メルカリの執行役員Group CISOである市原尚久氏は、IT Media Security Week 2026 春の講演で、Agentic AI時代における同社のAIガバナンスとガードレール実装を解説しました。2025年5月の「AI-native宣言」から1年間の活用実態に加え、社内で実際に起きたヒヤリハット、同社が定義した8つのリスク要因、そしてそれらに対応する組織面・技術面の具体的な対策までが体系的に共有されています。

AI推進の現在地

• ▸アプリ内のAI — AI(自然言語)検索、AI出品サポート、パーソナライゼーション、自動違反検知、AI与信
• ▸業務でのAI利用 — AIツールを利用する従業員率100%、AIによるコード生成の割合は約70%
• ▸利用可能なツール — Gemini・NotebookLM(生成AI系)、Notion(ナレッジ系)、n8n(ワークフロー系)、Cursor・Claude Code・Devin(開発系)、Claude Code・Cowork・Notion AI Agent(エージェント系)

2025年5月にグループCEOの山田進太郎氏が社内Slackで「AIを導入する企業」ではなく「AIを前提に再設計された組織」になるというAI-native宣言を発信し、同月にAIセキュリティチームが発足しました。同年7月には全社から100名規模が集まるAIタスクフォースが発足し、業務棚卸・AI導入評価・AI導入の3フェーズで導入を加速させています。AIセキュリティチームの発足がタスクフォースよりも先という時系列が特徴です。

実際に起きたAIヒヤリハット

• ▸AIの過信 — Agentic AIから社内情報を個人アカウントのクラウドサーバへアップロードするよう推奨されて従った例や、促されるままsudo spctl --master-disableを実行した結果、OSのセキュリティ機構を無効化していた例
• ▸権限混合 — データベースへのクエリを自動生成するAIサービスの設定を誤り、特定管理者の承認が必要な厳秘情報が全従業員からアクセス可能になっていた例
• ▸安全でない情報の取扱い — 機密画像からNotionページを作る依頼を受けたClaude Codeが、Notion MCPへ画像を渡すためにフリーのファイル共有サイトへアップロードし、URLを知っていれば誰でも見られる状態にしていた例

いずれも悪意ある攻撃者によるものではなく、通常業務の中でAIの提案に素直に従った結果として起きている点が共通していると指摘されました。

メルカリが定義した8つのリスク要因

• ▸1 — AI利用に係るガバナンス不備
• ▸2 — 危険な/脆弱なAIツールの利用
• ▸3 — 過剰な代理行為/権限問題(DWDや権限混同問題を含む)
• ▸4 — 安全でないコードの生成や実行/問題のある出力
• ▸5 — AIに渡すクレデンシャルや機密情報の漏洩
• ▸6 — 安全でない入力/プロンプトインジェクション/大量のトークン消費
• ▸7 — Agentic AIサプライチェーンのリスク
• ▸8 — シャドーAI

これらの要因が、Agentic AIの暴走・システム破壊・セキュリティ無効化・機密/認証情報の公開・財務的被害・情報漏洩事故といった「起きてはいけない結果」を引き起こす、という関係で整理され、以降の対策が要因ごとに一対一で対応づけられています。

主なガードレール実装

• ▸3層構造 — L1がAIガバナンス(体制・ポリシー・教育)、L2がAIツールの審査・選定、L3がガードレール&モニタリングという層で安全な利用環境を提供
• ▸サンドボックス化 — Claude CodeやCoworkの安全設定をMDMで全従業員に配布。managed-settings.jsonで権限確認スキップ(--dangerously-skip-permissions)を無効化し、settings.jsonでSSHキー・.envなどへのアクセスやsudo・git push --forceなどの実行を既定で禁止
• ▸接続経路の統制 — Agentic AIツールへのOktaログインを必須にし、LiteLLM経由のアクセスのみ許可。APIキー管理はLLM Key Serverに委任し、AIエージェントには有効期限の短いキーを発行
• ▸ワークフロー審査 — n8nの権限混同リスクに対し、ワークフローのJSON出力を自動検査するツールを開発して手動比で工数80%を削減。OSSとして公開
• ▸シャドーAI対策 — ブラウザ拡張のAllowlist制限、禁止アプリの動作・ドメインブロック、OAuth接続制限に加え、承認済みツールへの個人アカウント接続にはベンダー標準ではなく自社実装のOAuth Clientのみを許可して対処
• ▸教育・啓蒙 — 全従業員向けのAIセキュリティニュースレターで、ヒヤリハット事例や実際のインシデントへの行動指針を配信

考察と今後の展望

• ▸リスクの洗い出し — OWASP Agentic AI Top 10を参考に、外部攻撃者・AI利用者に加えて「AI自体の挙動」「外部接続」の視点を持つ
• ▸Secure By Default — エンジニアと非エンジニアで安全設定を分けて自由度に幅を持たせつつ、全社員共通の厳禁事項は強制する
• ▸継続監視 — ガードレール設置後もヒヤリハットは起きるため監視の継続・強化が必要。端末内のAIエージェントが乗っ取られればHuman-in-the-loopもバイパスされうるため、隔離コンテナでのサンドボックス化やスマホ承認などの追加対策を提示
• ▸AI as Identity — IdP起点でエージェントの認証・認可を一元管理するCross App Access(MCP仕様に採用、IETFで標準化)や、A2A・Agent Pay・TAPなどのAgentic Payment、KYA(Know Your Agent)といった動向に注目