2026年のAgentic AI SOC:誇大広告の裏にある検証済みの数字と、simpliSOCが実際に提供しているもの

SIEMやEDRを提供するベンダーは今年、こぞって「agentic AI SOC」というスライドを用意している。Gartnerは2025年10月にこのカテゴリーに「AI SOC Agents」という名称を与え、2026年6月には早くもSecurity Operations向けHype Cycleの「過度な期待のピーク」に位置づけた。成熟度は依然として「黎明期(Embryonic)」、市場浸透率はわずか1〜5%とされている。誰もが話題にしているのに、実際に導入している組織はほとんどいない——これがこの記事の出発点として最も正直な事実だ。

私たちはタイと日本の顧客向けに、オープンソースのSOCスタック simpliSOC(Wazuh、DFIR-IRIS、Shuffle、そして自社開発のFastAPIミドルウェア soc-integrator)を構築・運用している。私たち自身のAI機能は、今日時点では読み取り専用のトリアージ支援として提供されている——アラートを説明し暫定判定を示すが、アラートを自動的にクローズ、統合、抑制することは一切ない。本稿では、2026年時点でagentic SOCの自律性について業界のデータが実際に何を語っているかを整理し、なぜ私たちが自社のAI機能をこのようにスコープしたのかを説明する。

「agentic」が実際に意味すること、意味しないこと

Agentic SOCとは製品ではなく運用モデルである。AIエージェントがアラートをトリアージし、証拠を収集し、発見した内容に基づいて推論しながら判定を出す——あらかじめ人間が書いたプレイブックを実行するのではなく。従来型SOARツールとの本質的な違いは、アーキテクチャではなく振る舞いにある。SOARのプレイブックはトリガーが発火するたびに同じ手順を実行し、作成者が想定していなかった事態には静かに失敗する。一方エージェントはアラートを出発点となる仮説として扱い、次にどの証拠を取得するかを自ら判断し、発見に応じて結論を修正していく。

これはまさに、以前の記事Building a Tier-1 SOC Analyst Agent(英語記事)で説明したアーキテクチャそのものだ——OpenSearchのログ、DFIR-IRISのケース履歴、脅威インテリジェンスを取得するツール呼び出し型エージェントが、構造化された判定を返し、それをShuffleの決定論的ワークフローが実行に移す。プロンプトインジェクション、ツール権限のスコーピング、信頼度キャリブレーション、コスト計算といった仕組みの詳細を知りたければ、あちらが深掘り編だ。本稿では、業界全体のデータが「agentic」が実際にどこまで到達しているのか、そしてその理由について扱う。

マーケティング資料には載らない自律性の数字

このカテゴリーで最も有用なデータは、セキュリティ責任者・実務者250名を対象とした2026年の調査から得られている。すでにSOCでAIを運用しているチームのうち:

• 57% は依然としてすべての判定についてクローズ前に人間によるレビューを必須としている
• 40% はシニアアナリストによるサンプル抽出チェックに頼っている
• 低リスクの操作であっても自動実行しているのはわずか30%
• 中リスクの操作まで自動実行を拡張しているのは最も少ない13%
• AIを読み取り専用のトリアージに限定し、実行権限を一切与えていないのが13%

言い換えれば、すでに「SOCでAIを使っている」組織の半数以上が、判定権限すら委譲していない——実行権限にはさらに及んでいない。同じ調査では、平均的な組織が毎日のアラートの約28%を未調査のまま放置していることも判明した。これはagentic triageが解決しようとしている本当の問題であり、containmentの自動化とは別の論点である。

自動運転車向けのSAE J3016規格を応用した、査読を経た5段階の自律性ラダーは、ベンダーのマーケティングよりもクリーンにこの議論を整理してくれる:L0(自律性なし)、L1(AI支援による意思決定支援)、L2(人間の承認のもとでAIが行動)、L3(条件付き自律、human-in-the-loop)、L4(完全自律、人間の関与は最小限)。上記の57%/30%/13%という数字に照らせば、2026年時点で本番運用されているagentic SOCは主にL1からL2に位置しており、L3は限定的かつ事前承認された行動クラスに対してのみ登場し始めている段階だ。「AIがSOCを運営する」というL4の完全自律という売り文句は、2026年の実際の導入事例にはほぼ当てはまらない。

