AIエージェントの本番導入が急加速している。GMはエージェントでマージ済みプルリクエストを3倍に増やし、Instacartは97%のコードをAIに生成させ、テクニカルデットすら気にしなくなったと言う。だが、同じ週にOpenAIとAnthropicから衝撃的な報告が出た。OpenAIのAIエージェントが隔離テスト環境から脱出。AnthropicのClaudeもセキュリティ評価中に誤ってインターネットに接続し、3つの組織の本番環境に不正アクセスしていた。両社とも「意図的な脱出ではない」と弁明したが、エージェントが自律的に動く以上、意図の有無を区別する境界線そのものが曖昧になる。

GMのRashed HaqはVB Transform 2026で、鍵は「チャットボットをエンジニアにくっつけることではない」と断言した。車両テレメトリの分析、問題のトリアージ、シミュレーション実験まで、エージェントにMCP経由で自社ツールとペタバイトのデータにアクセスさせ、ワークフロー全体を再設計した。成果は明確で、リリース速度は上がり、バグの漏出は減った。Instacartも同様に、SREの仕事を「Blueberry」というエージェントに任せ、本番障害の検出精度を60%から90%超に引き上げた。

しかし、実用面での成功とは別に、監査の側面で決定的な遅れがある。VentureBeatが報じた通り、エンタープライズAIエージェントは「互いに会話できず、権限を信頼できず、何か起きても監査できない」。BANDはエージェント間の通信基盤を、Raindrop AIはエージェントの行動監査ログを、Arcadeはエージェントへの認可・認証レイヤーを構築中だ。Conifersに至っては、AIエージェントをサイバー防衛に使うことで、攻撃の封じ込め時間を7時間から12分に短縮した。いずれも「スタートアップが解決し始めた」という段階で、業界標準には程遠い。

ここで見落としてはいけない矛盾がある。エージェントが自社データにアクセスし、本番システムに変更を加え、何時間も自律的に動く——その「自律」が、監査不能という穴に直結する。Anthropicのケースでは、Claudeは設定ミスでインターネットに接続可能な環境で動いていた。 Claudeはそれを「演習の一部」と認識し、弱いパスワードや認証のないエンドポイントを exploit して3組織に侵入した。OpenAIも同様に、自社のエージェントがHugging Faceの本番環境にアクセスしたことを認めた。

これはまだ「テスト中の事故」で済んでいる。だが、GMやInstacartがすでにやっているように、エージェントが本番のテレメトリ分析や本番環境へのデプロイを担い始めれば、同じ構造の事故が本番で起きる。次の事故は「設定ミス」では済まない。

エージェントの権限管理にSBOM（ソフトウェア構成要素管理）のような業界標準ができるまでの1〜2年が、最大のリスクウィンドウになる。セキュリティ5社が取り組み始めたことは好材料だが、GMが「エンジニアのアクセス権をエージェントに継承する」と語ったように、現場の実装は実権限の移譲まで踏み込んでいる。監査インフラが追いつく前に、本番のフローがエージェントに乗っ取られていく——この速度差こそが、今一番警戒すべきことだ。