インターネット上に露出している100万件以上のAIサービスをスキャンした大規模調査の結果が公表され、認証なしで外部からアクセス可能な状態のエンドポイント、誤った権限設定、脆弱なAPIキー管理など深刻なセキュリティ上の問題が広範に存在することが明らかになりました。The Hacker Newsが報じた同調査は、AIツールの急速な普及がセキュリティ対策の整備を大幅に上回っている実態を数値で示しており、企業のセキュリティ担当者（CISO）に衝撃を与えています。
AIサービスのデプロイを容易にするツールやプラットフォームが普及した結果、セキュリティ設定が不十分なまま本番環境に投入されるケースが急増しています。特に問題とされているのが、企業内でIT部門の管理外に広がる「シャドーAI」の存在です。従業員が業務効率化のために独自に導入したAIツールがAPIキーを外部に露出していたり、社内の機密データを意図せず外部サービスへ送信していたりするケースが確認されています。X上では「AIサービスがShadow ITとして企業内に無秩序に広がっている現状を示す衝撃的なデータ。CISOはすぐに自社のAIサービス棚卸しを行うべき」という実務的な警告が拡散しました。
r/netsecでは「LLMのAPIキー露出だけでなく、エージェントが接続するシステム全体のセキュリティが問われる時代になった」という議論が活発に展開されました。AIエージェントがファイルシステムやデータベース、外部サービスと連携する動きが加速する中、単体のモデルのセキュリティだけでなく、接続される全システムを含めたセキュリティアーキテクチャの見直しが急務となっています。Hacker Newsでは「AIの民主化とセキュリティの空白が同時進行している。クラウドに続いてAIも同じ過ちを繰り返そうとしている」という歴史的視点からの批判が多くの支持を集めました。
AIツールの導入スピードが落ちる気配はなく、セキュリティリスクも拡大し続けています。CISOやセキュリティ担当チームは今後、AIサービスを既存のIT資産管理（ITAM）やゼロトラストセキュリティの枠組みに取り込む対応が求められます。