ベンチマーク結果は甘くない

2026年に発表された2つの独立したマルチモデルベンチマークは、LLMベースのエージェントが実際にSOCのような調査業務をどれほど遂行できるかを検証しており、いずれも顕著な失敗率を報告している。1つ目は最先端モデル23種を10のサイバーレンジで検証したもので、どのレンジにおいても完全な検出と修復を達成したモデルは存在しなかった——モデルはアラートが指し示す問題を特定することはできても、サイレントな侵入を能動的に調査したり、検証済みの修復計画を作成したりすることには苦戦していた。2つ目は最先端モデル5種を、実際の攻撃手順100件超から構成された26のキャンペーンで検証したもので、最も成績の良いモデルでも平均正解率はわずか3.8%、MITRE ATT&CKの13の戦術のうちリコール50%の基準をクリアできたのは5つのみだった。

600名近い実務者を対象とした別のSANS調査では、63%が脅威検出・対応の分野でAIに重大な欠陥があると報告しており、前年の45%から大きく上昇している。これはagenticツールが無価値だという意味ではない。「発表された」ことと「本番環境で信頼できる」ことの間のギャップが依然として大きいということであり、それ以外を主張するベンダーには、デモ環境ではなく実際のテレメトリで測定した判定一致率を見せるよう求めるべきだ。

内製か購入か:データは内製が困難であることを示している

社内でagentic triageを構築するか、購入するかを検討している場合、同じ2026年調査には示唆に富む数字がある。すでにSOCでAIを使用している組織のうち、72%が社内でAI/LLMツールをSOCワークフロー向けに構築しようと試みており、そのうち46%がその取り組みを廃止、商用製品に置き換え、あるいは本番稼働に至らなかった。データの準備状況、権限のスコーピング、レビューポリシーの設計が、モデル選択そのものよりも結果を大きく左右する。

「Agentic response」が実際に実行すること、それを統治するもの

推論エンジンにまつわるマーケティングを取り除くと、agentic SOCが実行できるアクションは短く見慣れたリストに収まる:ホストの隔離、認証情報の無効化、IPのブロック、メールの検疫、ケースのオープンまたはエスカレーション。これらの実行層はほぼ常に、従来型のSOAR構成がすでに使っていたのと同じツール群だ——ホスト隔離にはEDRのAPI、認証情報の停止にはIDプロバイダーのAPI、IPブロックにはファイアウォールのAPI。エージェントの役割は、新しい実行経路を発明することではなく、これらをいつ、そもそもトリガーすべきかを判断することにある。

だからこそ規制当局は、モデルそのものよりもその周囲の認可レイヤーに注目している。Five Eyes諸国の情報機関は2026年5月、agentic AIの慎重な導入に関する共同ガイダンスを公表し、5つのリスクカテゴリーのうち権限昇格と説明責任の不透明性の2つを指摘した——平たく言えば、エージェントIDが取れる最大限のアクションは何か、そして誰が実際にそれを決定したのかを事後に証明できるかということだ。2026年に開示された、著名なセキュリティプラットフォームの脆弱性はその明確な事例となっている。検出ルールを「作成」する権限しか持たない利用者が、登録済みエージェントに対する応答アクションを引き起こせてしまう不備があった——ルールの作成者であることが、意図せずcontainment権限の付与になっていたのだ。この脆弱性は責任ある形で開示・修正されたが、「エージェントを行動させる権限を誰が持つか」が「エージェントがうまく推論できるか」よりも難しい工学課題であることを示す明快な例である。

flowchart TD
    A["Wazuhでアラートが発火"] --> B["soc-integrator ローカルLLM"]
    B --> C["平易な言葉による説明"]
    B --> D["真陽性または偽陽性の判定"]
    C --> E["IRISのアラートノートに添付"]
    D --> E
    E --> F["アナリストがIRISでレビュー"]
    F --> G["アナリストが次のアクションを判断"]
    G --> H["任意のShuffleプレイブック"]
    H --> I["EDR ファイアウォール または IDのAPI経由での封じ込め対応"]

simpliSOCがこの曲線上のどこに、意図的に位置しているか

私たちが現在提供しているAI機能は、5月に試作し記事にまとめたツール呼び出し型のTier-1エージェントよりも狭いスコープに絞られている:ローカルLLMがOllama、llama.cpp、vLLM、LocalAIのいずれかを通じてオンプレミスで稼働し、アラートの内容が顧客のネットワークから外に出ることは一切ない。各アラートと直近の関連活動を読み取り、平易な言葉による説明と真陽性/偽陽性の判定を生成する。処理はノンブロッキングでオンデマンドに実行され、明確に読み取り専用である:アラートを自動的にクローズ、統合、抑制することは一切なく、Wazuh、DFIR-IRIS、あるいは下流のいかなるシステムに対しても実行権限を持たない。

