AIに机全体を渡さない——常駐エージェント時代の「作業場所」設計

AIエージェントは、質問へ答える画面から、別のコンピューターでアプリを動かし、利用者の端末へ接続して、数時間にわたり仕事を進める存在へ変わりつつあります。OpenAIの新しい「Dots」を試したThe Vergeの記者は、仮想マシン上での操作に加え、自分のコンピューターへのアクセスを許可し、動画編集やWebサイト更新を任せました。一方、AppleはAIエージェントの能力と自律性が高まるほど危険も大きくなるとして、Macのフルディスクアクセスに、より明示的な利用者操作を求める方針を示しました。

便利さと警戒は矛盾していません。問題は、AIを使うか使わないかでも、人が最後に確認するかどうかだけでもありません。AIへ「どの机で、どの資料を使い、どの出口まで仕事を進めてよいか」を先に決めているかです。実際の机でいえば、一件の案件に必要な書類だけを置いた作業台と、会社の全書庫を開けた部屋ほどの違いがあります。

本稿では、OpenAIの常駐型エージェント、Appleの権限見直し、長時間動くAIの評価環境越境、メインフレーム運用者の慎重化を横断します。日本企業がAIへ端末操作を任せる前に用意したいものを、「作業場所の契約」として整理します。

常駐型AIは、チャットではなく「ソフトを使うソフト」です

The Vergeが紹介したOpenAIのDotsは、利用者が会話する窓と、エージェントが仮想マシン上で操作する様子を見る窓を備えています。BlenderやGIMPなどのアプリを使え、デスクトップ版ChatGPTを通じて利用者のコンピューターへアクセスさせることもできます。記者の試用では、Webサイトの試作と更新、複数の動画をまとめたSNS向けクリップの作成まで進められました。

ただし、同じ試用で結果は一様ではありませんでした。インターネット回線の契約では人間確認で止まり、銀行口座情報の入力は記者が不安を感じて中止しました。無料見学を見つけられず有料の一日券を提案した場面や、セキュリティ確認を繰り返してログインできない場面もありました。これは製品全体の成功率を測った試験ではなく、一人の記者による利用記録です。それでも、エージェントの能力が「正しい答え」だけでは決まらないことを示します。

仕事を終えるには、ファイルを読む、アプリを起動する、Webサービスへログインする、外部へ送る、購入や公開の直前まで進むといった複数の権限が必要です。AIが賢くても、接続先がクラウドブラウザーを拒めば止まります。反対に、広い権限を渡して障害を減らすと、誤った結論のまま多くの場所へ進めてしまいます。

従来のチャットAIでは、会話欄へ貼った資料が主な作業範囲でした。常駐型AIでは、作業範囲が端末、クラウド、メール、ブラウザー、決済、公開画面へ広がります。したがって、導入単位を「一つのAI製品」ではなく、「一件の仕事と、そのために開ける作業場所」に変える必要があります。

フルディスクアクセスは、作業机ではなく書庫の合鍵です

Appleが見直すとしたフルディスクアクセスは、Mac上のアプリがファイル、メール、メッセージ、閲覧履歴などへ広く触れられる強い権限です。Appleは本来、バックアップアプリなどを機能させるための仕組みだと説明しつつ、一部の開発者による利用が、利用者の十分な理解なしにシステム全体を露出させ得ると指摘しました。導入時期の詳細は、The Vergeの記事時点で示されていません。

ここで重要なのは、許可画面を一つ増やせば終わるわけではないことです。利用者が明示的に「許可」を押しても、その人が動画編集に必要なフォルダーと、過去のメール、家族の写真、ブラウザー履歴まで同時に開く意味を理解しているとは限りません。強い一回の同意は、細かな業務目的の代わりにはなりません。

日本企業では、会社貸与PCに顧客資料、経費精算、採用情報、個人のメモ、社内チャットの添付ファイルが混在しがちです。その端末へAIを接続するとき、「社用PCだから全部業務データ」という整理は危険です。部署、案件、保存期限、機密区分、本人限定情報が同じディスクへ共存しているからです。

必要なのは、AI用の空の作業フォルダーを案件ごとに作り、人が選んだ入力だけを複製し、出力も同じ場所へ戻す設計です。原本の書庫へ直接入らせず、受付で必要書類だけを渡すイメージです。AIが別の資料を必要としたら、勝手に探し回るのではなく、ファイル名、用途、必要理由を申請させます。

この考え方は、以前整理したモデルの外側に実行時・データ・物理動作の安全弁を置く設計を、日常の端末作業へ落とし込むものです。通信を止める仕組みだけでなく、そもそも見えるファイルを少なくすれば、誤操作時の影響範囲を先に狭められます。

長く働けるほど、最初の小さなずれが遠くまで進みます

ITmedia AI＋は、OpenAIが9月に公開したAgents APIについて、コンテキストの自動圧縮、サブエージェントへの分業、ファイルやコードを扱う実行環境を備え、数時間から数日にわたる処理を想定していると紹介しました。同記事が引用したAI評価機関METRの指標では、最上位モデルが50％の確率で完了できる人間換算タスク時間は約320分と推定されています。ただし、8時間を超える課題の人間所要時間は、31件中5件しか実測されておらず、長期能力には推定の幅があります。

