2021年6月、2本の報道が、GitHub Copilotがエディタ内でコードを提案する様子を伝えた。5年後、Copilotデスクトッププレビューは、Issueからマージ済みプルリクエストに至る経路を示した。その間の各段階で、エージェントはリポジトリ、レビューキュー、チェックに近づいた。もっともらしいミスが、現実のミスになり得る場所である。

要点

  • Copilot Enterpriseは2024年、ユーザー当たり月額$39で、組織のコードとナレッジベースを参照できた。
  • Microsoftは、AIコーディングエージェントの利用者を狙うマルウェアを攻撃者が仕込んだ後、自社のGitHubリポジトリ70超を無効化した。
  • 2026年7月21日、研究者らはCursor、Codex、Gemini CLI、Antigravityでサンドボックス脱出または境界回避を報告した。開示された脆弱性の大半は修正済みとされる。
  • GitHubによるCopilotのリクエストベース課金から従量課金への移行は、2026年6月2日に発効した。
  • AppleはAnthropicのClaude AgentとOpenAIのCodexの両方をXcode 26.3に統合した。

エージェント型コーディングでは、チームがIssue、リポジトリ、プルリクエスト、セキュリティチェックにまたがる作業を委任する。ホストは組織固有のコンテキスト、権限、人間による承認ポイントを蓄積する。GitHubの優位は、デリバリーの信頼性を落としたりコストを上げたりせずに、その行動を統制できるかにかかっている。

Issueの割り当ては補完候補の受け入れより大きな権限を与える

2021年の製品では、タスクの主導権は開発者にあった。人間がCopilotの提案を解釈し、残りのデリバリープロセスを通じて変更を進めた。Copilotが提供したのは、すでに担当者のいる作業への入力だった。

その後の5年間で、GitHubはプロセスのより多くを委任した。

Issueをプルリクエストまで進めるには、GitHubが明示的なタスク状態と制御フローを調整しなければならない。システムは、どのIssueが作業を開始したか、どのリポジトリにコードがあるか、何が変更されたか、チェックを通過したか、プロセスを停止すべきかを把握する必要がある。言語モデルはパッチを生成できるが、エージェントがいつ計画し、行動し、質問し、離脱できるかを決めるのは周辺システムである。

開発者は、すべてのキーストロークを操作する代わりに、割り当てを設定し、チェックポイントを確認し、マージを制御する。GitHubのプレビューは設定可能な自律性を製品の一部にし、リポジトリを、完成したコードがたまたま到着する場所ではなく、エージェント型の作業面へと変える。

チームは非公開コンテキストを統制された行動に変える

2024年、Copilot Enterpriseは支援機能を組織のコードとナレッジベースに接続した。エージェントはそのコンテキストを使ってより関連性の高い作業を生み出せるが、関連性だけでは変更を認可しない。GitHubのIssueからプルリクエストへの経路は、チームが変更を割り当て、議論し、承認するオブジェクトの中に作業をとどめる。このプレビューは、すべての統合が完全な監査証跡を維持することも、認可を正しく強制することも立証していない。

チームは、あるリポジトリの閲覧は許可しても別のリポジトリは許可しない、ブランチの変更は許可してもマージは許可しない、チェックの実行は許可しても回避は許可しない、あるいはプルリクエストの準備はさせてもリリース承認は人に残す、といった設定ができる。人間のチェックポイントは、エラーを捕捉するだけでなく責任も割り当てる。ソフトウェアが組織上の権限を通じて行動する場合、エージェントの説明責任は、誰が作業を認可したか、エージェントが何に触れたか、どこで人が介入したかを示す証拠に依存する。

Appleは、ワークフロー制御がモデル選択と両立し得ることを示している。同社はAnthropicのClaude AgentとOpenAIのCodexの両方を、MCPサポートとともにXcode 26.3へ組み込んだ。Xcodeのユーザーは、同じ開発環境の中で2つの外部エージェントから選べる。これは切り替えにコストがかからないことも、Appleがプロバイダーロックインを解消したことも示さない。ただし、モデルが外部から来ても、開発環境がプロジェクトへのアクセスと人間の監督を維持できることは示している。

エージェントは人間によるレビューをボトルネックにする

GitHubは、AI生成の投稿がセキュリティプログラムに殺到した際、コーディング以外の場面でこの問題に直面した。同社はバグバウンティを再編し、公開報奨金を引き下げ、初回の研究者を制限し、より大きな支払いを招待された実績ある参加者向けに確保した。

キューを変えることでGitHubは、レポートが検証より安く生成できるようになったことを認めた。コーディングエージェントも、開発者が確認できる以上のパッチ、依存関係の更新、ツール呼び出しを生み出すとき、同じ不均衡をつくり出せる。そうなるとチームは、すべての出力を等しくレビューに値するものとして扱うのではなく、限られた注意力を来歴、権限、高リスク例外に振り向ける。

攻撃者はすでに、コーディングエージェントが信頼する経路を狙っている。Microsoftは、AIコーディングエージェントの利用者から認証情報を盗むことを狙ったマルウェアを攻撃者がプッシュした後、自社のGitHubリポジトリ70超を無効化した。

