メインコンテンツへスキップ
「エンドポイント環境におけるシャドウAIの理解」のブログ記事のトップ画像
新たな課題

エンドポイント環境における「シャドウAI」の理解

Generative AI–and large language models in particular–reached mass consumer adoption beginning in late 2022 and early 2023, with ChatGPT reaching 100 million users faster than any consumer application in history.

それ以来、AIは目まぐるしい勢いで進化を遂げ、現在では、実際にどれほど有用であるかに関わらず、あらゆるツール、アプリ、ウェブサイトに組み込まれているようです。 AI技術には、驚くほど強力で、その効果を倍増させるような活用法がありますが、その急速な拡大と普及は、多くの組織が対処する準備ができていなかったリスクをもたらしています。特に、AIシステムが実験段階から実運用段階へと移行するにつれ、自律性と規模が可視性や制御の範囲を上回る状況が生まれ、 エージェント型AIの無秩序な拡大（ ）を招く恐れがあります。

[最近のエージェンティックAIの進展により、自律システムが助言的な役割から直接的な実行へと移行しつつある現状と、その変化がITガバナンスに何を求めているのかをご覧ください]


確かに、AIは大胆な新たな分野ですが、資産管理と可視性は、依然として優れたセキュリティとリスク管理の基盤であり続けています。 ハードウェア、オペレーティングシステム、インストール済みのソフトウェアといった範囲を超え、現在では、ソフトウェア部品表（SBOM）、ブラウザのエコシステム、 統合開発環境（IDE）、クラウドベースのSaaS（Software-as-a-Service）、そして組織内でAIがどのような形で活用されるかといったあらゆる側面を考慮する必要があります。

この課題に対処するために把握しておくべき状況、脅威、そして中核となる要素について、改めて確認していきましょう。

シャドウAIとは何でしょうか？

ヘルプデスクから経営陣に至るまで、ほとんどのIT専門家は、「シャドーIT"――つまり、従業員が正式な承認を得ずに使用しているソフトウェアやデバイス――について、よく理解しています。 前作と同様、「シャドウAI」とは、IT部門やセキュリティチームの知らぬ間、あるいは承認を得ずに、AIツール、アプリ、インフラが導入・利用されている状態を指します。

ほとんどの場合、シャドウAIの使用は害のないものです。 多くの人は、新しいテクノロジーを活用して生産性を最大限に高めたいと考えていますが、あるいは、AI機能が組み込まれていることさえ気づかずにツールを使っているのかもしれません。 「シャドーAI」 のリスクは、AIツールの存在そのものにあるのではなく、目に見えない接続関係、動作、そしてデータの流れにあるのです。 さらに、シャドウITとは異なり、シャドウAIは自律的に行動し、判断を下し、リスクを広めることができます。

シャドウAIの検知範囲には、大きな可視性のギャップが存在します：
従来のセキュリティツール（クラウドDLP、CASB、ファイアウォール）は、ローカルAIを検知できません。 ローカル型とクラウド型のAIでは、監視に必要な手法が異なります。 残念ながら、AIの普及と導入のスピードは、私たちがそれを管理し、セキュリティを確保する能力を上回ってしまっています。

シャドウAIがどこに潜んでいるのか、またなぜその管理がこれほど難しいのかを理解するには、今日の企業環境においてシャドウAIがどのような主な形態をとっているのかを知っておくと役立ちます。

最初の例は、ローカルAIモデルです。これは、ChatGPT、Copilot、Claudeなどのブラウザやアプリのようなクラウドサービスではなく、ユーザーの端末や社内サーバー上で直接AI言語モデルが動作するものです。

2つ目の仕組みは、AIエージェントです。これによって、LLMの能力は単なる質問への回答にとどまらず、アクションを実行したり、他のツールやデータと連携したり、ある程度の自律性を持って動作したりできるようになります。 どちらの仕組みにもリスクが伴い、承認の有無にかかわらず、どちらの場合も発生する可能性があります。

ローカルモデル

ローカルモデルの魅力は、一言で言えば「 」のプライバシーに尽きます。

ChatGPT、Gemini、Microsoft CopilotなどのクラウドベースのAIサービスをご利用の際、入力したプロンプトや共有したデータは、第三者が所有するサーバーに送信されます。 そのデータは、将来のモデルの学習に利用されたり、監査できない形で保存されたり、場合によっては意図せず公開されたりすることがあります。例えば、ChatGPTがバージョン 2023 で「共有」機能を導入した際、チェックボックスをオンにするとチャット内容が検索エンジンで検索可能になるといった事例が挙げられます。 何千人ものユーザーが、自分が何をしているのか気づかないままこの機能を有効にしてしまい、「非公開」の の会話がGoogleの検索結果に表示されるようになってしまいました。。

