本文へ移動
ai-news-digai-news-dig.com
最新
特集エージェント・仕事の道具

AI エージェントに仕事を任せるときの守り、各社の仕組みの一覧　パスワードを見せない・大事な操作の前に人が承認する・外から見張って止める

カテゴリ共通のイメージ画像

AI エージェントに、ログイン・送信・支払い・データベースの操作まで任せる製品が相次いでいる。各社が出した守りの仕組みを、パスワードの扱い・人の承認・権限の絞り方・見張りと停止・本番との切り離しに分けて、会社ごとに表にした。

  • 2026年9月25日から11月4日までに、AI エージェントにログイン・送信・支払い・データベースの操作を任せる製品と、その守りの仕組みの発表が続いた。下の表は、各社の公式の発表に書かれた仕組みだけをまとめた
  • 守り方は大きく5つ。パスワードをエージェントに見せない、大事な操作の前に人が承認する、権限と回数を絞る、外から見張って止める、本番のシステムと切り離す
  • エージェントを受け入れるサイトの側でも、Cloudflare が、来ているエージェントを見分けてエージェントごとに許可・ブロックを選べる設定を出した（11月4日）
  • どの守りも、まだ初期の段階のものが多い。1Password は守りの仕組みが連携ごとに違うとしていて、OpenAI は dots が間違えることもあるので結果の大きい仕事は必ず見直すよう求めている

1. 守り方の5つの型

型 防ぎたいこと 出している会社
パスワードを見せない エージェントがパスワードを覚えたり、頼んだ仕事の外で使ったりする 1Password、OpenAI、Anthropic、Cloudflare（WebMCP）
大事な操作の前に人が承認する 送信・支払い・署名・削除・データの書き換えを、頼んでいないのに行う OpenAI、Anthropic、SpaceXSI、Cloudflare（WebMCP）
権限と回数を絞る 1人の権限を超えた操作や、意図しない変更が一度に大量に起きる OpenAI、SpaceXSI
外から見張って止める エージェントがアプリの側の制御をすり抜ける NVIDIA、OpenAI
本番と切り離す エージェントの大量の問い合わせや操作が、会社の本番のシステムを巻き込む Google Cloud、OpenAI

2. 会社ごとの仕組み

会社（製品） パスワード・支払い 人の承認・禁止の操作 見張り・切り離し
1Password（1Password for Agents、10月22日） エージェントがログイン画面に着くと 1Password に頼み、利用者が承認すると 1Password が直接入力する。エージェントはパスワードもワンタイムコードも受け取らない どのログインを使わせるかを利用者が選ぶ。連携はいつでも切れる 保管庫のほかの中身には触れない
OpenAI（dots、9月29日） 対応するサイトでは、保存したパスワードをモデルに見せずに使う 自分で動く範囲と承認を求める範囲の決まりがあり、利用者が操作ごとに許可・承認・禁止を足せる。パスワードの変更などは必ず人が行う dot ごとに自分のクラウドのコンピュータで動き、利用者のパソコンはつなぐと選ばないかぎり切り離す。利用者がいない間の調べ物は読み取り専用の道具だけ。監視が問題を見つけると一時停止・停止する
Anthropic（Claude Duet、10月21日） パスワードやサインインのトークンを直接見ない。買い物は Stripe の Link の仮のカードで払い、本物のカード番号を渡さない 送信・支払い・署名・削除の前に、何をするかを見せて承認を待つ。承認があっても証券の取引と口座間の資金移動はしない カード番号と身分証明書は、専用の分類器で共有を拒む。健康や個人の財務は、利用者が明示して指示したときだけ送る
SpaceXSI（Grok Bot の共有ボット、10月27日） — 判断の基準をはっきり決められないときと、顧客向けの連絡文は人が確かめる。Salesforce を変える前に中身を見せて確認を取る 利用者それぞれの権限で動き、機微な操作には追加の制限。意図しない大量の変更を防ぐ回数の上限。一部の操作は専門のボットだけに許す（営業担当は自分の割引を承認できない）。承認には決定・理由・担当者を記録する
NVIDIA（Open Agent Safety Platform、9月28日） — Salesforce が組み込んだ Slack から、エージェントの追加の権限の求めを承認・却下できる OpenShell が実行の境界を引き、すべての操作を記録する。BlueField-4 の上で別系統で動く見張り役 Sentry が、境界を出ようとしたエージェントをミリ秒で隔離して止める
Google Cloud（PostgreSQL for agents in AlloyDB、9月25日。プレビュー） 決まったパスワードの代わりに IAM の認証を使う — エージェントの問い合わせを、本番の主系・待機系・読み取り用の複製から切り離した、読み取り専用の実体で処理する。作業が終わると自動でゼロまで縮む
Cloudflare（WebMCP、Commerce.com のほぼ10万店舗、10月21日） 道具は買い物客自身のブラウザの中で、店のサイトの上で動く。認証情報は第三者に渡らない 購入の最終確認（チェックアウト）は買い物客が自分で押す 店ごとに WebMCP を無効にできる

3. エージェントを受け入れるサイトの側（Cloudflare、11月4日）

できること 中身
見分ける 分析の画面に「Personal Assistants」の区分が加わり、来ているエージェントと、それぞれの要求の数・開いたページ・接続元が分かる
エージェントごとに決める 全体の方針を決めたうえで、エージェントごとに「許可」「広告のあるページでブロック」「ブロック」を選ぶ
アカウントごとに止める 攻撃者がエージェントを使っているように見えるとき、そのアカウントだけを WAF のルールで止められる。同じエージェントを使うほかの人は巻き込まない

Cloudflare は、エージェントが間に入っても利用者との関係を保つには、利用者の文脈をエージェント越しに運ぶこと、サイトが評判を評価できること、問題が起きたときの責任をはっきりさせることの3つが要るとしていて、詳しくは今後示すとしている。

4. 各社が挙げた、守りが要る理由

会社 挙げている理由
1Password ログインのたびに人が代わって入力するのは手間で、パスワードを指示の文に貼ると、頼んだ仕事の外でもエージェントが使えてしまう
Anthropic メールを読んで代わりに送るエージェントは、情報をどこへ出すかを絶えず判断している
NVIDIA 最近のセキュリティの事案は、どれもエージェントが与えられた仕事を終えるためにアプリの層の制御をすり抜けた形だった
Google Cloud 少数のエージェントでも濃い推論を繰り返すと問い合わせが急に増え、従来の作りでは本番のデータベースを止めかねない

5. 選ぶときに知っておきたいこと

点 各社の発表に書かれていること
守りは製品ごとに違う 1Password は、守りの仕組み・使える端末・できることが、連携するエージェントごとに違うとしている
試しの段階のものが多い Claude Duet は米国の Pro・Max・Ultra の順番待ちの研究プレビュー、AlloyDB はプレビュー、OpenAI の組織向けの専用の dots は限られた企業での試験から始める
間違いは起こる OpenAI は dots が間違えることもあるとしている。Anthropic は Claude Duet がやり取りを読み違えたり、急ぎかどうかを見誤ったりすることがあるとしている
連携はこれから広がる 1Password との連携は、Meta の Muse・SpaceXSI の Grok Bot・Town の Townie が先に始まり、Claude Duet と OpenAI の ChatGPT Work・dots は近日公開としている

確かめた一次資料

この記事は、上の一次資料の原文を読んで書いています。数字は原文のとおりで、計算した値はそう書いています。