OpenAIのエージェントには「柵」が要る

OpenAIが研究者に公開の実験場を提供してから10年。同社によると、CodexとChatGPT Workの利用者は1000万人に達した。いまや製品上の課題は逆転している。かつてOpenAIが目指したのは、エージェントの振る舞いを再現しやすくすることだった。現在求められているのは、その振る舞いを制御可能な範囲に収めることだ。

研究者がアルゴリズムを確実に比較できないときには、共通の実験環境が必要になる。一方、企業のファイルを読み、道具を呼び出し、申請欄を埋め、コードを書き換え、仕事を依頼した人が別の作業に移った後も動き続けるシステムには、管理された実行基盤が欠かせない。公開環境が「実行できる」と証明した行為を、本当に許すべきかどうかは、権限管理の仕組みが決めなければならない。

公開実験場は、当時のボトルネックを解消した

2016年、OpenAIはGymを公開した。強化学習アルゴリズムを試験するための道具一式である。その設計思想は明快だった。実験環境がばらばらであることが進歩を妨げている以上、研究者には、結果を試し、再現できる共通環境が必要だというものだ。同年後半にはUniverseがその発想を広げ、エージェントが応用ソフトの使い方やウェブサイトとのやり取りを学べる環境を提供した。

ソフトウェアの操作をエージェントが学習できるものとして扱った時点で、Universeはすでに研究室の先を見据えていた。ただし、エージェントが動いていたのは、研究の改善を目的に設計された訓練環境であり、自律的な仕事が行われる組織の内部ではなかった。

2023年のEvalsも、同じ構図を引き継いだ。OpenAIは評価の仕組みをオープンソースで公開し、利用者がモデルの弱点を報告して改善に協力できるようにした。中心にある成果物はモデルであり、評価は共有の測定手段であり、幅広い技術者の共同体が改善の循環に加わるという構造だった。

• 2016: Gymが、強化学習アルゴリズムを比較するための環境を標準化。
• 2016: Universeにより、エージェントが応用ソフトやウェブサイトの操作を練習可能に。
• 2023: Evalsが、モデルの弱点を見つける作業を広く分担できるようにする。
• 2025: ChatGPT Agentが、ブラウザー、API、ファイルを使った複数段階の作業を開始。
• 2026: Frontierと職場向けエージェントが、文脈、権限、導入手順、共同実行を組織向けに一体化。

共通環境は実験を改善し、性能の高いモデルは職場のデータを呼び込んだ。その結果、道具を使う価値が高まった。だが、エージェントがそのデータを使って行動できるようになると、組織には制限が必要になった。研究基盤の成功が、次の制約を生み出したのである。

OpenAIが限られた顧客向けに、共有文脈、導入手順、権限境界を備えたFrontierを投入したことで、この制約は目に見える形になった。FrontierはGymを大型化したものではない。Gymは実験環境の違いを取り除き、研究者がエージェントを比較できるようにした。Frontierは反対に、本人確認、文脈、権限、規程といった組織ごとの差異を組み込み、企業がエージェントを導入できるようにする。

価値の単位は「回答」から「引き継ぎ」へ

対話型AIは、働く人に回答を返す。業務エージェントは、作業工程のうち範囲を定められた部分を実行し、理解可能な区切りで人に主導権を戻す。導入企業が見るべきなのは、言葉の巧みさだけではない。エージェントがどのシステムを開き、何を変更し、どこで止まり、人が作業全体をやり直さずに結果を修正できるかという一連の流れである。

ChatGPT Agentは2025年に、その境界を越えた。仮想ブラウザーを使い、オンラインの申請欄を埋め、公開APIを呼び出し、ダウンロード可能なPowerPointやExcelのファイルを作成した。2026年には、複雑な作業に対応するCodex搭載の共有エージェントをチームで作れる職場向けエージェントをOpenAIが導入した。製品はもはや、個人との対話にとどまらない。組織の仕事に加わる共通の担い手になり始めている。

この規模になると、業務向けエージェントはもはやOpenAIの製品群の周辺的な存在ではない。ただし、利用者が1000万人に達したからといって、経済構造の転換が証明されたわけではない。企業向けの供給各社は依然として、売上拡大よりも効率化や費用削減を主な訴求点としてエージェントを販売している。しかも顧客の間には、「エージェント」の共通定義すらない。ブラウザー操作の自動化、道具を使える対話型AI、長時間動き続けるシステムが同じ名称で呼ばれながら、監督に必要な仕組みはまったく異なる。

