CursorのOpenAI依存はわずか5%、それでも利用の可否は相手が握る

CursorがOpenAIに送る通信量は、全体の約5%にすぎない。それでもOpenAIは、この細い接続経路をCursorの設計上、最も重大な依存先に変えられる。比率は小さくても、相手が握る権限は小さくない。

OpenAIは2026年11月12日、モデルへの直接接続を終了する方針だ。Cursorの新たな所有者であるSpaceXが、利用規約の範囲内で技術を使うと確信できないことを理由に挙げている。当面の業務への影響は限られる可能性がある。Cursorには別のモデルがあり、AnthropicもCursor上のClaudeモデルを支える計算資源を引き続き増やすとしている。しかし、打ち切り理由として示された判断基準は、APIを通じた取引の意味を変える。OpenAIが審査するのは、自社モデルを呼び出す会社だけではない。その会社を所有する企業と、両者が一体となった仕組みが可能にする行為まで対象になる。

Cursorをはじめとする各社は、価格、応答速度、品質に応じて通信先を切り替えられる操作画面の裏側に、最先端モデルを並べてきた。だが、コーディングエージェントがソースコード保管庫、認証情報、起動条件、各種道具を扱うようになると、接続先には所有者の身元と利用目的が結び付く。操作面を統一してモデル間の性能差をならすことはできても、供給元が持つ決定権までは消せない。

APIの審査対象は「顧客の先にいる顧客」へ

当初のモデルAPIが問うのは、限定的な一点だった。この利用者に出力を求める権限があるかどうかだ。アプリケーション開発者は認証鍵を用意し、利用料を払い、文脈情報を送り、生成結果を受け取った。そのためコーディング基盤は、1つの操作画面の下に複数の最先端モデルを交換可能な処理装置として並べられた。供給元が主に管理していたのも、直接の契約関係だった。

CursorはOpenAIが「中立」であり続けると見込んでいた。ここでいう中立とは、供給元が仲介事業者の提携関係や戦略的な立場を接続可否の判断材料にせず、サービスを提供することを指す。だが中立性は、接続先そのものに備わった性質ではない。供給元が各要求を独立した取引として扱える間だけ成り立つ運用条件だった。

SpaceXによる買収以前から、Cursorは外部モデルへの依存を疑問視されていた。Anthropicもすでに、WindsurfからClaudeモデルへの直接接続を打ち切っている。今回の対立で、その判断原理が明確になった。OpenAIは仲介事業者の背後にいる所有者まで調べ、想定される利用環境を重視し、その判断に基づいて利用条件を定められる。

APIの仕組み自体は変わっていない。変わったのは、利用を認める際の問いである。OpenAIが判断するのは、Cursorの認証鍵にモデル呼び出しを許すかどうかだけではない。回答を受け取る仕組みに付随する所有関係、権限、想定行為を受け入れられるかどうかまで見ている。この審査によって、モデル利用の可否は所有者と用途次第になった。

自律化によって、主体の身元も処理要件になる

指示を待ってコード片を提案するコーディング支援には、目に見える境界がある。人が尋ね、モデルが答え、人が提案をコードベースに取り込むか判断する。この境界が危険をなくすわけではないが、処理の始まりと終わり、そして確認者を明確にできる。

Cursor Automationsは、コードベースへの追加、Slackのメッセージ、時刻指定をきっかけにエージェントを起動できる。開発者が編集画面の前に座って要求を送る必要はない。社内の別の場所で起きた出来事から処理が始まり、権限を引き継ぎ、ソースコード保管庫を調べ、設定者が別の仕事をしている間にも作業を進められる。

Cursorはさらに、ソースコード保管庫、変更取り込み依頼、GitHubとの同期機能を備え、Vercel、Buildkite、Depotなどとも連携するホスティングサービスOriginを展開している。Grok Botは、利用者の各種道具にサインインして作業を完了することで、同じ方向性をコーディング以外にも広げる。これらの製品は、コードを保持し、出来事を検知し、道具を呼び出し、システム間で作業を受け渡せる実行環境を形作っている。