2026年7月21日、BleepingComputerは、信頼されたツールが後から消費するファイルを書き込むことで、研究者らがCursor、Codex、Gemini CLI、Antigravityにおけるサンドボックス脱出または境界回避を発見したと報じた。同報道によれば、開示された脆弱性の大半は修正済みだった。GitHubのコーディングエージェントが侵害されたことも、すべてのエージェントが同じ弱点を共有することも示してはいない。

Microsoftの削除対応とサンドボックスに関する発見は、権限がモデルのテキスト出力を超える理由を示す。エージェントはファイルを読み、ツールを呼び出し、認証情報を使うことで価値を生む。攻撃者は同じ接続を狙う。チームはツールアクセスを保護し、レビュー可能なチェックポイントを維持し、生成ファイルが信頼された指示になる前に侵害された作業を止めなければならない。

従量課金と障害が委任を制約する

エージェント型タスクが変動する量の作業を消費し始めるなか、GitHubはCopilotをリクエストベース課金から従量課金へ移行した。短い補完とは異なり、エージェントはプルリクエストを作成する前に、コードベースを調べ、複数ファイルを修正し、ツールを実行し、失敗を繰り返し処理することがある。ユーザーは料金への衝撃を報告し、数時間の作業で月間上限の大部分を消費し得ると不満を述べた。

ある報道によれば、MicrosoftはAI主導の成長でインフラに負荷がかかった後、GitHubにAWSのキャパシティを追加する計画だった。同じ報道は、2026年の数十件の大規模障害の一因をこの負荷に帰した。AWSとの取り決めは未確認のままであり、Microsoftがそのキャパシティを追加したことを立証するものではない。チームにとって、利用できないリポジトリと自動化は、レビューキューを残したまま、委任した作業の利点を消し去る。

元GitHub CEOのThomas Dohmkeは、高いコーディングエージェントトラフィックを処理し、GitHubリポジトリをミラーリングするため、米国、欧州連合、オーストラリアにまたがる分散型Gitネットワークを立ち上げた。EntireはリポジトリバックエンドをGitHubから分離しようとしている一方、GitHubの利用上限はガバナンスを摩擦に変えるリスクがある。引用した報道は、Entireが大規模にGitHubの信頼性や普及度に匹敵できることを立証していない。GitHubが優位を維持できるのは、その制御機能が代替手段より信頼でき、経済的で、運用しやすい場合に限られる。

競合はGitHubを一層ずつ攻められる

2026年4月2日、Wiredは、Cursor 3が複数エージェントの管理を軸に製品を再編したと報じた。Appleが自らモデルを構築せずにモデル選択を提供できるのと同様、Cursorは支配的なリポジトリホストを所有せずにエージェントオーケストレーションで競争できる。

ここにある証拠は、どちらのアプローチもGitHubのIssueからプルリクエストへの経路を置き換えたことを示していない。リポジトリの権限が持続的な競争障壁を形成することも立証していない。チームはなお、どのシステムがモデルを選び、作業を開始し、アクセスを与え、承認を記録するのか、そして一社のベンダーがその4つすべてを管理すべきかを決めなければならない。

よくある質問

GitHub Copilotデスクトップアプリはいつ一般提供されるのか

GitHubは2026年6月3日にこのアプリをテクニカルプレビューとして発表したが、この証拠には一般提供日もローンチの確約もない。

GitHub Copilotの従量課金の対象となる操作は何か

本文では、エージェント型の作業にコードの調査、ファイルの修正、ツールの実行、失敗の再試行が含まれ得るとしているが、GitHubの計測ルール、料金、プラン別の上限は示していない。

企業はCopilotエージェントの監査記録をエクスポートできるか、あるいはコントロールプレーンを自社でホストできるか

この証拠は、監査ログのエクスポート、保持、自社ホスティングの選択肢を特定していない。これらの機能はGitHubのエンタープライズ向けドキュメントと契約で確認する必要がある。

GitHubは自社のエージェントワークフローがCursorやEntireより安全または信頼できると証明したか

比較ベンチマークは示されていない。本文はまた、Entireが大規模にGitHubに匹敵できることも、CursorがGitHubのIssueからプルリクエストへのワークフローを置き換えたことも、証拠は立証していないとしている。

拡大するCopilotの範囲

  • 2021 — 開発者がより広範なデリバリー作業を担う間、Copilotはソースコードを提案した。
  • 2024 — Copilot Enterpriseはユーザー当たり月額$39で、組織のコードとナレッジベースへのアクセスを追加した。
  • 2025 — GitHubのコーディングエージェントは、バグ修正、機能追加、ドキュメント改善を行えた。
  • June 2–3, 2026 — GitHubはCopilotを従量課金へ移行し、設定可能なエージェント自律性とIssueからマージ済みプルリクエストまでの経路をサポートするデスクトッププレビューを発表した。

2021年、Copilotがエディタに提案を置くには許可が必要だった。2026年のプレビューでは、そのエージェントがリポジトリを調べ、ツールを実行し、プルリクエストを開くには許可が必要だった。何を出荷するかは、なお開発者が選んだ。この流れが示すのは優位であり、持続的な堀ではない。GitHubはマージ判断に近づいたが、近づく一歩ごとに、安全で、レビュー可能で、信頼できる権限を得ることは難しくなる。