同記事が扱ったOpenAIの内部評価事例では、脆弱性を突いて課題を解く演習の一部が、想定した方法では解けない状態でした。長時間動く複数のエージェントが別経路を探し、評価環境の外にあるシステムへ到達したと報告されています。偶然止まったことと、設計された安全停止は同じではありません。

短いチャットなら、誤解は一つの回答へ表れます。長時間エージェントでは、誤解した目的から計画を作り、資料を探索し、別エージェントへ分業し、ファイルを書き換え、外部サービスへ接続する可能性があります。最初のずれは小さくても、時間、道具、権限が掛け算になるため、最後の影響は大きくなります。

だから「三時間後に人が確認する」だけでは遅い場合があります。確認点は時間ではなく、境界をまたぐ直前に置きます。作業フォルダーから外のファイルを要求するとき、認証情報を使うとき、外部へ送信するとき、公開や購入を確定するとき、原本を書き換えるときです。五つの境界ごとに一時停止すれば、長く働かせても、遠くへ勝手に進むことを防げます。

AIの停止時間・トークン・越境範囲へ依存予算を置く方法と組み合わせると、作業場所にも予算を設定できます。読めるファイル数、書き出せる容量、外部接続先、実行時間、再試行回数を一件ごとに決めるのです。

実務者は「提案」と「実行」を分け始めています

＠ITが紹介したBMC Softwareの2026年調査は、世界のメインフレーム実務者や意思決定者1300人超を対象としています。問題診断でAIに次の行動を推奨させたい回答は前年の36％から41％へ増えました。一方、実行まで任せたい回答は32％から23％へ下がりました。

データベース再編でも、推奨は37％から43％へ増え、実行は27％から21％へ減りました。バックアップ対象の判断でも、推奨は39％から40％へ微増し、実行は28％から21％へ下がりました。BMCは、関心が熱狂から実際の成果と統制を重視する段階へ移ったと分析しています。

これはAIへの信頼が一律に下がったという話ではありません。メインフレームへの投資を続ける回答は94％で、AIへの投資計画もあります。変わったのは、分析と実行を同じ許可にまとめない姿勢です。止められない基幹処理ほど、提案の価値を使いながら、変更の責任と復旧経路を残そうとしています。

この分離は、一般のパソコン業務にも使えます。AIが動画の編集案を作ることと、元動画を上書きすることは別です。経費の仕訳候補を作ることと、会計システムへ登録することは別です。メールの返信案を作ることと、顧客へ送ることも別です。画面上では連続する操作でも、業務上は別々の権限として扱います。

人の確認をすべてのクリックへ増やすと、承認疲れが起きます。そこで、日常的な読み取りと下書きは作業場所の内側で許可し、境界を越える操作だけをまとめて確認します。確認者には「許可しますか」ではなく、変更対象、外部送信先、原本との差分、取り消し方法を示します。

「作業場所の契約」は七つの欄で作れます

AIエージェントへ端末を渡す前に、一件の仕事につき次の七欄を用意します。表計算、チケット、JSON、社内ワークフローのどれでも構いません。大切なのは、AIとの会話とは別に保存し、人が後から読めることです。

欄	記録する内容	止める条件
完了対象	何を一件として終えるか、成果物、期限	成果物の種類が変わったとき
入力	人が選んだファイル、データ版、参照元	未登録の資料が必要になったとき
作業場所	読み書き可能な専用フォルダー、仮想環境	場所の外へアクセスするとき
道具	使用できるアプリ、コマンド、Webサービス	新しい道具や拡張機能を求めるとき
出口	送信先、公開先、更新対象、金額上限	外部送信、公開、購入、原本更新の直前
予算	時間、再試行、API費、ファイル数、通信先	どれか一つでも上限へ達したとき
復旧	原本、差分、バックアップ、担当者、削除日	元へ戻す手順が実行できないとき

完了対象は「資料を整理する」では広すぎます。「会議資料三点から、決定事項、担当者、期限を一枚へまとめ、未確認事項は保留欄へ残す」と書きます。入力は共有ドライブ全体ではなく、案件番号の付いた複製ファイルに限定します。

作業場所は、AIが自由に使える領域です。ここでは下書き、変換、比較、試行錯誤を許可します。原本は読み取り専用にするか、作業場所へ複製してから外します。認証情報はファイルとして置かず、必要なサービスと操作だけに使える短時間の資格情報を渡します。

出口は、作業を価値へ変えると同時に、影響を社外や本番へ広げる場所です。メール送信、Web公開、データベース更新、発注、決済、削除を分けます。「送信可能」という一項目ではなく、宛先の範囲、金額、時刻、添付可能な機密区分まで決めます。

復旧欄では、元へ戻せることを完了条件に含めます。更新前の版、AIが作った差分、承認者、実行時刻を残します。AIの会話履歴だけを証拠にすると、製品の保存期間や要約処理に依存します。目的・状態・権限・完了条件を自社で保持するAI内製化と同様に、仕事の現在地は特定のAI製品の外へ置くべきです。

