一つの巨大AIモデルか、多数のエージェントか:セキュリティの視点

企業のAIでは、限られたアクセス権でそれぞれ一つの仕事をこなす複数の小さなエージェントの方が、すべてにつながった一つの大規模モデルより安全で安価になりうる。その利点は自動的には得られない。各エージェントに必要最小限のデータと権限だけを与えることで生まれ、統治すべき部品も増える。

本稿は、AIのアーキテクチャを選ぶリーダーに向けたものだ。AIを権限の限られたエージェントに分けることのセキュリティとコスト面の利点、反対論、そしてどちらの方式をどう統治するかを示す。

単一モデルと多数のエージェントの違いは何か?

単一モデルの構成では、一つの汎用モデルがすべての要求に答え、必要になりうるあらゆるデータソースとツールにつながっている。マルチエージェントの構成では、請求書の読み取り、サプライヤーの確認、返信の下書きなど、別々のエージェントが別々のタスクを担い、仕事を受け渡す。AutoGenのようなオープンソースのフレームワークは、互いに対話するエージェントでアプリケーションを作るために作られた。

企業にとっての問いは、どちらが先進的かではなく、問題が起きたときにどちらが被害を抑えられるかである。

マルチエージェントシステムはより安全か?

主な理由は一つ、被害範囲(ブラスト半径)にある。過剰なエージェンシーに関するOWASPのガイダンスは、誤導されたAIによる被害の根本原因を、過剰な機能、過剰な権限、過剰な自律性の三つとしている。すべてのシステムにつながった単一モデルはその三つを備えている。請求書を読むことしかできず、メール送信も送金もできないエージェントなら、悪用されうることははるかに少ない。

これが重要なのは、AIシステムへの主要な攻撃が指示を送り込むことだからだ。OWASPはプロンプトインジェクションを大規模言語モデルを使うアプリケーションのリスクの筆頭に挙げ、IBMの「データ侵害のコストに関する調査 2026」は、組織のAIを狙ったプロンプトインジェクションのインシデントによる平均損失が589万ドルだったとしている。注入された指示が狭い権限しか持たないエージェントに届いても、できることは少ない。

同じOWASPの項目は反対側にも注意を促す。マルチエージェントシステムでは、侵害された仲間のエージェント自体が攻撃経路になる。確認なしに互いを信頼するエージェントは、問題を封じ込めるどころか広げてしまう。

多数の小さなモデルを使う方が安いか?

多くの場合そうだ。要求の多くは単純で、最大のモデルを必要としない。FrugalGPTの研究は、各クエリをうまく答えられそうな最も安いモデルに送り、必要なときだけ上位のモデルに回す方法を試した。検証したタスクでは、最良の単一モデルと同等の性能を最大98%低いコストで達成した。

節約の度合いは仕事の内容による。ほとんどの要求に深い推論が必要なシステムでは、効果は小さくなる。

マルチエージェント化のリスクは何か?

• 複雑さ。 エージェントが増えれば、接続、認証情報、設定ミスの起こりうる箇所も増える。
• 過熱。 Gartnerは、エージェント型AIプロジェクトの40%超が2027年末までに中止されると予測し、既存のチャットボットや自動化をエージェントと呼び替える「エージェント・ウォッシング」に警鐘を鳴らしている。エージェント型AIを名乗る数千社のベンダーのうち、本物は約130社にすぎないと推定する。
• 説明責任。 一連のエージェントが判断を下しても、どの人間が責任を負うのかは明確でなければならない。

シャドーAIへの対策にどう役立つか?

承認の有無にかかわらず、従業員はAIを使っている。マイクロソフトとLinkedInの「Work Trend Index 2024」は、ナレッジワーカーの75%が職場でAIを使い、そのうち78%が自分のツールを持ち込んでいるとした。分析: よくある業務向けに承認済みで範囲の明確なエージェントのカタログを用意すれば、承認されていないツールよりよい選択肢を提供でき、禁止よりも擁護しやすい。

AIエージェントをどう統治するか?

NISTのAIリスク管理フレームワークは、システム全体だけでなく個々のエージェントにも当てはまる。

1. Govern: 各エージェントに責任者と文書化された目的を定める。
2. Map: 各エージェントが届くデータとツール、そして誤導された場合に何が起きるかを記録する。
3. Measure: リリース前と変更後に、各エージェントのプロンプトインジェクションとデータ漏えいをテストする。
4. Manage: 最小限のアクセスを与え、お金、データ、メッセージを社外に出す操作には人間の承認を求め、ログを残す。
5. 小さく始める。 価値が明確な所にだけエージェントを作り、元が取れないものは廃止する。

これらの手順を省いた場合の代償についてはAIガバナンスを削ると本当に節約になるのかを、個人のコンピューター上のエージェントのリスクについてはローカルAIエージェント:プライベートだが安全かを参照。

よくある質問

マルチエージェントAIシステムは単一の大規模モデルより安全か?

各エージェントがタスクに必要なデータとツールだけを持つなら安全になりうる。一つのエージェントへの攻撃が成功しても、届く範囲が小さくなるからだ。ただし初めから安全なわけではない。エージェントが増えれば、守るべき接続と管理すべき権限も増える。

小さなモデルは本当に安いのか?

多くの場合そうだ。FrugalGPTの研究は、各クエリを答えられる最も安いモデルに回すことで、検証したタスクにおいて最良の単一モデルと同等の性能を最大98%低いコストで達成できることを示した。

シャドーAIとは何か?

シャドーAIとは、雇用主が承認していないAIツールを従業員が使うことである。マイクロソフトとLinkedInは2024年、職場でAIを使う人の78%が自分のツールを持ち込んでいるとした。

どの企業も今すぐAIエージェントを作るべきか?

いいえ。Gartnerは、コスト、不明確な価値、弱いリスク管理のため、エージェント型AIプロジェクトの40%超が2027年末までに中止されると予測している。エージェントが明確に価値を生む所から始めるべきだ。

参考文献

1. OWASP (2025), LLM06:2025 Excessive Agency — 過剰な機能、権限、自律性が根本原因;マルチエージェントシステムで侵害された仲間のエージェントも対象。
2. OWASP (2025), LLM01:2025 Prompt Injection — Webサイトやファイルを通じた間接的な注入を含むプロンプトインジェクション。
3. NIST (2023), Artificial Intelligence Risk Management Framework (AI RMF 1.0) — Govern、Map、Measure、Manageの各機能。
4. Wu et al. (2023), AutoGen: Enabling Next-Gen LLM Applications via Multi-Agent Conversation — 互いに会話する複数のエージェントでアプリケーションを構築するためのオープンソースのフレームワーク。
5. Chen, Zaharia and Zou (2023), FrugalGPT: How to Use Large Language Models While Reducing Cost and Improving Performance — 報告された実験では、モデルのカスケードが最大98%のコスト削減で最良の単一モデルと同等の性能を達成した。
6. Microsoft and LinkedIn (2024), AI at Work Is Here. Now Comes the Hard Part (Work Trend Index) — ナレッジワーカーの75%が職場でAIを使用;AI利用者の78%が自分のAIツールを持ち込む。
7. Gartner (2025), Gartner Predicts Over 40% of Agentic AI Projects Will Be Canceled by End of 2027 — 中止の予測と「エージェント・ウォッシング」;Gartnerは数千社のエージェント型AIベンダーのうち本物は約130社と推定。
8. IBM (2026), AI-powered adversaries and the enterprise risk challenge (Cost of a Data Breach Report 2026) — プロンプトインジェクションのインシデントによる平均損失は589万ドル。