Identity とデータのセキュリティソリューション分野で広く認められたリーダーである Netwrix は本日、安全に関する見通しを発表しました。エージェンティック AI がより注目されるようになる中で、サイバーセキュリティの次の段階の混乱は、攻撃者が Identity に対する攻撃を拡大してデータセキュリティを侵害することから生じるだろうと予測しています。
この見通しは Netwrix Security Research Lab によって作成され、2026 年から 2029 年にかけてサイバーセキュリティを最も大きく再構成しそうなトレンドを強調しています。これらの予測は、Netwrix の研究者が観測した現実の Identity 攻撃やデータ露出パスに関する継続的な調査に基づいています。
2026年のセキュリティを最も大きく変える可能性が高いもの
- ID自動化が「ID」と「データ セキュリティ」の依存関係をさらに強める
2026年までに、IDセキュリティでは、プロビジョニング、トークン検証、特権管理にまたがるワークフローのオーケストレーションと自動化が大きく拡大する見通しです。
これらのワークフローは、誰が、そして何が、機密データにアクセスできるかを今や決定します。つまり、ID自動化の失敗はそのままデータ露出のリスクに直結します。
攻撃者は、個々の資格情報から、IDのオーケストレーション、フェデレーションの信頼、および誤って構成された自動化へと注目を移しています。重要なデータ ストアへのアクセスはIDから始まるため、誤設定を検知し、死角を減らし、より迅速に対応するには、IDセキュリティとデータセキュリティの統合的な可視性が必要です。 - エージェント型AIが、規模の大きい「ID主導のデータアクセス」を拡大する
AI システムが自律的にタスクを実行し始めると、データへのアクセスや移動、そしてデータに対する処理には「ID」が使われます。AI エージェントがどの ID を利用するのか、どのデータにアクセスできるのか、そしてどの権限のもとで動作するのかを理解することが不可欠になります。
強力なIDガバナンスとデータ制御が一体となって機能しない場合、エージェント型AIはデータ露出を急速に増幅させる可能性があります。AI主導の自動化が継続的かつ大規模に動作するほど、IDセキュリティとデータセキュリティの依存関係はより顕著になります。 - サイバー保険が「本人確認（ID）」とデータ管理の証明を求める
ID の自動化と AI によるアクセスがデータ露出リスクを高めるにつれ、サイバー保険会社は、リスクの評価方法と価格設定方法を見直しています。定期的なアンケートに頼るのではなく、ID とデータ セキュリティ コントロールの継続的な検証へ移行していきます。
保険会社は、ID がリアルタイムで機密データにどのようにアクセスしているかを示すテレメトリに依存することが期待されます。ID ガバナンスとデータ保護の間で一貫した整合性を示せる組織は、より良い条件を得られる可能性があります。一方、可視性がない組織は、より厳しい精査の対象となります。
2026年のセキュリティを大きく変える可能性が低いもの
- 本当の AI リスクは自律ではなく「加速」です
AI はすでにサイバーセキュリティにおいて意味のある形で影響を与えていますが、完全に自律し、自己主導で動く AI 駆動型サイバー攻撃が 2026 年に支配的な脅威になる可能性は高くありません。最近の国家支援による諜報活動キャンペーンは、有利な条件下では選択的で高コストな自律性が現在では可能になり得ることを示しています。しかし、そのような作戦は依然として人間の監督下にあり、信頼できないフィードバックに対して脆く、寛容なアイデンティティおよびアクセス環境に依存しています。
実際の企業環境で効果的な自律攻撃キャンペーンを運用することは、依然として複雑でコストが高く、予測も困難です。ノイズの多いシグナル、環境差によるばらつき、幻覚を起こしやすい出力、運用上のリスク、信頼できるフィードバックループの欠如、そして高額なインフラコストにより、完全自律攻撃は今後 1 年の大半のケースで経済的に成立しにくいのが現実です。
その代わり、攻撃者は人間の意思決定を完全に置き換えるのではなく、AI を使って既存の手法――偵察、なりすまし、アクセス悪用、ワークフロー実行――を加速し続けるでしょう。防御側にとってより差し迫った課題は、広範なアクセス、クリーンなフィードバック、持続可能な報酬など、自動化が依存する条件を拒否する AI 加速型攻撃に対して回復力を維持することです。自動化が進むとしても、強力なアイデンティティの統制とデータ可視性が最も効果的な防御策であり続けます。
2027 年に向けて、次に来るもの
- AI によるシステムとデータの収束