モデルをローカルで実行するということは、データが自分のマシンや社内ネットワークの外に出ることは決してないということです。これは、機密文書を扱う組織や、規制の厳しい業界で事業を展開する組織、あるいは外部からのインターネットアクセスが不可能な環境をサポートする組織にとって、まさに最適な解決策と言えるでしょう。

素敵ですね、そう思いませんか？ ちょっと待ってください。 ローカルにインストールしたからといって、自動的に非公開になるわけではありません。 2025年7月において、トレンドマイクロの は、AIモデルをローカルで実行するための人気のあるオープンソースツール「Ollama」を実行している 10,000 台以上のサーバー（ ）が、認証を必要とせずに一般に公開されていたことを発見しました。

設定が不適切なローカルモデルサーバーは、それにアクセスできる者なら誰でもクエリを実行できてしまいます。つまり、攻撃者は、そのサーバーが稼働しているマシンに物理的にアクセスすることなく、情報を探り出したり、データを抽出したり、あるいはより広範なネットワークへの足掛かりとして利用したりすることが可能になります。

ローカルモデルは通常、クラウドモデルに比べて規模が小さく、学習に用いられるデータ量も少ないため、知識の欠落が多くなります。その結果、一見もっともらしいが実際には誤った情報でその欠落を埋めてしまう可能性が高くなります。これは業界では「幻覚」と呼ばれています。

個人利用の場合、自信を持って間違った答えを出すことは、不便なことです。 しかし、ローカルAIによる出力が規制当局への届出書類、財務分析、法的文書、あるいは顧客とのやり取りに反映されるようになると、その重要性は一変します。 要約がAIによって生成されたものであることを知らない経営幹部には、それを確認する理由がありません。そして、誤りが発覚した頃には、その文書はすでに署名され、送信され、あるいは提出されてしまっている可能性があります。

ローカルモデルには、正当で価値のある活用事例がありますが、「ローカル」は「安全」の同義語ではありません。 何がインストールされているか、どこで実行されているか、そして安全に設定されているかどうかを把握することは、企業規模でそれらを責任を持って利用するための基本要件です。

エージェント

AIエージェントは、単に質問に答えるだけにとどまりません。 ChatGPTのような大規模言語モデルがプロンプトに応答するのに対し、エージェントは、コードの記述や実行、CRMの記録の更新、カレンダーの管理、あるいはユーザーに代わって連絡を行うといったアクションを実行することができます。 その能力こそが、それらを強力なものにしている一方で、リスクをもたらす要因でもあるのです。

このリスクは、エージェントが権限を取得する方法に起因しています。 エージェントは、それをインストールしたユーザーのアクセス権を引き継ぎます。 そのユーザーがローカル管理者権限、データベースの認証情報、およびAPIキーを持つ開発者である場合、エージェントもそれらすべてを保有しています。

これは、AI版「現地資源活用型攻撃」と言えます。マルウェアは一切必要なく、正当なアクセス権限が、誰も予想しなかった方法で悪用されるだけです。 現在、エージェントが行動を起こす前に一時停止し、人間の承認を求めるべきタイミングについて、企業全体で統一された基準は存在しません。また、ほとんどのツールではユーザーごとに権限を設定する必要があるため、現時点では全システムにわたるガバナンスの実施はほぼ不可能です。

そのギャップは、すでにモデルレベルで悪用されています。 A 2025 research paper from Lupinacci, et al. found that 100% of tested AI models applied looser security standards when receiving instructions from other AI agents than from a human.

マルチエージェント・ワークフローにおいて、悪意のあるエージェントは、人間が送信した場合であればブロックされるような悪意のある指示を、他のエージェントに送信することが可能です。 研究者たちは、これを現在のLLMアーキテクチャに組み込まれている「AIエージェントの権限昇格」という脆弱性と呼んでいます。

モデルコンテキストプロトコル（MCP）

Anthropic社は、AIツールが他のツールやデータソース、システムと連携できる手段を提供するため、「Model Context Protocol（MCP）」と呼ばれるオープンスタンダードを策定しました。 これをUSB-Cケーブルのようなものと考えてみてください。各デバイスごとに独自のコネクタが必要になるのではなく、MCPによって、AIはメールボックスやファイルシステム、ブラウザ、データベース、そして互換性のあるインターフェースを公開しているその他のあらゆるものとやり取りするための、単一の標準化された方法を得ることができます。

