AIエージェントが当たり前のように自律動作する「エージェント時代」に突入した今、インターネット上のセキュリティのあり方が根本から問い直されている。Googleは2026年4月のGoogle Cloud Nextにおいて、reCAPTCHAの次世代プラットフォームとして「Google Cloud Fraud Defense」を発表した。ボットによる自動操作対策だけにとどまらず、AIエージェントのトラフィック管理・分類・制御を一元化する、大きな方向転換だ。

AIエージェントの台頭が生んだ新たな穴

これまでWebセキュリティの主要な脅威は、悪意ある「ボット」が人間を装って攻撃してくるものだった。reCAPTCHAはまさにその文脈——人間とボットを区別するための技術として長年機能してきた。

しかし状況が変わった。EC決済、問い合わせフォーム、アカウント操作を「AIエージェント」が代行するシナリオが急増している。エージェントは「人間でもなく、従来のボットでもない」第3の存在として登場し、既存のセキュリティモデルに空白地帯を生んでいる。悪意あるエージェントによるAI駆動の合成IDフロード、大規模なアカウント乗っ取りといった脅威が現実のものとなりつつあり、「これは何者か？」を動的に判別する新しい仕組みが必要になってきた。

Google Cloud Fraud Defenseの主な機能

エージェントアクティビティの可視化

新ダッシュボードにより、サイトへのアクセスがどの種類のトラフィックか（通常ユーザー・ボット・AIエージェント）を分類・分析できる。業界標準「Web Bot Auth」や「SPIFFE」といったアイデンティティ仕様と統合し、エージェントと人間のアイデンティティをリンクして信頼度・リスクスコアを算出する設計だ。

エージェントポリシーエンジン

リスクスコア・自動化の種類・エージェントのアイデンティティなど複数の条件に基づいて、特定エージェントの通過・遮断をきめ細かく制御できる。カスタマージャーニー全体の各ステージで判断を挿し込める点が、従来のシングルポイント型チェックと大きく異なる。

AI耐性チャレンジ（QRコード認証）

怪しいエージェントアクティビティを検知した際、人間の介在を要求するQRコードベースのチャレンジを発行する。既存のテキスト・画像チャレンジはAIに突破されやすくなっているため、このQRコード方式は「AIに攻撃を経済的に割に合わなくさせる」設計を意識したものだ。

既存reCAPTCHAユーザーへの影響はゼロ

reCAPTCHAはFraud Defenseの「ボット対策コア」として引き続き機能し続ける。既存のreCAPTCHAユーザーは自動的にFraud Defenseの利用者に移行済みとなり、追加設定・移行作業・料金変更は一切ない。

実務への影響——日本のエンジニア・IT管理者へ

国内でもEC・金融・SaaS系サービスでreCAPTCHAを導入済みの組織は多い。今回の変更は追加作業ゼロで新機能へアクセスできるため、まずダッシュボードを確認してエージェントトラフィックの実態を把握するところから始めたい。

特に以下のシナリオでは早期対応の検討価値がある：

  • ECサイト・予約システム: AIエージェントによる在庫先読みや大量購入リスクへの対策
  • APIエンドポイントを外部公開している企業: エージェントによる過剰アクセスの可視化・制御
  • SaaS/BtoBプラットフォーム: パートナー企業のエージェントに「信頼できる身分証明」を発行するアーキテクチャの検討

SPIFFEなどのアイデンティティ標準の採用状況を今のうちに確認しておくと、将来的なエージェント間信頼モデルの構築がスムーズになる。

筆者の見解

エージェントの台頭によってNHI（Non-Human Identity）の管理がセキュリティの核心になりつつあるというのは、ここ数年で最も重要なパラダイムシフトの一つだと感じている。

人間の代わりにAIエージェントが業務を実行する世界では、「そのエージェントは誰の指示で動いているのか」「本当に信頼できるエージェントなのか」という問いに、システム側が自動的に答えられなければならない。これはちょうど特権アクセス管理（PAM）の世界でJust-In-Time（JIT）アクセスが重要視されるのと同じ文脈だ。常時アクセス権を付与したまま放置するのではなく、エージェントの行動ごとに動的に信頼を評価・制御する——その思想がWebセキュリティ全体に波及してきた。

「エージェントを信頼する仕組みが整うまで業務自動化は進められない」という現場の声はよく聞く。NHI管理の整備こそが、結果として人間の業務ボトルネックを解消する鍵になる。業界全体として、エージェントのアイデンティティ・意図・権限を標準化する動きがさらに加速することを期待している。あらゆるプラットフォームがこの課題と正面から向き合うべき時が来た。

出典: この記事は Google Cloud fraud defense, the next evolution of reCAPTCHA の内容をもとに、筆者の見解を加えて独自に執筆したものです。