AIの文章を見抜けた専門家はわずか36％　YubicoとOktaの共同調査

OktaとYubicoが共同レポートを発表

ID管理サービスを手掛けるOkta Japanは2026年10月8日、認証用セキュリティキー「YubiKey」を提供するYubicoとの共同レポート「2026 グローバル認証状況調査」を発表しました。日本を含む9カ国のテクノロジーとセキュリティの専門家約2000人を対象に、2026年7月に実施した調査に基づくものです。

企業は毎年、従業員のセキュリティ意識を高めるために時間と資金を投じています。多要素認証（MFA）を導入し、セキュリティポリシーを定め、コンプライアンス研修を義務付ける。一見、こうした取り組みは効果を上げているように見えます。しかし、この調査が示したのは、そうした前提が静かに崩れつつあるという現実です。なぜ今、認証のあり方そのものが問い直されているのか。調査結果を順に見ていきます。

調査で判明した事実

セキュリティリーダーの88％は、自社の現在のセキュリティ体制に自信があると回答しました。一方で、セキュリティ専門家の43％が依然として業務へのログインにパスワードを使っている実態も浮かびました。回答者の87％はパスキーに精通しています。知識は足りているのに、なぜ移行が進まないのかという点が、この調査の一つの焦点です。

専門家の31％は、デバイスにひも付くハードウェア保護型のパスキーを最も安全な資格情報と認識しています。それでも回答者の半数以上に当たる52％は、入社時にユーザー名とパスワードを受け取っていました。76％の組織では社内アプリケーション間で認証方法が分断され、45％はそれらのシステム全体でユーザー名とパスワードを使っています。

報告書は、安全とはいえない初期設定と絶え間ないセキュリティ通知の組み合わせが「認証疲労」を引き起こすと分析しています。人は自然と最も簡単な手段を選ぶため、優れた研修を実施しても行動は変わりにくいという指摘です。過去1年間で回答者の70％は組織へのフィッシングが増えたと答えました。44％は自社が少なくとも1回、AI主導の攻撃による被害を受けたと報告し、43％は経営陣や顧客を標的とした不審な動画や音声、電話によるなりすましを経験しています。

OktaとYubicoが実施したテストでは、専門家に人間が書いたメッセージとAIが生成したメッセージの判別を求めました。人間のメッセージを正しく特定できたのは36％でした。従業員の警戒心を防御の要とする「ヒューマンファイアウォール」の考え方が、AIに対しては通用しなくなっていることを示す結果です。

AIエージェントについては、91％がアイデンティティー検証が欠かせないと答え、57％が「極めて重要」と回答しました。現場では、日常的なスケジュール管理（35％）や社内コミュニケーションの下書き作成（35％）といったタスクをAIエージェントに委ねる動きが進んでいます。AIエージェントに顧客とのやりとりを任せることに抵抗がないと答えた割合は、Z世代の専門家で68％、ベビーブーマー世代で27％でした。回答者の91％は、AIエージェントが権限昇格や金融取引の実行といったリスクの大きい操作を行う前に、人間が承認に介在する「ヒューマンインザループ」の維持を求めています。

今回の公表で判明していること

報告書は、従業員への教育に依存した防御から、初期設定の段階で安全な認証を確保する「構造的な強制」への移行を求めています。研修で意識を高めるだけでは限界があり、入社初日に何を手渡すかという設計そのものを見直す必要があるという考え方です。

また、パスキーに代表されるフィッシング耐性認証に基づき、ログイン前、ログイン中、ログイン後の3つのフェーズでアクセスを保護するアイデンティティーフレームワークを提示しています。認証アーキテクチャの最新化は、AIエージェントを統制する準備にもなると位置付けられています。ただしAIエージェントの導入ペースは、統制の整備を上回っているということです。

自組織の認証体制を見直す際の出発点として、報告書が示唆するのは、入社初日に新しい従業員へ何を手渡しているかを確かめることです。日々のログインの摩擦がどこに残っているかを把握することが、研修の前に確認すべき論点となります。