな制限は、利用をさらに見えない場所へ押し出すことになります。
3つ目のシグナルは、AIエージェントに対する権限規律です。組織は、エージェントに限定的なID、一時的な認証情報、分離された環境、操作ごとの認可が与えられているかを確認すべきです。
また、機密性の高い操作に人間の確認が必要かどうかもテストすべきです。ログには、どのユーザー、エージェント、指示、ツールが各重大な変更を生み出したかが示されなければなりません。
NCSCのエージェントリスク分析は、セーフガード、サンドボックス化、積極的な監督を重視しています。これらの管理策によって、企業がエージェントを特権を持つソフトウェアとして扱っているのか、それとも便利なチャットボットの拡張として扱っているのかが明らかになります。
広範かつ永続的なアクセスは、この警告における最も深刻な懸念を強めます。その場合、悪用された単一のコンポーネントが、エージェントの正当な到達範囲を引き継ぐ可能性があります。
限定された権限とテスト済みの封じ込めは、個々の導入におけるこの懸念を弱めます。シャドー利用を排除するものではありませんが、その潜在的な影響を制限します。
ナレッジワーカーにとって、直近の問いはシンプルです。利用しているサービスは承認済みのワークフローに属しており、提供した情報がどう扱われるかを把握していますか。
管理者にとって、この問いはより難しいものです。従業員は、回避した方が魅力的に思えるほど長く待たずに、同じタスクを安全な選択肢で完了できますか。
セキュリティチームは、別の包括的な禁止策ではなく、これらのワークフローから始めるべきです。スタッフがAIを利用する場所を特定し、生じる露出の優先順位を付け、リスクの高い経路を実用的な代替手段に置き換えてください。
NCSCのシャドーAI警告が最終的に示しているのは、可視性の問題です。組織は、把握している環境の外にあるデータ、ID、エージェント権限を管理できません。
目標は、AIの実験を消滅させることではありません。安全な利用を見つけやすくし、承認を速め、シャドーの代替手段より安全にすることです。