AI を活用した最適化は、これまで別々に管理されていたアイデンティティ システムとデータソースを接続する AI エージェント（agents）への依存を、ますます強めています。これらのエージェントは複数のシステムにまたがって動作し、たとえばユーザーやチームに代わってアプリケーション、アイデンティティ、データにアクセスするなど、定義されたワークフローを実行します。
そのワークフローのどの部分でも、アクセス条件やデータの機微性が変化した場合、ガバナンスモデルは AI エージェントの権限が適切であり続けることを保証する必要があります。実務上これは、接続されたシステム群にわたってアイデンティティのコンテキスト、アクセス権限、ポリシーの整合性を継続的に検証し、静的でサイロ化された統制に頼り切らないことを意味します。 - データに、より多くの組み込み型保護が求められる
データは、ユーザー、システム、環境をまたいで移動する際に、暗号化、出どころ（provenance）、およびアクセス ポリシーをそのまま一緒に携えていることが、ますます期待されるようになっています。provenance は、データがどこで生まれたのか、どのように使われてきたのか、そしてどのアイデンティティやシステムがそれと相互作用してきたのか、という文脈を提供します。
これは侵害の影響を抑える可能性がありますが、実装が一貫しない場合、断片化や見落とし（盲点）のリスクが生じます。自己防護型のデータを、規模に応じて有効かつ管理可能にするには、強力なアイデンティティのコンテキスト、標準化されたメタデータ、一貫したポリシー施行が必要です。
2028 年・2029 年に向けて：重要なリスク
- AIに対する信頼の鈍化がセキュリティを損なう
経済的な圧力によってガバナンスと監督への投資が減ると、組織は管理されていないモデル、文書化されていないドリフト、そしてコンプライアンス上のギャップを抱えることになるかもしれません。ID（Identity）の関係、データ依存関係、そしてAIの所有権を早期に把握してマッピングすることは、レジリエンスを維持するうえで重要です。 - AIベンダーの不安定さがデータと継続性のリスクになる
組織が、増え続ける新興のAI提供事業者に依存するほど、「自社データがどこに存在し、最終的に誰がそれを制御するのか」という問いに答えることが難しくなっていきます。プロンプト、学習データ、モデル、出力が企業の外部で処理または保存される場合、提供事業者が想定どおりに運用できなくなったとき、そのデータは取得・統治（ガバナンス）・さらには所在の特定すら困難になる可能性があります。この課題は、AIベンダーが買収されたり再編されたり、あるいは市場から撤退したりすることで一層深刻化し、企業はそれらのサービスに紐づくデータを容易に取得・統治・所在特定できなくなります。
これにより、コンプライアンス、セキュリティ、そしてビジネス継続性にまたがって連鎖的なリスクが生じます。明確なデータの所有権、ID（Identity）の統制、そして退出計画がないと、新興のAI提供事業者への依存によって、試験的な取り組みが長期的なデータ露出と運用上のリスクへと変わる恐れがあります。執行可能なデータの所有権とデータガバナンスを確立できていない組織は、初期のAI実験が静かに「継続的なデータ露出」と「ビジネス継続性リスク」へと進化していたことに気づくことになります。
「脅威の状況が広がっているのは、攻撃者が突然より優れたツールを手に入れたからだけではありません」と、Netwrix のセキュリティ研究担当副社長 Dirk Schrader は述べました。「それに加えて、ID（identity）セキュリティ、データセキュリティ、そして自動化が切り離せないものになりつつあるためでもあります。私たちの研究チームは、誤設定や自動化されたワークフローが実際の露出（エクスポージャー）につながる様子を、目の当たりにしています。成功する組織は、ID とデータセキュリティを一体として統治（ガバナンス）し、自動化を“盲目的に信頼するもの”ではなく“継続的に検証すべきもの”として扱える組織でしょう。」
この予測の根拠となっている現実世界の脆弱性や攻撃経路について、さらに詳しく知りたい場合は、Netwrix Security Research Lab の最新分析をご覧ください。 Netwrix のセキュリティリサーチ入門.
© 2026 Netwrix Corporation. All rights reserved. 本ページは Netwrix の見解を表明しており、ここに記載された情報は予告なく変更される場合があります。Netwrix の名称、ロゴ、製品、サービス名、スローガン、およびすべての Netwrix 商標は、Netwrix Corporation またはその関連会社の所有物です。その他の名称および識別表示は、各社（および/またはその関連会社）の商標であり、それぞれの会社により所有されています。これらの企業は、本プレスリリースのスポンサーではなく、また Netwrix と何らかの提携関係にあるものではありません。
共有する