自律型エージェントでは、供給元の選択が出力品質以上の意味を持つ。文章を下書きするだけのモデルなら、交換して変わるのは文章だ。だが、出来事に応じて起動する処理の中でモデルを替えると、選ぶ道具、権限の使い方、作業を続ける粘り強さ、エラーへの対処、人に介入を求める時点まで変わり得る。企業は選択したモデルを追加機能ではなく、処理を構成する一部として扱わなければならない。

攻撃者の行動は、この懸念を現実のものにしている。ただし、いずれかの供給元の方針が十分だと証明するものではない。4月8日から5月21日にかけて、あるランサムウェア集団が少なくとも7社への侵害でCursorのコーディング支援を利用した。OpenAI、Anthropic、AWS、Microsoftを含む100社超は、AIを利用したサイバー攻撃への備えに残された時間は限られていると警告している。コーディング道具だけが侵入を引き起こすわけではない。だがエージェントは、探索、コード生成、実行をより短時間の連鎖にまとめられる。そこに企業内の権限が加われば、その連鎖には具体的な到達先が与えられる。

したがって企業が管理すべきなのは、モデル単体の安全性だけではなく、エージェントによる実行全体である。供給元から見えるのは1件のAPI要求でも、企業側で起きるのは一連の操作だ。実効性のある統制には、所有者の身元、エージェントの権限、出力が到達できるシステムを一体として結び付ける必要がある。

モデルは替えられても、説明責任までは引き継げない

Cursorは複数モデルを採用しているため、1社から打ち切られた場合の直接的な損害は抑えられる。比率が5%なら、OpenAIはCursorが全面的に依存する供給元とはいえない。Anthropicが計算資源の追加提供に前向きなことも、ある研究開発企業による制限が別の企業には商機となり、乗り換え先を確保できることを示している。

AppleのXcode 26.3は、Model Context Protocolとの連携に加え、AnthropicのClaude AgentとOpenAIのCodexの両方に対応する。Ai2は、非公開のコードベースに適応できるよう設計した、320億および80億パラメーター版のオープンソースSERAコーディングエージェントを提供している。事業者は1つの接続先だけを能力の供給源とせず、非公開型と公開型の仕組みを組み合わせられる。

しかしCursorは接続先を切り替えられても、業務の連続性を失う可能性がある。代替モデルが、従来モデルの作業状態、評価結果、安全面の挙動、道具の制約、承認規則を自動的に引き継ぐわけではない。どのソースコード保管庫の内容が入力情報に含まれたのか、なぜエージェントに認証情報が与えられたのか、どの操作を試みたのか、代替モデルが同じ指示を別の意味に解釈したのかも証明できない。

そのためCursorに必要なのは、モデルを選ぶための一覧だけではない。作業のうち長期に保持すべき部分、すなわち作業の文脈、主体の識別情報、道具の利用権限、実行方針、記録、途中保存、復旧手順を、供給元との境界より上位に置く統制基盤が必要だ。供給元が接続を取り消した後も、何を許可したのかという意味を保てなければならない。

OpenAIが、隔離環境を標準機能として追加し、長時間に及ぶ作業で最先端エージェントを検証する試験基盤を用意したことは、この要件を先取りしている。企業のコードを調べて脆弱性を見つけるAnthropicのClaude Securityも、別の方向から同じ課題に応える。どちらもモデルの回答を完成品とみなさず、モデルが何をするかの周囲に統制を設けている。

切り替え時に権限の連鎖が失われるなら、代替モデルがあっても事業継続策にはならない。

業務と密接に結び付いた供給元は、処理の流れをより深く理解できるため、文脈把握と性能を高められる。一方、結び付きを緩めれば、別のモデルが引き継げるため復旧しやすい。この結び付きを明示し、範囲を制限し、元に戻せるようにした事業者が、長期的な優位を得る。

