Metaは安全性を理由にMuseを延期した。その後リリースした

Metaは、安全性への懸念からパーソナルエージェントのMuseを数カ月にわたり市場に出さなかったと報じられている。情報筋によれば、9月8日、競合他社の類似製品が勢いを得た後に同社はアプリをリリースした。待つ理由はあった。しかし、待つことを無償とは見なせなくなった理由もあった。

Mark Zuckerbergの決定に関する説明は取材報道であり、MuseをリリースしたMeta自身の説明ではない。

パーソナルエージェントがユーザーに代わって行動する場合、開発者はリリース前にあらゆるリスクを解消できない。重大なリスクについては特に、リリースを止める権限がなお必要である。同時に、すでに配備されたエージェントが何をできるのか、どこでできるのか、誰もがその行動をどう確認できるのか、権限をどれほど迅速に撤回できるのかを制御する手段も必要になる。有用な仕事を完了できなくする制御は、リリース判断を難しくしたのと同じ競争の中で生き残れない。

競合の勢いが待機にコストをつける

9月29日に発表されたInstinctの評価額$10 billionでの$1 billionのSeries Cは、パーソナルエージェントの挑戦者を$10 billionと値付けした。Instinctは製品の一つとしてコンシェルジュサービスも説明している。この資金調達はMuseのリリース後であり、Metaの先行する決定を説明することはできない。ただし、経営陣が挑戦者の勢いを、エージェントソフトウェアのまた一つの実証ではなく、戦略上重要なものと見なし得る理由は示している。

Metaのリリースは別の需要シグナルをもたらした。Sensor Towerは、Museが9月8日後の6日間で902,000回超ダウンロードされたと推計した。これは、Meta AIがリリース後の同じ期間に記録した773,000回と比べた数字である。ダウンロード数は、継続利用、タスクの成功、あるいは安全な取引を裏付けるものではない。ただ、延期されたエージェントも、いったんリリースされれば短期間で大きな利用者層を獲得できることは示す。

リリースのタイミングは、この2社を超えて競争変数になっている。Reutersは9月、OpenAIの勢いを受けてAnthropicがモデルのリリースを検討していると報じた。どちらの報道も、競争が企業に安全性プロセスを放棄させたことを証明するものではない。Metaが数カ月にわたり延期したとの報道は、その単純な説明に反する証拠である。より限定的な教訓は、リリース前の保留が続く間、別の企業が需要を試せる市場の中で、その保留が機能するようになったということだ。

委任された権限が安全性チェックの対象を変える

2023年、Adeptはテキストコマンドをコンピューター上の操作に変えるモデルのために資金を調達した。その野心は、3種類のアシスタントの間に線を引いた。検索アシスタントは情報を見つける。タスクエージェントは範囲の限定された指示を実行する。自律エージェントは情報を取得し、次の手順を選び、実行できる。手順が一つ増えるごとに、ソフトウェアにはユーザーを誤解し、悪意ある材料に遭遇し、あるいはユーザーが与えるつもりだった権限を越える機会が一つ増える。

MetaのMuseとInstinctは、ユーザーに代わって電話をかけられると説明された。Instinct創業者Noah Shinnとの対話では、人々が決済認証情報を共有し、エージェントが取引を進めるという利用例が報じられた。誤った回答は画面上で修正できるが、誤った購入はカード発行会社と加盟店に届く。Instinctの初期ユーザーからのフィードバックには、カード決済が通らず、加盟店が注文を受け取らなかったために購入が失敗した例も含まれていた。決済の成功は、委任が成功したための一条件にすぎない。ユーザーは加盟店が注文を受け取ったか、再試行すれば重複注文になるかも知る必要がある。

OpenAIは長期的なタスク向けに、Agents SDKへネイティブのサンドボックス機能とテストハーネスを追加した。Microsoftは、開発者がエージェントの行動を粒度高く一貫して制御できるようにするAgent Control Specificationを発表した。これらのツールが扱う継ぎ目は異なる。サンドボックスはエージェントが操作できる場所を制限し、権限ルールはそこで何ができるかを制限し、テストはタスクが顧客に届く前に失敗を露出させられる。どれも、エージェントがあらゆる外部指示を正しく解釈する保証にはならない。

プロンプトインジェクションは、その最後の限界を重大なものにする。加盟店のページ、取得された文書、あるいはメッセージには、通常のタスク材料に見せかけながらエージェントの進路を変えようとするテキストが含まれる可能性がある。エージェントは仕事をするために信頼できない材料を読まなければならない。しかし、その材料が作業コンテキストに入っただけでユーザーの権限を得てはならない。安全性の境界は、アカウント、ツール呼び出し、そしてエージェントが途中で受け入れた指示を貫いている。

