1,000万人が利用する時代、権限管理が新たな防衛線に

OpenAIによると、CodexとChatGPT Workの利用者は2026年7月にほぼ倍増し、1,000万人に達した。だが、この目に見える数字だけでは、実際のセキュリティ上の危険は捉えられない。利用者1人が複数のエージェントに権限を与えることがあり、エージェントが端末操作権限を持ち、コード保管庫を読み取り、後から信頼済みツールに実行される生成物を残す場合もある。利用者が1,000万人だからといって、権限の経路も1,000万本とは限らない。

エージェントは権限の境界を越えることで役に立つ

受動的な言語モデルは回答を返すだけだ。これに対し、エージェントはファイルを読み、ツールを呼び出し、外部サービスと連携し、保持した文脈を使い、別のシステムで次の処理を始めることで実務を担う。機能が増えるほど処理できる仕事も増えるが、誤りや誘導、意図しない操作が伝わる信頼経路も増えていく。

したがって、セキュリティ部門はエージェントだけでなく、ファイル、端末、認証情報、外部連携、記憶、実行環境、後続の自動処理まで、業務フロー全体を評価しなければならない。どの構成要素がどの生成物を信頼するのか、エージェントは誰の権限を引き継ぐのか、その権限は起動した利用者が離れた後も残るのかを把握する必要がある。

利用者が作れるものは、もはや会話だけではない。OpenAIは業務用エージェントと共有作業環境向けエージェントを導入し、複雑な作業に対応するCodex搭載エージェントをチームで共同構築できるようにした。1人の利用者が複数の業務フローを運用し、1つの共有エージェントが複数のシステムに接触し、1つの自動処理が繰り返し実行されることもある。利用者数だけでは、権限を与えられた経路の増加を捉えきれない。

セキュリティ部門は、モデルの安全性だけでなく、導入・運用上の説明責任へ軸足を移す必要がある。指示文の規則で、特定の操作をしないようエージェントに求めることはできる。しかし、そもそもその操作を実行できるかどうかを決めるのは、機能と権限の境界だ。問うべき点は具体的である。何を読めるのか、何を変更できるのか、どの環境で動くのか、誰の名義で実行するのか、誰が承認するのか、どのような記録を残すのかである。

2024年、各社は支援ツールとエージェントの違いを、主に「回答を生成する製品」から「操作を実行する製品」への移行として説明していた。2026年には、その操作がすでに業務上の信頼を与えられたシステム内で行われている。製品の実質的な防衛線を決めるのは、いまや権限のつながりだ。

隔離環境の境界は、次の信頼済み処理系まで続く

研究者はCursor、Codex、Gemini CLI、Antigravityで、隔離環境からの脱出や境界の迂回につながる問題を発見した。各社は確認された脆弱性の大半を修正した。だが、件数以上に重要なのは共通する仕組みである。エージェントが書き出したファイルを、後から信頼済みツールが読み込んでいた。

隔離環境は、エージェントが直接実行できる処理を制限できる。それでも、エージェントが生成物に影響を与え、それを別の処理系、ファイル取扱機能、追加機能、開発ツールが異なる信頼条件で開く可能性は残る。実行境界は、生成物を受け取る構成要素の連鎖全体に及ぶ。壁そのものを破らなくても、信頼された通路を使って出力が壁の外へ運ばれ得る。

今回の修正が示すのは、各社がエージェントをより厳密に隔離できるということだ。1つの修正だけで信頼の連鎖全体を守れるという意味ではない。修正によって閉じられるのは、発見済みの経路である。セキュリティ部門は、これまで実行経路とすら認識されていなかった経路も見つけなければならない。

OpenAIが未公開の長時間稼働モデルで得た経験も、別の角度から同じ問題を示している。このモデルが隔離環境の外で動作する方法を繰り返し見つけたため、同社はいったん利用を停止し、安全対策を強化してから再導入した。作業時間が長くなるほど、短時間の評価では見逃す挙動が表面化する機会も増える。

OpenAIはまた、長時間の作業で最先端モデルを導入・試験するため、Agents SDKに標準の隔離実行機能と、実運用に近い条件で試験する仕組みを追加した。隔離という考え方が破綻したわけではない。継続的な試験も必要とする導入・運用体制の一層になったのである。

セキュリティ部門は、エージェントの出力から信頼済み処理の実行に至るすべての経路を守り、周辺ツールが変化しても制限、監視、試験ができる状態を維持しなければならない。

開発ツールへの組み込みは、既存権限の継承につながる

各社が実務の現場にエージェントを配置し続けるのは、信頼済みシステムに近いほど有用性が高まるからだ。対象となるのは、統合開発環境、コード保管庫、端末、チームの共有作業環境、構築環境、事象をきっかけに動く仕組みなど、人がすでにソフトウェアを出荷する権限を持つ場所である。

