AIエージェントSOCの時代――アナリストを「置き換える」のではなく「増強する」

迎健太

Gartnerが定義した「AI SOC Agents」という新カテゴリ。海外の巨額投資と一次情報から、AI化の本質が人員削減ではない理由を読み解く。

「セキュリティ運用のAI化が進めば、SOCアナリストの仕事はなくなるのではないか」。この懸念は、経営層からも現場からもよく聞かれます。一部の業界メディアでは「AIエージェントがTier-1アナリストを置き換える」という論調も見られ、セキュリティ投資の意思決定を「人員削減の手段」として捉える向きさえあります。

しかし、業界の一次情報を丹念に追うと、実態はまったく逆の構図が見えてきます。AIが引き受けているのは、人間のアナリストがこれまで疲弊し続けてきた機械的な一次調査・トリアージの領域であり、最終判断と説明責任は依然として――むしろこれまで以上に――人間の仕事として残る。本稿では、この「Human-led, AI-driven」への構造転換を、公開データと海外事例をもとに整理します。

SOCの現実:人が擦り減る構造は限界に来ている

まず出発点として認識すべきは、従来型SOC運用がすでに持続可能性を失いつつあるという事実です。

セキュリティ自動化企業Tinesの調査「Voice of the SOC Analyst」(2025年版)によれば、SOCアナリストの71%が燃え尽き(バーンアウト)を経験し、64%が転職を検討していると回答しています。またSANS Instituteの報告では、組織の62%が人材定着に課題を抱え、SOC職の採用には平均7か月、リーダーの15%は「2年以上かかる」と回答しています。

つまり問題は「AIが人の仕事を奪うか」ではありません。大量のアラートを24時間365日さばき続ける仕事に、人間が耐えられなくなっていることこそが問題です。誤検知の山を一件ずつ開き、ログを突き合わせ、大半を「異常なし」でクローズする――この反復作業が優秀な人材を消耗させ、採用しても定着しない悪循環を生んでいます。AI化の議論は、この構造的な行き詰まりへの応答として理解する必要があります。

業界はどう動いているか:Gartnerの定義と巨額投資

この文脈で登場したのが「AI SOC Agents」という製品カテゴリです。

Gartnerは2025年10月のレポート「Innovation Insight: AI SOC Agents」(Eric Ahlm、Jeremy D'Hoinne両氏、25社超のベンダーを分析)で、AI SOC Agentsを「アラートトリアージ、アラートエンリッチメント、ガイド付き調査、タイムライン再構成、攻撃経路マッピング、経営層・監査向けインシデント要約といった一般的なSOCワークフローを、アナリストが実行するのを支援するAIソフトウェア」と定義しました。注目すべきは、主要ユースケースに"operational oversight"、すなわち人間による運用監督そのものが含まれている点です。定義の段階から、人間の関与を前提としたカテゴリなのです。

市場の動きも急です。agentic AI(自律型AIエージェント)スタートアップへの投資は2026年1〜4月だけで26.6億ドル・44件に達し、前年同期比140%超の増加となりました。個別の事例を見ると、Cybereason創業者らが設立した7AI社は2025年12月、Index Ventures主導で1億3,000万ドルのシリーズA調達(サイバーセキュリティ史上最大級)を実施。同社の発表によれば、60以上の自律AIエージェントにより「誤検知95〜99%削減」「Tier-1対応時間80%削減」を実現するとしています。またDropzone AI社(2025年7月にシリーズBで3,700万ドル調達)の事例では、アラート調査時間を25分から3〜10分に短縮し、Tier-1チケットの90%を自律的にクローズしたと報告されています。

ここで見逃せないのは、これら先行ベンダー自身の思想です。7AI社は自らの製品哲学を「AIエージェントは人間を置き換えるのではなく、増強する」と明言しています。最も先鋭的にAI化を進めるプレイヤーほど、「置き換え」ではなく「増強」を掲げている――これは偶然ではありません。