共通プロトコルは権限を取引相手の問題にする

GoogleはAgent2Agentの仕様とSDKをLinux Foundationに寄贈し、同財団は2025年、Google、Amazon、Microsoftを創設メンバーに含めてAgent2Agent projectを立ち上げた。2026年10月には、Meta、Walmart、Instinct、Shopify、Sierra、Stripeなどが、AIボットと企業のやり取りを標準化し安全にするPersonal Agent Protocolを公開した。いずれの取り組みも、エージェントの有用な仕事が組織の境界をまたぐことを認識している。

その境界では、同じ決定が異なる人々に影響する。ユーザーはエージェントに買い物を許可するかもしれないが、加盟店は、どのエージェントが現れたのか、誰の指示を運んでいるのか、その指示がなお有効なのかを判断しなければならない。Personal Agent Protocolをめぐる議論では、エージェントのアイデンティティと権限に関する未解決の問いが浮上した。やり取りの形式を公開しても、それらには答えない。エージェントは共通プロトコルを話せても、ユーザーの意図以上の権限を与える認証情報を提示している可能性がある。

Naturaが発表した$99のInterface ringは、消費者側でこの問題を際立たせる。このデバイスは、一つの操作面からClaude、ChatGPT、Muse、Grok Bot、Instinctへアクセスする手段として示された。リングはエージェントの呼び出しを容易にできる。しかし、それだけで、あるプロバイダーの権限を別のプロバイダーや加盟店に分かるものにはできない。持続的な同意アーキテクチャには、商品を探す依頼と購入の許可を区別し、前者を失うことなく後者をユーザーが撤回できる仕組みが必要になる。

条件付きアクセスは拒否権を残しつつ唯一の手段にしない

OpenAIの2023年の安全性フレームワークは、会社の経営陣が安全と判断した場合でも、取締役会がモデルを差し止める能力を与えた。このリリース前の権限が時代遅れになったわけではない。Anthropicは後に、テストで生物兵器の製造を初心者に手助けする可能性が示されたことを受け、より厳格な安全対策の下でOpus 4をリリースした。誰かが使う前に厳格な境界を設けるべき能力もある。

他の判断では、より狭いゲートが許容される。情報筋によれば、米政府は安全保障上の懸念からOpenAIに対し、GPT-5.6へのアクセスを顧客ごとに段階的に提供するよう求めた。OpenAIはまた、航空・原子力産業の実務を参考に、フロンティア強化学習の訓練に向けた構造化されたセーフティケース文書を採用すると報じられた。UK AI Safety Instituteがモデルの安全性上の欠陥を調べる取り組みは、他国政府の青写真になったと伝えられている。これは、機関がリリースの統制をプロダクトチームへ明け渡した兆候ではない。アクセスを進められる根拠と条件を機関が指定していることを示している。

行動を取るエージェントでは、こうした条件は製品全体だけでなく、顧客、能力、あるいは運用環境に結び付けられる。エージェントは購入案の作成までは許可されても、カードへの請求前には確認を求められるかもしれない。アカウントへのアクセスを得る前に、サンドボックス内で動作するかもしれない。その場合、開発者にはエージェントが何を試みたかの記録と、それが用いた許可を取り消す手段が必要になる。検証可能なエージェント制御は、モデルが一般的に安全だという主張ではなく、こうした確認可能な手順に依存する。

復旧が制御が本物だったかを明かす

研究者は、MetaのMuse Macアプリで他のアプリやターミナルコマンドが認証トークンにアクセスできたと報告した。Metaはホットフィックスを適用したと述べた。この脆弱性は、アプリケーションをユーザーのアカウントへ接続する認証情報に関わるものだった。迅速なパッチには意味がある。しかし、トークンの露出は、パッチ前に攻撃者が何をできたのか、影響を受けた権限をきれいに取り消せるのかも問う。

ユーザーはエージェントの目に見える誤りを判断し、別のサービスを選べることがある。だが、隠れたツール呼び出しの連鎖、漏洩したトークン、それに続く加盟店での操作を確実に評価することはできない。加盟店や他の受け手は、エージェントを選んだことがなくてもコストを負担する可能性がある。エージェント開発者は、露出したトークンが認可できる範囲を制限し、失敗した取引の記録を保たなければならない。こうした選択がエージェントの責任を形作る。

MuseをめぐるMetaの報告上のためらいと、その後のホットフィックスは、同じ制御経路の異なる地点を占める。前者はエージェントの行動を防ぎ、後者は人々が使えるようになった後の失敗に対処した。その間には、電話や購入に関する権限、タスクを囲むサンドボックス、試行された請求の記録、露出した認証情報の権限を終わらせるスイッチがある。ブレーキは消えていない。エージェントが動いている間にも機能しなければならなくなった。