AIエージェントがネットを動かす日――Cloudflareが示した通信の転換点と新たな安全対策

AIエージェント通信が示す「ネットの主役交代」

Cloudflareのアジア太平洋地域（APAC）部門の幹部は、インターネットが大きな転換点を迎えているとの見方を示しました。AIエージェントが生成する通信は前年から1,700％以上増加し、Cloudflareのネットワーク通信の約60％に達したといいます。6

従来のウェブは、人間がブラウザーを操作し、ページを読み、フォームを送信する活動を中心に成り立っていました。これに対してAIエージェントは、目的を与えられると自らウェブを巡回し、外部ツールを呼び出し、情報を取得し、場合によっては企業システム上で処理を実行します。Cloudflareは、この変化を「人間が主導するインターネット」から「自律的なソフトウェアが動かすインターネット」への移行として捉えています。

Cloudflareの別の分析でも、2026年にはインターネット通信の過半が非人間トラフィックになったとされています。13 ただし、ここでいう非人間トラフィックにはAIエージェントだけでなく、クローラーなども含まれます。AIエージェントの急増は、その中でも特に企業活動やウェブ利用の構造を変えうる要素です。

AIエージェントで広がる新しい攻撃面

AIエージェントは、単に回答を生成するチャットボットとは異なります。ツールやデータソース、社内サービスに接続され、指示に沿って行動できる点が大きな違いです。そのため、従来の「入力した文章が危険かどうか」だけでは、リスクを捉えきれません。

想定される問題には、次のようなものがあります。

• プロンプトインジェクション：ウェブページやツールの説明に埋め込まれた悪意ある指示によって、エージェントの判断を誘導する。
• 過剰な権限による意図しない操作：必要以上の権限を持つエージェントが、データ変更や外部送信などを実行してしまう。
• 認証情報の悪用：エージェントに与えられたトークンや資格情報が、攻撃者や不正なツールに利用される。
• データの持ち出し：社内文書、顧客情報、個人情報などが、許可されていないAIサービスへ送信される。

特に注意が必要なのが、**シャドーAI（Shadow AI）**です。これは、従業員が会社の承認を受けていない生成AIサービスを業務で利用する状態を指します。本人に悪意がなくても、機密情報や個人情報をプロンプトに貼り付ければ、組織が管理できない外部サービスへデータが流出する可能性があります。

さらに、AIエージェントとツールをつなぐMCP（Model Context Protocol）の無許可接続も問題になります。承認されていないMCPサーバーへの接続、いわゆるShadow MCPは、エージェントとツール、データの間に管理外の経路を作ります。その結果、認証、権限管理、ログ取得、セキュリティ審査といった既存の統制を迂回するおそれがあります。

Cloudflareが推奨する3段階の統制

Cloudflareの考え方は、AIエージェントを一律に禁止することではありません。利用実態を把握し、データと接続経路を管理しながら、承認済みの使い方へ誘導することです。

1. 社内のAI利用とShadow MCPを見つける

まず必要なのは、会社が「許可したはずのAI」だけを見るのではなく、実際に従業員やエージェントが何を使っているかを把握することです。Cloudflare Gatewayは、プロトコルレベルのヒューリスティックを使ってMCP通信を識別し、管理者がShadow MCPの利用を発見できるようにしています。11

2. 機密情報を含むプロンプトを送信前に止める

次に、AIサービスへ送られるプロンプトや応答に対して、DLP（データ損失防止）に近いポリシーを適用します。顧客情報、社内機密、個人情報などのパターンを検知し、送信をブロックしたり、利用者に理由を通知したりする仕組みです。

3. MCPサーバーをポータル経由のゼロトラスト接続に限定する

承認済みのMCPサーバーには、誰でも直接接続できる状態を残さないことが重要です。Cloudflareは、MCP Server Portalsを通じて接続を一元管理し、利用者やエージェントの身元を確認したうえで、必要最小限の権限だけを与えるゼロトラスト方式を推奨しています。管理対象のネットワーク経路からMCPサーバーへの直接接続を遮断することで、ポータルを迂回するShadow MCPも抑止できます。11

「Q Day」はいつか――量子耐性への移行を前倒し

「Q Day」とは、暗号学的に実用的な量子コンピューターが登場し、RSAや楕円曲線暗号など、現在広く使われている公開鍵暗号を破れるようになる時点を指します。特に警戒されているのが、現在盗み取った暗号化データを保存しておき、将来復号する「Harvest now, decrypt later（今収集し、後で復号）」攻撃です。

Cloudflareは、製品群全体で2029年までに完全なポスト量子安全性を実現する目標を掲げています。 APACでの議論では、量子計算による実際の脅威が2030年ごろに到来する可能性も意識されており、正確なQ Dayを待ってから移行を始めるのでは遅い、というのが実務上のメッセージです。6

暗号化だけでなく、通信相手が正規の相手であることを証明する認証も重要です。Cloudflareは、Authenticated Origin PullsとCustom Origin Trust Storeを利用したオリジンサーバー接続向けのポスト量子認証をサポートし始めました。これは、同社の製品全体に量子耐性認証を広げるための第一歩と位置づけられています。

Kitesurfは「エージェントが動くウェブ」の実行基盤

こうしたセキュリティ対策と並行して、CloudflareはAIエージェントがウェブを効率よく操作するための基盤も整えています。その象徴が、Browser Runで無料ベータ提供を開始したKitesurfです。12

Kitesurfは、人間向けの一般的なブラウザーをそのまま軽量化したものではありません。Workers上で動作するステートレスなブラウザーとして、AIエージェントによるスクリーンショット取得やHTML抽出など、プログラムから実行する処理に焦点を当てています。12

人間が使うブラウザーに必要なタブ、拡張機能、テーマ、画素単位の表示、毎秒60フレームのスクロールといった機能の多くを前提にしないことで、一般的なエージェント処理ではChromiumに比べてCPUとメモリの使用量を3～7分の1に抑えられるとCloudflareは説明しています。24

WorkersのV8アイソレート上で動作する設計は、エージェントのセッションを大規模に展開しやすくするだけでなく、Cloudflareが提供する認証、ネットワークポリシー、可視化・監視の仕組みとも組み合わせやすい構成です。78

防御だけでなく、エージェント時代そのものを作る

Cloudflareの動きは、AIエージェントを「新しいボット」として遮断するだけの戦略ではありません。通信の急増を前提に、エージェントがウェブ上で行動するためのブラウザーを提供し、その一方で、利用状況の発見、機密データの制御、MCP接続のゼロトラスト化、量子耐性暗号への移行を進めています。

つまり同社が描くのは、AIエージェントを効率よく動かせる「エージェント・インターネット」と、それを企業が監督可能な状態に保つセキュリティ層を同時に構築する構想です。人間のクリックがウェブの中心だった時代から、自律ソフトウェアが読み、判断し、実行する時代へ。Cloudflareの1,700％超という数字とKitesurfの登場は、その変化が実験段階を越え、インフラの設計そのものを変え始めたことを示しています。