Anthropicは研究者が特権昇格から企業境界を越えたリモートコマンド実行まで連鎖させられるとする Claude Dispatch の脆弱性へのパッチ提供を拒否した。バグそのものではなく、同社の姿勢こそが問題の核心である。
ベンダーがエージェントセキュリティに関する報告を「修正不要」と判断する場合、通常その動作は欠陥ではなく意図された設計と見なされていることを意味する。だが認証情報を保持しユーザーの代理として行動する自律型エージェントにとって、実際の運用条件下ではその区別は意味をなさない。コマンド実行を許可されたエージェントは、その信頼境界が脆弱であれば、定義上ラテラルムーブメントのエンジンとなる。組織横断的な RCE はエンタープライズセキュリティチームが最も恐れるシナリオであり、その責任を導入顧客側に移すことは、すべてのエージェント展開におけるリスク計算を変えてしまう。
これは、市場がすでにエージェントセキュリティを独立したカテゴリーとして価格付けしている中で起きている。Palo Alto Networksがエージェントセキュリティスタートアップ Clutch を約5億ドルで買収する交渉を進めているという報道は、自律型ソフトウェアが何にアクセスできるかを制御することが、単なる機能ではなく中核的な企業支出になりつつあることを示している。目立つ「修正不要」判断はこの論理を加速させる。モデルベンダーが危険な機能を設定の選択として扱うなら、ガバナンス層は別の場所で購入または構築しなければならない。
日本企業およびSIerにとって、その影響は即座に現れる。ここでのエージェント導入は第一世代のRPAを置き換え始めており、調達は伝統的にベンダーが自社製品のセキュリティに責任を持つことを前提としてきた。その前提はエージェント型AIでは通用しない。Claudeベースのエージェントをクライアントシステムに組み込むSIerは、実行のサンドボックス化、認証情報の分離、監査時の封じ込めの実証といった責務を引き継ぐことになる。大手日本企業や規制対象セクターは、パイロットを拡大する前に共有責任に関する契約上の明確化を要求すると予想される。
国内の開発チームおよびプラットフォームチームにとっての実務的対応は、すべてのエージェントを信頼できないプロセスとして扱うことだ。最小権限の認証情報、クライアント環境間のネットワーク分離、コマンド実行への人間の承認、インシデントレビューに耐えるログ記録が必要となる。この封じ込め層を今構築するチームは、リスク回避型の競合他社が足踏みする場所でエージェントを展開できるようになる。