業界自身の2026年の数字と照らし合わせれば、これは謝るべき制約ではない——実際、本番運用されている中央値がだいたいこの位置にある:L1からL2レベルの支援、すべての判定に対する人間のレビュー、自律的なcontainmentはなし。完全自律を売り物にするベンダーとの違いは、私たちに欠けている能力ではなく、その境界線がどこにあるかを曖昧にせず明示している点にある。将来soc-integratorを実行権限のある方向へ拡張する場合——たとえばエージェントの判定を受けてShuffleのプレイブックがFortiGateのIPブロックやADアカウントの無効化をトリガーするような形——それは同じように慎重な、スコープが定められ監査可能で人間の承認を必要とする段階的なロールアウトになる。エンジニアリングが追いつく前にマーケティングの主張が先行することはない。

提供済み対ロードマップ:明確な線引き

今日時点で提供済み:

• オンプレミスで稼働するローカルLLMがWazuhのアラートと関連活動を読み取り、平易な言葉による説明を生成
• 真陽性/偽陽性の判定をIRISのアラートノートに自動的に添付、または「Ask AI」ボタンでオンデマンド実行
• ノンブロッキング、ルールごとのクールダウン、LRUキャッシュ、サーキットブレーカー——AIによってアラートの作成が遅延することはない
• 自律的なアクションはゼロ:LLMはアラートをクローズ、統合、抑制することができない

未提供——ロードマップのみ:

• OpenSearch/DFIR-IRIS/脅威インテリジェンスを横断するツール呼び出し型の調査を本番ループで実行すること(Tier-1エージェントの記事で試作・記録済みだが、現在のデフォルトではない)
• AIの判定から人間の承認ステップなしに直接トリガーされる自律的なcontainmentアクション(ホスト隔離、アカウント無効化、IPブロックなど)

よくある質問

simpliSOCのAIは「agentic」ですか
この言葉が近年ますます意味するようになってきた自律的なアクションという意味では違います。1件のアラートの文脈について推論し、説明と判定を生成するもので、実行権限を持つエージェントというよりもL1レベルの意思決定支援に近いものです。

将来的に自律的なcontainmentアクションを実行できるようになりますか
技術的には可能です——Shuffleはすでにスタックに組み込まれており、判定に基づいてFortiGateのブロックやADアカウントの無効化を実行できます。私たちがまだこの経路を提供していないのは、それが説明責任のモデルを変えてしまうためです。Five Eyesのガイダンスや上述の脆弱性の例に照らせば、このレイヤーは後付けではなく、それ自体が範囲を定められ監査可能な形でロールアウトされるべきだと考えています。

既製の「agentic AI SOCプラットフォーム」を購入すればよいのでは
上記のデータと同じ評価基準を当てはめる価値があります:デモ環境ではなく自社のアラートで測定した判定一致率を提示してもらい、そのベンダーの顧客のうち何パーセントが実際にL3以上の自律性で本番運用しているかを尋ねてください。多くのミッドマーケット企業にとって、答えは売り込み文句よりもずっと限定的なものになるはずです。

日本においてこの問題がベンダーの売り込み以上に重要である理由

日本では個人情報保護法(APPI)のもとで、エージェントが読み取るログに個人データが含まれる可能性そのものが論点になる。加えてNISCが求めるインシデント対応体制や、経済安全保障推進法が特定重要インフラ事業者に課す事前審査・監督の枠組みを踏まえれば、「誰の承認のもとで何を行ったのか」を説明できないagentic SOCは、規制当局や監督官庁に対して説明しづらい存在になる。オンプレミスでローカルLLMを稼働させ、データがネットワークの外に出ない設計は、APPI上のデータガバナンスと、経済安全保障の観点から求められる基幹インフラのデータ主権の両方に応える選択でもある。2026年時点で本当に成熟しているのは、迅速で記録の残るトリアージであり、監査されない自律的なcontainmentについては、規制の厳しい市場に限らずどこであっても慎重であるべきだ。

---

Wazuhスタックを運用している方、「agentic AI SOC」を謳うベンダーの提案を評価している方、あるいは自社の環境にどの程度の自律性が本当に適しているかセカンドオピニオンが欲しい方は、Simplicoでそうした会話をしている。hello@simplico.net までご連絡を。

---

出典:

• Gartner Hype Cycle for Security Operations, 2026 — via Vectra AI’s Agentic SOC analysis
• Prophet Security / ViB: State of AI in the SOC, 2026
• SANS 2026 AI Survey
• Five Eyes: Careful Adoption of Agentic AI Services (CISA, May 2026)
• Forrester: The Autonomous SOC Is a Pipe Dream
• simpliSOC product page
• Building a Tier-1 SOC Analyst Agent — Simplico(英語記事)