Tenableが新調査を発表：サプライチェーンのリスクとアイデンティティ管理の不備が要因となるAIエクスポージャーのギャップの拡大が明らかに

エクスポージャー管理ソリューションを提供する Tenable® (NASDAQ: TENB) は、クラウド・AI セキュリティリスクレポート2026 を発表しました。本レポートによると、組織はサイバーリスクに対処する速度を上回る速さでリスクを受け継ぐため、防御の余地のない AI エクスポージャーのギャップに直面していることが明らかになりました。AIの導入、サードパーティのコード、クラウドの規模拡大によって加速する技術開発のスピードは、攻撃者に悪用される前にリスクを把握し、評価し、優先順位を付けて修正するという人間の対応能力を上回っています。

AIエクスポージャーのギャップとは、アプリケーション、インフラ、アイデンティティ、エージェント、データなどの各領域にまたがって生じる、目に見えにくい形態のエクスポージャーであり、ほとんどのセキュリティチームにはその管理体制が備わっていません。Tenableによるクラウド環境の分析では、AIセキュリティ態勢、サプライチェーンの攻撃手法、最小権限の適用、クラウドワークロードのエクスポージャーという4つの主要セキュリティ領域において深刻なリスクが確認されており、 これらすべてに早急な対応が求められています。本レポートでは、セキュリティおよびビジネスリーダーがクラウドとAI環境全体のリスクを低減するための実践的な指針が含まれています。

『クラウド・AIセキュリティリスクレポート2026』の主な調査結果は以下の通りです。

• 組織の70% が、少なくとも1つのAIまたはMCP（Model Context Protocol）サードパーティパッケージを統合しており、AIがアプリケーションやインフラの深くにAIが組み込まれているものの、多くの場合、中央集権的なセキュリティ監視が行われていません。
• 組織の86%が、深刻度「重大」または「高」の脆弱性が含まれるサードパーティのコードパッケージをホストしており、ソフトウェアのサプライチェーンがクラウドエクスポージャーの主要かつ持続的な要因となっています。さらに、8社に1社近く (13％）が、s1ngularityやShai-Huludワームなど、過去に侵害された履歴のあるパッケージを実装しています。
• 組織の18%が、AIサービスに対して、監査がほとんど行われない管理者権限を付与しており、これは攻撃者が悪用できるパッケージ化された権限リストを提供してしまっている状態です。
• AIエージェントやサービスアカウントのような人間以外のアイデンティティのリスク（52％）は、人間ユーザーのリスク（37％）よりも高く、断片化されたツールでは関連付けられない権限とアクセスの「危険な組み合わせ」を形成しています。
• 組織の65%が、使用されていない、またはローテーションされていないクラウド認証情報といった「ゴースト」シークレットを保有しており、そのうちの17%は特に重要な管理者権限に関連付けられています。
• 深刻度「重大」または「高」の過剰な権限を持つアイデンティティの49％が、休眠状態にあります。

Tenableの製品およびリサーチ担当シニアVPのリアット・ハユン（Liat Hayun）は、次のように述べています。「インフラに組み込まれた AIシステムは、 AIとクラウド技術の両方から生じる新たな脅威となることが予期されるばかりでなく、CISOやセキュリティ担当者が対処しなければならない重大なリスクをもたらします。可視性とガバナンスの欠如は、クラウドにおける過剰権限アイデンティティなど、新たなエクスポージャーにセキュリティ部門が翻弄されることを意味します。エクスポージャーを一元的に管理することで、組織は 『セキュリティ負債』の管理から脱却し、実際のビジネスリスクの管理へと移行することができます」

新たなリスクに対処するため、組織は包括的な可視化とアイデンティティを中心とした管理を通じて、AIの統合プロセスを確実に保護する必要があります。これには、AIのロールへの最小権限の適用、「ゴースト」アイデンティティリスクの解消、無変更シークレットのエクスポージャーの排除などが含まれます。サードパーティのコードや外部アカウントは、今や組織インフラの延長線上にあると言えます。拡張されたサプライチェーンのエクスポージャーを軽減するための対策としては、コードパッケージ、仮想マシン、アイデンティティアクセス、クラウド環境にわたる可視性を一元化することが挙げられます。

『クラウド・AIセキュリティリスクレポート 2026』は、Tenable Researchチームによる調査結果をまとめたもので、2025年4月から10月にかけて収集した多様なパブリッククラウドおよびエンタープライズ環境からの匿名化されたテレメトリデータを分析しています（AIに関する調査結果は2025年12月まで対象としています）。

エクスポージャー管理とは、攻撃者によって悪用される可能性のあるすべての侵入経路がもたらすリスクを特定し、評価し、優先順位付けをする取り組みです。これには、ソフトウェアの脆弱性（CVE）だけでなく、設定ミス、過剰なユーザー特権（アイデンティティリスク）、クラウドセキュリティギャップ、さらにAIやサードパーティのサプライチェーンが生み出す「シャドー」資産などが対象となります。

『クラウド・AIセキュリティリスクレポート 2026』のダウンロードはこちら。

ブログ記事『クラウドと AI のスピードがもたらす罠: なぜガバナンスはイノベーションに後れを取るのか』

Tenable について

Tenable® は、企業のビジネス価値や評判、信頼の失墜を招くセキュリティのギャップを明らかにして解決するサイバーエクスポージャー管理ソリューションを提供しています。同社のAIを活用したエクスポージャー管理プラットフォームにより、アタックサーフェス全体にわたるセキュリティの可視性、インサイト、アクションを根本的に統合することが可能です。それにより、現代の組織に存在するITインフラからクラウド環境、重要インフラ、それらのはざまに至るまで、あらゆる場所に対する攻撃を防ぎます。企業におけるセキュリティエクスポージャーを保護することで、Tenableは世界中の40,000を超えるお客さまのビジネスリスクを軽減しています。詳しくは jp.tenable.com をご覧ください。

（2026年7月15日 米国発表 抄訳プレスリリース）

【本件に関するお問い合わせ先】

Tenable

Tenable_PR_Japan@allisonworldwide.com