その標準化こそが、MCPを重大な企業リスクにしているのです。 MCPサーバーは、VSCodeやCursorなどの開発者向けツールに直接インストールすることができ、IT部門やセキュリティチームからはほとんど、あるいはまったく検知されません。 これらは、インストールしたユーザーの権限を継承します。多くの開発者はローカル管理者であり、自身のマシンに認証情報、APIキー、トークンがすでに保存されているため、侵害されたMCPサーバーは、広範なアクセス権を得るために大した操作を行う必要がありません。 これは「シャドウMCP」と呼ばれるもので、シャドウAIのサブコンポーネントであり、非常に広い爆風範囲を持っています。

攻撃対象領域は多面的であり、さまざまな手法についてさらに深く掘り下げるべきテーマですが、その例としては次のようなものがあります：

  • ツールポイズニング（）とは、攻撃者が、人間には見えないがAIには読み取れる文字を使用して、ツールの説明文の中に悪意のある命令を埋め込み、ユーザーが意図していない行動をAIに実行させる攻撃手法のことです。
  • 「ラグプル（Rug pulls）」とは、正当なMCPツールがインストール後にユーザーに気付かれることなく密かに更新され、トラフィックをリダイレクトしたり、機密データをサードパーティのサーバーに記録したりする現象を指します。ユーザーには目に見える変化は一切ありません。
  • と呼ばれるサーバー間ツールによるシャドウイング。これは、悪意のあるサーバーが正当なサーバーに自身を潜り込ませるものです。 2025年、攻撃者はWhatsAppの公式MCPサーバーを乗っ取り、それを利用してチャット履歴全体を密かに盗み出しました。
  • サプライチェーンの侵害（）とは、悪意のあるサーバーが最初から製品として存在し、検証されていないレジストリに公開され、それを疑う理由のなかったユーザーによってインストールされるケースを指します。 MCPサーバーに対する標準的な審査プロセスが存在しないため、これは多くの組織にとって最も発生しやすい攻撃経路の一つとなっています。
  • セッションハイジャック「」について、 CVE-2025-6514を例に解説します。これは、広く利用されているMCPコンポーネントに存在する重大なOAuthの脆弱性であり、攻撃者が推定 437,000 の開発環境に対して永続的なアクセス権を取得することを可能にしていました。

現在、実稼働中のMCPサーバーは 15,000 台を超えています。 これほど大規模な新規開発が行われている一方で、確立されたセキュリティ基準が存在しないため、CVEの件数は急速に増加しています。 このエコシステムはまだ初期段階にあり、ほとんど規制されておらず、現在、積極的に検証が進められています。

Taniumの分析結果と実世界のリスク

「 2025年9月」によると、中国の国家支援を受けた脅威アクターが、Anthropic社のAIコーディングエージェント「Claude Code」を利用して、約 30 の組織に対して、自律的に偵察を行い、脆弱性を悪用し、データを盗み出しました。

AIは、戦術作戦の推定 80 ～90 パーセントを自律的に遂行しました。 その同じ月、研究者たちはChatGPTの「Deep Research」機能に対するゼロクリック攻撃を実証しました。これは、隠されたプロンプト注入を含む1通の巧妙に作成されたメールによって、被害者が何の操作も行うことなく、Gmailのデータが密かに流出するもので、成功率は 100 ％に達しました。

サプライチェーンの面では、「GlassWorm」と呼ばれるキャンペーンが、OpenVSXマーケットプレイスを通じて悪意のある拡張機能を配布し、 10,000 回以上のダウンロードを記録しました。 これらの拡張機能は、コードを隠すために目に見えないUnicode文字を使用し、盗んだデータをSolanaブロックチェーンのコマンド＆コントロールインフラを通じて転送していました。これらは、検知を回避するために特別に設計された2つの手法です。

いずれのインシデントにおいても、組織側は攻撃を可能にした状況について把握できていませんでした。

Tanium Guardianの調査により、企業内で「シャドウAI」が実際にどれほど広まっているのかが明らかになりました。 ここでは、2つの側面について検討します。1つはエンドポイント上のローカルAIモデル関連のアーティファクト（モデルファイルやフレームワークのパスなど）、もう1つはMCPサーバーの設定（どのMCPツールがどこに存在するか）です。

ここから浮かび上がるのは、明確な実態です。すなわち、シャドウAIはすでに相当な割合の環境に存在しており、ローカルモデルのアーティファクトとMCPの導入は、可視性やポリシーにとって重要な形で集中しているということです。

