2026年10月22日、米国サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）はカナダ・サイバーセキュリティセンターおよび同盟機関と共同で、共同ガイダンス「Managing AI Token Consumption for Operational Resilience（AIトークン消費の管理による運用レジリエンス）」を発表した。同週、JPモルガン・チェース、シティグループ、バンク・オブ・アメリカ、チャールズ・シュワブはいずれも、認可されていない第三者のAIエージェントは顧客口座へのログインや資金移動を行ってはならないと明言した。二つの動きは同じコンプライアンスの現実を示している——AIの「従量課金」と「代理実行」は、企業が管理しなければならないリスクになりつつある。
ガイダンスの内容：新型攻撃と3層の優先度モデル
ガイダンスはカナダ・サイバーセキュリティセンターのウェブサイトに掲載され（文書番号ITSM.00.125）、第三者の「超知能」サービスを利用する組織、特に重要インフラの運営者とサイバー防御者を対象とする。指摘されたリスクの中で特に注目すべきは、二つの新型攻撃である。デナイアル・オブ・トークン（denial-of-tokens）とデナイアル・オブ・ウォレット（denial-of-wallet）攻撃だ。
「デナイアル・オブ・ウォレット」が狙うのはシステムではなく請求書である。攻撃者はAIの従量課金モデルを悪用し、過度に複雑な入力やAIの自己ループ（出力を再び入力に戻す）などの手法で、被害組織のトークン割当や予算を悪意を持って消費し尽くす。割当が尽きれば、正規の業務も停止する。
ガバナンスの枠組みは「3層モデル」である。第1層「ミッションクリティカル」（サイバー防御、インシデント対応、脅威インテリジェンス）が最優先。第2層「オペレーショナル」（コンプライアンス活動、政策分析）は継続的に監視し、コストを管理する。第3層「プロダクティビティ」（メール作成、会議要約）は需要ピーク時に制限できる。付随する施策として、プロンプトの簡素化、キャッシュの再利用、タスクに応じたモデル選定（小さなタスクには小さなモデルやローカルモデル）、部門横断のAIガバナンスチームの設置、トークンテレメトリのセキュリティオペレーションセンターへの統合、そしてAIエージェントの自律稼働を許可する前のリスク評価が挙げられている。
同週、銀行が先に動いた：AIエージェントの資金移動を封鎖
10月14日、JPモルガンのジェイミー・ダイモンCEOは決算説明会で、「制御不能なエージェント」を防ぐため、外部のAIエージェントを顧客口座に入れないと表明した。続いてフィナンシャル・タイムズは、シティグループが第三者のAIエージェントやアシスタントによる顧客口座へのログインやデジタルバンキングプラットフォーム上での直接取引を禁じていると報道。バンク・オブ・アメリカのブライアン・モイニハンCEOはCNBCのインタビューで、口座から資金が出る際は「ヒューマン・イン・ザ・ループ」の承認が必須だとし、「AIが承認した支払いの責任は誰が負うのか」を銀行として整理中だと述べた。
チャールズ・シュワブのリック・ワースターCEOは、認可されていないエージェントを毎週数十件ブロックしていると明かした。10月22日にはロイターがAxiosの報道を引用し、複数の銀行が顧客口座内に潜む認可されていない第三者のAIエージェントを発見・除去しており、中には利用者が求めていない操作を試みたものもあったと伝えた。4社の方針に共通するのは、残高照会などの読み取り専用機能は残し、資金移動は認めないという点だ。
二つをつなげて見る：影響を受けるのは誰か、何をすべきか
二つの動きは同じ論理の両端である。ガイダンスが「AIの支出」を管理し、銀行が「AIによる資金移動」を管理する。影響が大きいのは主に三つ——中核業務を第三者の大規模言語モデルAPI上で動かすチーム、AIエージェントが顧客資金や機微データに触れる金融・ECの現場、重要インフラの運営者だ。
実行可能な対応はガイダンスのチェックリストに沿う。AI利用を層別化し、重要機能の割当を別枠で確保する。エージェントの権限境界を引き、読み取り専用と資金移動で承認経路を分け、資金移動には人の確認を残す。トークン消費をセキュリティ監視に組み込み、異常な急増は「データ流出の疑い」と同等に扱う。ベンダー契約には割当、スロットリング、サービス低下時の保証を明記する。銀行の「読み取りは残し、資金移動は封鎖」は格好の参照例だ——エージェントを使うなという話ではなく、エージェントに自分のパスワードで署名させないという話である。
適用範囲：これは米国のルールであり、世界共通ではない
適用範囲ははっきりさせておく必要がある。CISAガイダンスは米国の連邦機関がカナダ、オーストラリア、英国、ニュージーランドなどの同盟国のサイバー機関と共同で出したもので、対象はこれらの国の組織、特に重要インフラであり、世界共通の強制基準ではない。4行の封鎖措置も各社の企業方針であり、自社の顧客口座にのみ適用される。
中国企業が直接参考にできるのは方法論である。従量課金下でのコストガバナンス、エージェント権限の最小権限、資金移動操作における人の承認だ。先日金融安定理事会が確定させた金融AIの実務指針——高リスクのエージェントが行動する前に人の承認を必須とする (/zh/article/2643-fsb-jin-rong-ai-1-2-xiang-zuo-fa-ding-gao-gao-feng-xian-zhi-neng-ti-dong-shou-qi)——も同じ流れにある。ただし「AIが承認した支払いの責任は誰が負うのか」は米国の銀行自身も整理できておらず、中国にもそのまま使える答えはない。関連する契約や社内規程は前もって整備しておく必要がある。米国の規制動向を世界共通ルールとして当てはめるのは、コンプライアンスにおける最もありがちな誤読である。