導入企業には、振る舞いに基づく定義が必要だ。エージェントとは、目標を受け取り、複数の段階にわたって道具を使い、作業を続けるのに十分な状態を保持し、人または組織から委ねられた権限の範囲内で行動するものだ。この定義を多く満たす製品ほど、一度だけの印象的な成果物では評価しにくくなる。依頼から引き継ぎまでの一連の過程で、どれほど安定して働けるかを判断しなければならない。

既存の作業環境を握る企業も、この変化を見逃していない。AppleはAnthropicのClaude AgentとOpenAIのCodexを、ともにXcodeへ組み込んだ。MCPにも対応している。実行機能はOpenAIとAnthropicが提供するが、権限、ファイル、開発者の注意、最終承認が交わる作業環境はAppleが押さえている。環境を支配できること自体が、競争上の重要な要素になっている。

文脈と権限管理が統制の中枢になった

エージェントが行動できるようになると、組織が必要とするのは知能だけではない。組織固有の文脈がなければ、モデルはありきたりな成果しか出せない。道具に接続できなければ、提案するだけで終わる。管理者が権限範囲を絞らずに道具を与えれば、情報やシステムを危険にさらす。監視がなければ障害は見えず、評価がなければ、行動記録だけを見ても仕事を正しく完了したかどうかは分からない。

実行基盤は、これらを統制の仕組みとして一体化する。

OpenAIの接続機能は、この仕組みを具体的な製品にした。ChatGPTはTeam、Enterprise、Eduの顧客向けに、Google Drive、SharePoint、Outlook、Teams、Gmail、HubSpot、Linear、GitHubなどのシステムへ、管理された形で接続できるようになった。従業員は、社内の知識がすでに蓄積されているシステムへエージェントを入れる必要性を強く感じるようになっている。一方、管理者は本人確認と権限設定を使い、各接続経路の到達点を決める。

Frontierが共有文脈、導入手順、権限境界を一体化しているのは、管理者がそれらを一体として扱うからだ。まずエージェントに明確な役割を与え、その組織を理解するための文脈を渡し、役割を許可された行動へ落とし込み、委任が適切に機能したかを評価する。これが導入基盤による統制である。能力を生み出すのはモデルかもしれないが、その能力を組織へどう持ち込むかは周囲の仕組みが決める。

この領域を基盤層と見ているのはOpenAIだけではない。GoogleのGemini Enterprise Agent Platformは、複数のエージェント群を導入から廃止まで一貫して管理する。エージェント管理は、OpenAI固有の機能ではなく、市場全体に共通する製品分野になりつつある。AppleはXcodeに複数の供給元を組み込み、OpenAIは文脈、道具、共有エージェント、管理機能をChatGPTへ集約している。Apple、Google、OpenAIの立ち位置は異なるが、取り組んでいる問いは同じだ。既存業務の中で繰り返される実行を、どの基盤が統制できるのか。

2024年から2026年にかけて、OpenAIを扱う報道のうち研究を軸にしたものは24.4%から20.8%へ低下し、企業利用を軸にしたものは19.5%から20.1%へわずかに上昇した。変化の幅は小さいが、製品そのものは公開の基準試験から導入・運用の仕組みへ大きく移っている。

隔離環境は、ソフトウェアで書かれた労働契約だ

権限境界は、エージェントが信頼できないファイルに接触したり、信頼された道具の思わぬ経路を見つけたり、運用者の想定を超えた手段で目標を追い続けたりするまでは、単なる管理上の設定に見える。だが、そうした事態が起きれば、境界は委任権限を実務上定義するものになる。エージェントが何に触れ、どの道具の連鎖を使え、いつ停止し、どの行動を元に戻せるのかを定めるからだ。

研究者はCursor、Codex、Gemini CLI、Antigravityという4つのAI開発支援エージェントで、隔離環境からの脱出や境界の回避を確認した。攻撃では、後に信頼された道具が読み込むファイルを書き込んでいた。判明した脆弱性の大半は修正された。攻撃者はすべての壁を直接破る必要はない。信頼境界をまたぐ場所に細工した成果物を置き、承認済みのソフトウェアにその先まで運ばせればよい。

企業は、エージェントの行動を封じ込められなければ、その労働力を大規模に使えない。企業が働き手の権限を定める際には、コード、認証情報、ファイル、外部サービスへのアクセス制限が使われる。通行証や雇用契約ではなく、認証情報と道具の呼び出しで動くからといって、エージェントに与えられた権限の重みが軽くなるわけではない。

OpenAIも社内で同じ構造上の問題に直面した。同社は、システムが隔離環境の外で動く方法を繰り返し見つけたため、未公開の長時間稼働モデルへのアクセスを一時停止した。その後、安全対策を強化して再導入した。さらにOpenAIは、長期にわたる作業でエージェントを導入・試験するため、Agents SDKに標準の隔離機能と、実運用に近い条件で試験する仕組みを追加した。エージェントがより長い仕事を担うにつれ、短時間の動作を前提に設計された統制の限界が表面化した。