可用性は利用許可、処理能力、情報の保管責任まで含む

企業のソフトウェア部門はかつて、可用性を主に基盤設備の性質として捉えていた。サービスにつながるか、つながらないかである。自律型のコーディング処理では、さらに2つの障害要因を考慮しなければならない。モデルが技術的には正常でも、供給元の方針によって特定顧客が利用できない場合がある。また契約上は利用可能でも、商用上の上限によって必要な処理を完了できないこともある。

Claude Codeの利用者は、AnthropicのMaxプランに月額200ドルを支払う顧客を含め、予想以上に厳しい利用上限に直面した。Anthropicは現在、対象プランについて9月14日からClaude Codeの標準的な週間上限を恒久的に25%引き上げるとしている。この増枠には意味があるが、エージェント向けの処理能力が保証された資源ではなく、供給元が配分を管理する資源であることも裏付けている。

ソースコード保管庫には、第3の境界がある。GitHubでは8月17日、Central USのデータセンターで通信量のピークが基盤設備の構成要素の処理能力を上回り、7時間47分にわたる障害が発生した。コード、変更取り込み依頼、API、自動処理に影響が及んだ。モデルが終始利用可能でも、正式記録を保持するシステムが止まれば、処理全体も停止する。

CursorはホスティングとGitHub同期を組み合わせることで、エージェントとコードベースをより緊密に連携できる。その一方で、保護、複製、復旧の責任を負う状態情報も増える。垂直統合を進めても危険がなくなるわけではない。結び付きを明示して初めて、管理できるようになる。

企業の購入担当者は今や、4つの点を確認する必要がある。モデル供給元に処理能力があるか、その処理が方針上認められるか、ソースコード保管庫と継続的統合の基盤が作業を受け取れるか、いずれかの層で障害が起きた後に何があったかを再現できるか、である。最高性能を測る基準値だけを重視した調達審査では、4つすべてを見落とす。

垂直統合が、解消するはずだった依存をかえって露呈させる

SpaceXはCursorを600億ドルで買収した。その間、Cursorはエディターから、ソースコード保管庫、自動処理、モデル利用、さらにGrok、Grok Build、Grok Bot、Grok APIに結び付く幅広い製品群へと領域を広げていた。1つの環境がより多くの文脈を保持し、指示から実行までの経路を広く制御するほど、エージェントの性能は高まる。

だが、同じ統合によって社内の受け渡しが減る一方、上流の供給元からは基盤全体の姿が見えやすくなる。Cursorはもはや、モデルの出力を購入する操作画面の会社にとどまらない。SpaceXの傘下で、独自のモデル、API、エージェント、利用環境を持つ、より大きな戦略体系の一部になった。OpenAIが接続打ち切りを提案したのは、この所有関係の変更後だった。所有者が変わったことで、OpenAIがその先の呼び出しに見いだす意味も変わったためだ。

Anthropicが以前Windsurfへの接続を制限し、現在はCursor向けの通信量拡大を支える姿勢を示していることからも、「中立な供給元」と「党派的な競合」という単純な善悪の構図では説明できない。供給元の立場は、顧客、時期、処理能力、戦略上の利害によって変わる。モデルが重大な影響を及ぼすシステム内で動く以上、最先端モデルを開発する各社には、直接の認証鍵保有者だけでなく、その背後まで確認する理由がある。

Cursorは、非公開のソースコード保管庫を預かり、作業を自動化し、安全に関する判断を下し、配備基盤に接続することで、コード補完をはるかに超える情報と権限を預かる。同じ文脈情報が企業価値を生み出す一方で、企業として負う責任も生み出す。

Cursorは複数モデルを統合し、モデル利用を汎用品のように見せた。その後、起動条件、ソースコード保管庫、認証情報、そして600億ドルを投じた所有者が加わったことで、供給元には個々の呼び出しを取り巻く連鎖全体を管理する理由が生まれた。通信量の5%を担う細い接続経路の先にあるのは、もはや単なるモデルではない。そこには11月12日と記された門があり、通行証にはその先の所有者の名が刻まれている。