a16zは2026年10月28日、「The New Security Agenda」を公開した。従業員1000人超の企業で働く最高情報セキュリティ責任者（CISO）100人を対象とした調査だ。87%が2027年のサイバーセキュリティ支出の増加を見込み、半数近くがセキュリティチームの増員を予想し、削減を見込むのは4%だけだった。予算も人員も上向いている。だがこの調査で本当に見るべきなのは、予算の伸びと実際の導入との落差だ。
議題の入れ替わり：2027年の上位7項目はすべてAI絡み
回答者が振り返る2026年の優先事項では、露出と脆弱性管理、SIEMが上位だった。2027年になると、最も多く選ばれた7項目はすべてAIに関わるものになった。内部のAIエージェントのセキュリティ、SOC自動化、攻撃的セキュリティの伸びが最も大きく、コードセキュリティ、修復、AIガバナンスが続いた。回答者の半数近くがAIコードセキュリティを2027年の上位5項目に入れており、2026年の約25%から増えた。
試行は多く、本番導入は少ない
AI SOCツールを本番で使っている企業は18%にとどまり、AIによる攻撃的セキュリティやAIによる露出・脆弱性修復を本番投入した企業は13%だ。購入計画のほうが先に進んでいる。45%が12か月以内に内部AIエージェントのセキュリティを新規購入または更新する計画で、攻撃的セキュリティが42%、AIの利用とガバナンスが38%だった。83%がより頻繁なセキュリティ態勢テストを重要だと考える一方、現在、攻撃的テストの大部分を本番資産に対して継続的に実行しているのは18%で、52%が1年以内の実現を見込む。見つける速度と直す速度は同じではない。70%が脆弱性が実際に修正されたことの再テストによる確認を求め、67%が検証済みの悪用可能性に基づく修復の優先順位付けを求め、57%が修正案や修復チケットの自動生成を求めた。
まず既存ベンダー、不足分だけ新興企業
44%の回答者がまず既存セキュリティプラットフォームの新機能を見るのに対し、AIネイティブのベンダーから探し始めるのは21%だった。47%は、既存ベンダーが解決できない能力の不足を埋める場合にのみスタートアップを選ぶと答えた。もう一方の現実は、攻撃対象面そのものだ。92%の企業が従業員向け生成AIツールをすでに本番で使い、83%がコーディングアシスタントやエージェントを使い、55%がMCPサーバーやエージェント連携を本番投入している。47%が従業員によるAIツールへの機密データ流出を最も懸念し、46%がエージェントの権限超過や侵害を懸念し、63%がセキュリティ審査によって少なくとも一部のAI導入が遅れていると答えた。
この調査を読む際は、1つ留保が必要だ。a16zは投資会社であり、記事で名前が挙がった複数の企業は同社の投資先で、数字は100人の回答者の自己申告と2026年の回想に基づくもので、業界全体の国勢調査ではない。その価値は方向性にある。セキュリティ予算をめぐる争点は、AIセキュリティツールを買うかどうかから、修正されたことを誰が証明できるかへ移っている。買い手にとって来年の選定の問いは機能の一覧ではなく、ベンダーが自社の環境で「発見、修正、再テスト」の一連の流れを回せるかどうかだ。