「では人を減らせるのか」への率直な回答

読者の中には「結局それはベンダーの営業トークで、経営的な本音は人員削減ではないか」と考える方もいるでしょう。この疑問には正面から答える必要があります。

第一に、AIは判断(judgment)を代替しません。Intezer、BlueVoyant、Pantherといった複数ベンダーの技術解説が一致して指摘するのがこの点です。エンドポイントの消去、アカウントの無効化、重大インシデントの経営層へのエスカレーション――こうした「結果が重い」アクションは、誤った場合の事業影響が大きく、ヒューマン・イン・ザ・ループ(人間による承認)を外すべきではありません。AIが高速に集めた証拠をもとに、最後に引き金を引くのは人間です。

第二に、説明責任の問題があります。AIの推論過程がブラックボックスのままでは、監査対応やコンプライアンス報告で「なぜこのアラートを閉じたのか」「なぜこの対応を選んだのか」を説明できません。だからこそGartnerの定義にも「経営層・監査向けインシデント要約」や「oversight」が含まれているのです。AIの調査結果を検証し、組織の文脈に翻訳し、経営と監査に説明する仕事は、AI導入後にむしろ重要性を増します。

第三に、数値の扱いには注意が必要です。MTTR(平均対応時間)60%削減といった数字や、75〜90時間の対応が18〜25時間になったという事例報告も存在しますが、これらは主にベンダー発表値であり、環境・条件によるばらつきが大きい点は割り引いて読むべきです。導入判断では「自社のアラート特性で同じ効果が出るか」を検証する姿勢が欠かせません。

役割分担の再設計:探索はAI、判断は人間

以上を踏まえると、AI SOC Agentsの本質は「自動化ツールの延長」ではなく、SOCにおける役割分担の再設計だと言えます。

AIが担う領域:一次調査、アラートのエンリッチメント(脅威情報や資産情報の突合)、仮説検証のための証拠収集、タイムライン再構成。高速・大量・反復の処理であり、人間が最も疲弊してきた領域です。
人間が担う領域:最終判断、対応の戦略的優先順位づけ、重大対応の承認、監査・経営層へのコミュニケーション。組織の文脈理解と説明責任が伴う領域です。

これが「Human-led, AI-driven」というハイブリッド運用モデルです。アナリストのキャリアの観点でも、チケット処理係から「AIの調査結果を検証し、判断し、組織を動かす」上位レイヤーの仕事へのシフトを意味します。人材が定着しない業界構造への、現実的な処方箋でもあります。

ヤグラのアプローチ

ヤグラのAI SOCも、この「Human-led, AI-driven」を設計思想の中心に置いています。

ヤグラは自社でSIEM(データレイク基盤)を保有しており、その上でAIエージェントがアラートの一次調査を自動実行します。検知から証拠収集・関連ログの突合・調査サマリー生成までを10分程度で完了させ、アナリストは「調査済みの材料に基づく判断」から仕事を始められます。封じ込めが必要と判断された場合には、各種製品のAPIを横断して秒単位でアカウント停止やエンドポイント隔離を実行できますが、結果の重いアクションには人間の承認を挟む設計です。さらに、アナリストの判断結果をフィードバックとして継続学習させることで、環境固有の誤検知傾向に調査精度を適応させていきます。

前述の海外ベンダーの数値はあくまで各社の発表に基づく他社事例ですが、方向性は共通しています。AIに任せるべきは探索と証拠収集、人間が握るべきは判断と説明責任。この線引きを崩さないことが、成果と統制を両立させる鍵だと私たちは考えています。

結論:問うべきは「人を減らせるか」ではない

AIエージェントSOCの時代に問うべきは、「何人減らせるか」ではなく「限られたセキュリティ人材の時間を、どの仕事に振り向けるか」です。

燃え尽きの主因だった反復作業をAIに委ね、人間は判断・戦略・説明という本来の専門性が生きる領域に集中する。これは人員削減の物語ではなく、持続不可能だったSOC運用を持続可能にする構造転換の物語です。Gartnerがカテゴリ定義に「oversight」を含めたことが象徴するように、AI SOCの完成形には最初から人間が組み込まれています。

自社のSOC・セキュリティ運用体制を見直す際は、「AIで何を自動化するか」と同時に、「人間の判断をどこに残し、どう説明可能にするか」をセットで設計することをお勧めします。その設計こそが、AI時代のセキュリティ運用の成否を分けるはずです。