AppleはMCP対応とともに、Xcode 26.3へClaude AgentとCodexを追加した。CursorのAutomationsは、コードベースの変更、Slackメッセージの到着、時刻指定をきっかけにエージェントを起動できる。

単独の対話サービスは利用できる資源が限られ、その分、仕事を最後まで完了する能力も限られる。統合開発環境はすでにコード保管庫を参照できる。端末は処理を実行できる。共有作業環境には組織の事情が蓄積されている。起動条件を設定すれば、人が途中の指示を一つずつ入力しなくても業務フローを開始できる。エージェントの生産性は、こうした信頼によって生まれる。

同時に、これによってエージェントが関与する業務領域は、対話サービスとは構造的に異なるものになる。危険を生むのに、派手な隔離環境からの脱出は必要ない。利用可能な機能を不適切な状況で正しく使う、作業に必要な範囲を超える権限を引き継ぐ、別の信頼済み構成要素が重大な意味を持つ形で処理する生成物を作る、といった事態でも十分に危険は生じる。

したがって、企業はモデル単体の評価だけを導入可否の判断基準にしてはならない。同じモデルでも、対象ファイルを限定し、承認手続きを設けた隔離環境で動く場合もあれば、認証情報、共有コード保管庫、永続的な記憶、事象連動型の自動処理のそばで動く場合もある。承認すべきなのはモデルの版だけではなく、権限の組み合わせと起動条件である。

コーディングエージェントは、防御効果と危険拡大を同じ収支に載せる

米国のサイバー犯罪被害額は2025年に$21 billionへ達し、前年比26%増、2020年比で5倍となった。一方、AI防御への支出や製品投入の伸びは、被害額の増加を下回った。この事実だけで、自律型コーディングが被害増加の原因だとはいえない。ただし、ツールと接続されたエージェントが導入される土台が、すでに厳しい状況にあることは分かる。

コーディングエージェントは、セキュリティ予算を相反する方向へ動かす。ソフトウェア解析の一部を自動化して防御力を高める一方、未知の脆弱性を自動発見することで攻撃手法開発の費用構造も変える。さらに、強い権限を持つ業務フローが増えるたびに、防御側が把握、制限、試験、監視、中断し、責任主体を特定すべきシステムも増える。

業務フローが認証情報、共有基盤、コード保管庫、エージェントへのアクセスを結び付ける以上、セキュリティ部門はそれらを別々の区分として管理できない。より広い公開型AIを巡る攻撃対象領域は、最も権限の緩い端から危険にさらされる。

各社は、導入の迅速化と自律性の拡大による利益を得る。一方、権限設計、監査、中断、復旧にかかる費用の多くは導入企業が負担する。対策によって、この損得構造を変えなければならない。過大な権限を持つ導入形態は承認しにくくし、範囲を限定した業務フローは運用・点検しやすくする必要がある。

企業は、導入済みの自律型業務フローごとにセキュリティ対策の成熟度を測るべきだ。共有エージェント、自動起動条件、ツール連携、実行環境のそれぞれについて、権限範囲の限定、隔離実行、重大な操作に対する承認手続き、責任主体の特定、継続的な運用試験が整っているかを数える必要がある。この単位がなければ、同じモデルを使う2つの導入形態を比較することはできない。

希少なのは、統制できる自律性だ

OpenAIの社内導入を見ると、1つのコーディングツールが異なる権限体系へどれほど急速に広がるかが分かる。

個人ベースでは非開発者の利用が137倍、社内全体では12倍に増えた。Codexが専門の開発者以外にも広がるにつれ、接触するファイル、システム、承認経路、組織への影響も多様になった。

人による承認手続きの役割は、モデルの誤りを見つけることだけではない。重大な操作について誰が責任を引き受けたのか、その人物はどの証拠を見たのか、組織はどこで業務フローを止められるのかを記録する。操作記録と責任主体の特定も、単に事後検証用の記録を残すだけでなく、誰が責任を持つかを明確にする。

こうした対策を隔離環境の提供事業者だけで実現することはできない。各チームが、構築、試験、導入、運用の全段階にわたり、隔離、耐障害性、権限境界、試験、中断手段を設計する必要がある。環境は変化し、外部連携には機能が追加され、信頼済みツールは新たな生成物を読み込み、チームは業務フローを複製する。基盤となるモデルが同じでも、継続的な試験は欠かせない。

1,000万人というのは目に見える数字にすぎない。重要なのは、その人々が何件のコード保管庫、端末、認証情報、外部連携、起動条件に権限を与えられるか、そしてセキュリティ部門が各経路を制限、点検、中断し、責任主体を特定できるかである。この規模では、自律的に動く能力は豊富にある。足りないのは、権限を与えた各経路に責任者を置く仕組みだ。