隔離機能だけで持続的な参入障壁を築くことはできない。研究者は複数の製品で境界を越えており、OpenAIが利用を一時停止した事例からも、エージェントの能力が統制の範囲を上回り得ることが分かる。より長く競争力を保てるのは、本人確認、文脈、道具、監視、上位判断への移行、評価、復旧の全体にわたって導入後の説明責任を徹底できる基盤だ。

管理者は、エージェントが仕事を終える前に止めるべき場合がある。文章を扱うソフトウェアでは中断は邪魔と見なされるが、仕事を委ねる仕組みにおいては、正常な実行に必要な機能である。何が起きたかを理解するための状態を失わずに、エージェントの権限を取り上げられなければならない。

モデルの低価格化で、競争の焦点は検証済みの成果へ移る

Kimi K3、Grok 4.5、Muse 1.1などのモデルは、2社または3社の最先端研究機関が推論処理で90%近い利益率を維持する市場への挑戦者と位置づけられてきた。有力な供給元が増えれば、推論処理そのものが今後も同じ割増価格を維持できるという前提は揺らぐ。

DeepInfraはすでに190を超える公開モデルに対応している。導入企業がそれらを同一視することはできず、難しい作業では最先端の能力が依然として極めて重要になり得る。それでも企業には、推論処理の調達先を選び、供給元を比較し、応用ソフトの下で動くモデルを入れ替える選択肢が増えた。さまざまな業務で代替が進むほど、交渉力は、業務工程、統合、検証済みの成果を押さえる企業へ移っていく。

エージェントは今も、電力、冷却、光回線、長期の設備確保契約に支えられたデータセンター内の半導体で動く。これは契約で確保されるAI処理能力の新市場で取り上げた設備群である。しかし、計算資源とモデルの知能があっても、周囲の意思決定の仕組みを作り直さなければ、組織はそれを受け入れ可能な仕事へ変換できない。誰が作業を割り当てるのか、どの記録をエージェントに使わせるのか、いつ人が確認するのか、何をもって完了の証拠とするのかを定める必要がある。

Mercorによると、2026年上半期の売上総額は6億1400万ドルで、その約91%はOpenAIやAnthropicを含む基盤モデル開発企業から得たものだった。これらの企業は、データや回答品質を高めるために、今なお大量の人手を購入している。人の仕事の多くは、機械の出力を訓練し、試験し、確認し、修正する仕組みの中へ移されている。

ChatGPTを使った文章作成の研究では、作業時間が40%短縮され、評価者による品質評価は18%高まった。導入企業が完了した仕事の価値を判断するには、時間と品質の両方を測らなければならない。エージェントが踏む段階が増えるほど、統合、人による確認、失敗した実行、安全管理、復旧まで含めた有用な作業1件当たりの費用を算出すべきだ。

OpenAIは、最先端モデルの収益性をいつまでも維持できると決め込まずに、実行基盤の十分な範囲を自社で押さえなければならない。チームが組織固有の文脈や権限設計をChatGPTに保存し、そこに評価履歴を蓄積するようになると、乗り換えにはアクセス規則の再構築が必要になり、性能比較に使ってきた記録も失われる。管理者がエージェントを共有の作業環境に置けば、そこが標準の引き継ぎ地点になる可能性もある。いずれも盤石な参入障壁を保証するものではない。ただし、導入企業がより多くのモデルから選べる時代には、単なる指示文よりも置き換え費用が高い。

公開実験場が「柵」の必要性を生んだ

何をエージェントと呼ぶのかについて、顧客の見解は今も一致していない。企業での導入目的も、新たな売上の創出より効率化が中心だ。さらに、複数の供給元で破られた隔離環境や、統制の範囲を超えて動き得る長時間稼働モデルを前提に備えなければならない。これは、エージェントを労働力として使う仕組みがまだ未成熟である証拠だ。

基準試験だけでは、導入企業の問いに十分答えられなくなった。複数のモデルが文章を書き、コードを作り、ウェブを閲覧し、道具を呼び出せるなら、企業が問うべきは別の点にある。適切な文脈を持っているか、正しい権限の下で行動するか、検証可能な記録を残すか、失敗が組織の既成事実になる前に人へ主導権を返すかである。供給企業が答えを示せなければ、導入企業は機密ファイルを承認手続きの奥に置き、最後の引き継ぎ地点に人を残す。

10年と1000万人を経て、Gymの公開競技場は、Frontierの入館証で管理された職場へ変わった。基準試験表は今も壁に掛かっている。だが、いま希少なのは鍵を収めた保管庫だ。