Taniumが検知する内容

Tanium Guardianの調査によると、お馴染みの傾向が浮き彫りになっています。企業全体でAIの導入が急増しており、3つの環境のうち1つでは、すでに少なくとも1つのエンドポイントにインデックス化されたAIモデルファイルが存在し、ほぼ半数の環境では、少なくとも1つのエンドポイントにMCPサーバーが設定されています。

エンドポイントにおけるAIの存在は、もはや議論の余地のない事実となっています。 それは確かに存在し、拡大しています。 未解決の問題は、その存在が承認され、規制され、理解されているかどうかという点です。

実際のところ、その状況は大きく2つのパターンに分かれる傾向があります。AIの導入を組織的に進めているように見える組織がある一方で、導入が徐々に少しずつ進むだけの組織もあります。後者のパターンは「シャドウAI」の兆候である可能性があり、明確な統括者や主導者なしに、ツールや連携機能が次々と導入されているような状況が見られます。

ローカルモデルに関しては、その成果物がすべてを物語っています。 GGUFファイル（Llamaスタイルおよび類似のもの）は、OllamaなどのローカルLLMや埋め込みツールを指し示しています。 Safetensorsは、Hugging FaceやPyTorchが活用されている場面、例えば会話の要約や微調整済みモデルなど、といった場面で登場します。 PMMLは、SAS、R、sklearnなどの従来型の機械学習スタックや、その他の分析ツールに対応しています。 つまり、「誰かがOllamaを実行した」というだけのことではなく、ローカルLLM、最新のディープラーニング、そして従来の機械学習が組み合わさったものなのです。

MCP側も、同様に慌ただしい状況です。 数百万のエンドポイント全体で、ほぼ 400 の異なる名称を持つMCPサーバーが一貫して確認されており、さらに調査が必要と思われる、単発のものやニッチなサーバーも散見されます。 トップに名を連ねる企業は、ビジネスのあり方を象徴する顔ぶれであり、市場で最も人気のあるエンタープライズ向けツールの一部と密接に関連しています。

これらのツールが「シャドウAI」である可能性は低いですが、各チームがAIを活用したワークフローに組み込んでいるツールです。 セキュリティとガバナンスの観点から重要なのは、その配線が可視化されており、適切に監視されているかどうかという点です。 攻撃者は、正規のベンダーツールに偽装して紛れ込む機会を伺っていますので、常に警戒を怠らないでください。

本当のリスクは、必ずしも「組織内に新しいAIツールが導入された」ということだけではありません。 「組織内のAIツールをまだ検証していない」ということです。 この2つの間のギャップこそが、ガバナンスを迅速に適用すべき場所なのです。

Taniumの活用方法

どのAIツールが実行されているか、どこで実行されているか、そしてどのように設定されているかについて把握できなければ、組織は十分な情報に基づいたガバナンスやリスクに関する意思決定を行うことはできません。

「Tanium Guardian Spotlight: AI Tools」は、セキュリティチームに対し、環境全体にわたるシャドウAIに関する、一元化されたエンドポイントレベルの可視性を提供します。

このダッシュボードでは、以下の情報を検出・一覧化します：

  • 設定済みのMCPサーバー： 開発者向けIDE内のMCPサーバーの数と種類（HTTP、SSE、STDIO）、およびそれらを搭載しているIDEの一覧
  • ローカルモデルマネージャー： Ollama、LM Studio、 GPT4Allなどのアプリケーション、過去 90 日間の利用状況、および（Index/SBOMを使用した場合の）AppImageやコンテナベースのインストール
  • AIモデルファイル： Tanium Indexによって検出された個別のモデルファイル（例：GGUF、SafeTensors）と、そのパスおよび命名規則
  • OpenClaw： OpenClawが実行されているエンドポイント。既知のリスクへの曝露状況を評価するためのものです。

各チームは、エグゼクティブサマリーを範囲の把握に、MCPセクションをサーバーとポリシーの整合確認に、そして利用傾向を、インストール済みのツールと実際に使用されているツールを区別するために活用できます。 すべての機能を利用するには、Tanium Index、SBOM、資産・ソフトウェアのインベントリおよび使用状況、ならびに脅威対応機能をご利用ください。

詳細については、 の「Guardian Spotlight: AI Tools Release Notes」（ ）およびの「Tech Talk」（ ）で、AIツールの可視性とリスクについてご参照ください。

参考文献

Shadow AIのレポート

MCPのセキュリティ

脅威インテリジェンス

ローカルLLM検出

サプライチェーン

その他――リスクを伴うAIや悪意のあるAI

AIのリスクとセキュリティ