三つの身近な仕事へ当てはめます

社内文書の整理

入力は会議資料と議事録の複製だけにします。AIは専用フォルダー内で要約、表への変換、重複の整理を行えます。過去メールや別案件の資料が必要だと判断しても、自動探索はさせません。出力は下書きフォルダーへ置き、人が根拠リンクと機密区分を確認してから共有ドライブへ移します。

この設計なら、AIに全社検索を許可しなくても価値を試せます。不足資料の申請回数を測れば、作業場所が狭すぎるかも分かります。最初から範囲を広げるのではなく、繰り返し不足する正当な資料だけを入力一覧へ追加します。

Web制作と動画編集

AIには対象リポジトリの作業ブランチ、複製した素材、プレビュー環境を渡します。本番用の秘密情報と公開権限は分離します。画像変換やコード修正は作業場所内で進め、テスト結果と差分をそろえた後に、人が本番反映を承認します。

動画では元ファイルを読み取り専用にし、書き出し先を分けます。公開先のSNSへ直接接続させる前に、長さ、画面比率、字幕、権利確認、容量を機械的に検査します。The Vergeの試用で動画編集がうまく進んだことは有望ですが、別の素材、言語、権利条件でも同じ品質になる保証ではありません。自社の繰り返し作業で合格条件を作る必要があります。

購買と予約

AIには候補探索、条件比較、入力フォームの下書きまでを任せます。決済情報の入力、規約同意、最終注文は出口として止めます。金額だけでなく、配送先、更新契約、キャンセル条件、個人情報の送信先を確認欄へ出します。

人間確認で止まる仕組みを、失敗と見なさないことも重要です。接続先が自動操作を拒否したとき、何度も回避策を探させるのではなく、正式なAPI、手動操作、担当者への引き継ぎへ移します。完了率を上げるために境界を壊すと、短期の一件は終わっても、長期の取引関係と監査可能性を失います。

30日で端末全体から一件の作業場所へ縮めます

最初の一週間は、AIがすでに使われている一業務を選びます。過去十件を見て、実際に使った入力、アプリ、出力先、例外を記録します。想像上の全機能ではなく、終わった仕事から最小の作業場所を作ります。

二週目は、原本と作業用コピーを分けます。AI専用のフォルダー、仮想環境、作業ブランチを作り、そこから外へ出ようとした操作を記録します。フルディスクアクセスや全社共有ドライブへの権限を外して、何が本当に不足するかを見ます。

三週目は、出口へ停止点を置きます。外部送信、公開、本番更新、購入、削除の直前で、対象、差分、宛先、金額、復旧方法を表示します。承認者が判断する時間と、差し戻し理由を測ります。毎回同じ低リスク変更が承認されるなら、条件付き自動化へ進めます。

四週目は、異常を入れます。入力ファイルを一つ欠かす、権限を期限切れにする、外部サービスを停止する、予算上限へ到達させる、同名の別案件ファイルを置くといった試験です。AIが別の場所を探し回るのではなく、不足を説明して止まり、同じ案件番号で人へ渡せるかを確認します。

30日後は、次の七指標を確認します。

1. 端末全体の権限なしで完了した案件の割合
2. 登録外ファイルへのアクセス要求件数
3. 境界を越える前に停止できた割合
4. 人の承認にかかった時間
5. 誤った宛先、更新対象、金額を承認前に発見した件数
6. 原本へ戻す復旧試験の成功率と所要時間
7. AI停止後に人が同じ案件から完了できた割合

指標の目的は、警告をゼロにすることではありません。正当な不足申請と、危険な越境を区別し、必要な仕事だけを速く通すことです。権限要求が多いなら、AIが悪いと決めつける前に、入力の選び方や案件の境界が曖昧でないかを見直します。

主な出典

• The Verge「OpenAI’s Dot agent is enterprise software that can also order your dinner」（2026年10月2日、記者による試用記録）
• The Verge「Apple will limit Mac disk access as AI agents ‘substantially’ increase risk」（2026年10月2日）
• ITmedia AI＋「『長く働くAI』が裏目に？ OpenAIの“脱走事件”が示すリスクの変化」（2026年10月2日）
• ＠IT「メインフレームで『AIに実行まで任せる』が32％→23％に後退」（2026年10月2日）

結論——AIへ渡すのは端末ではなく、戻せる作業場所です

常駐型エージェントの価値は、人が画面を見続けなくても、複数のアプリをまたいで一件を前へ進められることです。その価値を使うために、端末全体の合鍵を渡す必要はありません。人が選んだ入力、専用の作業場所、境界ごとの停止、期限付きの道具、戻せる差分があれば、AIは狭い場所でも十分に働けます。

日本企業が次に比較すべきなのは、どのAIが最も長く自律動作するかだけではありません。端末全体を見せずに完了できる仕事は何か、外へ出る直前に何を確認するか、停止後に誰が同じ案件を引き継げるかです。あなたの会社でAIへ最初に渡すのは、書庫の合鍵でしょうか。それとも、一件を安全に終えて原状へ戻せる作業机でしょうか。