AIはどこの国かより、どこまで触れるか——政府18万人・AIブラウザ越境・DeepSeek排除から作る「実行経路票」

日本政府は、約18万人の職員が使えるAIエージェント環境を段階的に広げようとしています。同じ日に、AIブラウザが別サイトの情報へ触れ得る研究と、米政府がDeepSeek製品を連邦民間機関の調達・情報システムから排除する命令も報じられました。

三つのニュースを並べると、AI選定の問いが変わります。「どのモデルを採用するか」だけでは足りません。そのAIは、どの資料を読み、どの画面を見て、何を記憶し、どのファイルや外部サービスを操作できるのでしょうか。

モデルの開発国は、法制度、供給網、運営主体、更新方針を評価する手掛かりの一つです。しかし、国名だけで実際のデータ移動や操作権限は分かりません。反対に、安全性を強く訴えるモデルでも、ログイン済みのブラウザ、共有フォルダー、メール、コマンド実行へ広く接続すれば、影響範囲は大きくなります。

本記事では、日本の組織がAIエージェントを導入するとき、モデル名の一覧とは別に作る「実行経路票」を提案します。入力、閲覧、記憶、実行、送信、復旧を一件の業務へ結び、便利さを残したまま越えてはいけない境界を狭くします。

複数の接続経路が光で結ばれた地球とネットワーク

結論——モデル台帳と実行経路票を分けます

AI調達では、提供会社、開発国、利用規約、保存地域、学習利用、第三者認証、価格、性能を確認します。これらは必要です。ただし、同じモデルでも、単独のチャットとして使う場合と、ブラウザや社内システムを操作するエージェントとして使う場合では、事故の形が違います。

そこで、モデルを評価する台帳と、業務ごとの実行経路票を分けます。前者は「何を採用したか」を管理し、後者は「一件の用事で何に触れるか」を管理します。

実行経路票には、少なくとも次の十欄を持たせます。

欄	記録する内容
完了対象	何ができたら一件を閉じるか
入力	人が渡す文書、質問、個人情報、機密区分
閲覧	AIが見られるタブ、サイト、メール、ファイル
記憶	会話履歴、長期記憶、検索索引へ残る内容と期間
実行	作成、修正、送信、公開、購入、削除、コマンド実行
接続	外部API、拡張機能、社内システム、別エージェント
送信	データの宛先、処理地域、再委託先、ログ保存先
承認	人が確認する差分、金額、宛先、期限
停止	回数、時間、費用、例外、権限外アクセスの上限
復旧	取消、原本復元、記憶削除、手作業への引き継ぎ

この票の要点は、危険な国と安全な国を二分することではありません。モデル、画面、認証、記憶、道具、外部送信を一つの経路として読み、用途ごとに不要な部分を閉じることです。

以前の記事では、AIがWebへ入る際に依頼者、目的、操作、期限を示す「代理アクセス証」を提案しました。実行経路票は、その手前にある組織内の設計図です。誰の代理かを示すだけでなく、その代理人が何を見られ、何を持ち帰り、どこへ書き込めるかを決めます。

政府18万人への展開は、利用者・管理者・開発者を分けました

デジタル庁は10月20日、「ガバメントAI 源内」で二種類のAIエージェント利用環境を提供すると公表しました。「エージェントチャット」は同日から各府省庁へ順次導入し、より高度な「源内工房」は12月ごろまでの導入を目指します。

源内工房は、自然言語の指示を基にコードの生成・修正、ファイル操作、コマンド実行、テストなどを自律的に進めるAIコーディングエージェントに相当する機能を持つと説明されています。専門職だけでなく一般職員も日常業務で使える政府共通基盤として、対象は約18万人です。

規模だけを見ると、何人が使えるかが主役になります。しかし、本当に重要なのは、従来の対話型AIより実行範囲が広がることです。文案を画面へ返すだけなら、人が別のシステムへ転記する段階で確認できます。AI自身がファイルを修正し、コマンドを実行し、別の道具を呼ぶなら、確認点を経路の途中へ置かなければなりません。

デジタル庁はこの展開に合わせ、「源内基準」を公表しました。基準は「利用者」「管理者」「開発者」の立場ごとに責務と遵守事項を分け、AIセーフティ・インスティテュートの協力を得て策定したとしています。地方公共団体や民間事業者がAIエージェントの統制を考える際の参考にもする考えです。

役割を三つに分ける意味は大きいです。利用者だけへ「注意して使う」と求めても、画面から見えない接続、保存、更新、ログ、権限は管理できません。管理者だけへ責任を集めても、現場業務の例外や本当の完了条件は分かりません。開発者だけでは、利用者が別の用途へ転用したときの影響を追い切れません。

実行経路票では、三者の責任を次のように接続します。

利用者は、目的、入力、期待する成果、外部へ出してよい範囲を記録します。
管理者は、認証、接続先、保存、監査ログ、利用上限、停止方法を設定します。
開発者は、AIが見られる情報、呼べる道具、失敗時の再試行、更新時の差分を示します。
承認者は、公開、送信、原本更新など、戻しにくい操作だけを引き受けます。

四者目として承認者を置くのは、管理者が全業務の内容を判断できるとは限らないからです。制度文書なら制度の所有者、住民向け案内なら担当課、支払いなら会計権限者が最終差分を見ます。

AIブラウザは、画面を見る権限を作業権限へ変えます

ワシントン大学の研究者は、七種類のエージェント型ブラウザや関連機能を対象に、Webの「同一オリジンポリシー」がどう扱われるかを調べました。同一オリジンポリシーは、互いに信頼していない別サイトが、同じブラウザ内の情報を勝手に読み書きできないようにする基本的な境界です。

例えば、利用者が銀行へログインしたタブと、悪意のあるサイトのタブを同時に開いていても、通常は後者が前者の口座情報やCookieを読めないようにします。ところが、ブラウザを人のように操作するAIへ複数ページの内容を見せ、入力や送信も許すと、従来は分離されていた情報がAIを経由して移る可能性があります。

研究では、ChatGPT Atlas、Chrome with Gemini、Claude for Chrome、Perplexity Cometなどを含む七つの環境が調査されました。研究チームはChatGPT Atlasのエージェントモードで、別オリジンのデータを盗む概念実証を行い、ほかの複数環境でも、プロンプトインジェクションが成功した場合に越境攻撃へつながる前提条件を確認したと報告しています。

ここでは、七製品を一つの危険度へまとめてはいけません。研究時点は2026年1月末から2月初めで、構成や提供状況は変わり得ます。調査された機能と権限も製品ごとに異なります。また、実利用者の銀行情報を盗んだ被害報告ではなく、研究者自身の環境で行った試験です。

それでも、設計上の重要な警告があります。AIが人に代わって画面を見ると、Webページの文章が「読む対象」なのか「従う命令」なのかを誤って扱う可能性があります。悪意のあるページに隠された指示をAIが命令として受け入れ、別タブの内容を読み、元のページのフォームへ書き戻せば、サイト間の壁がAIの判断へ置き換わります。

ログイン情報と複数の接続先を分離して確認するセキュリティ画面

企業や自治体が「ブラウザ操作対応」とだけ書いて調達すると、必要以上の権限を一括で渡しやすくなります。実行経路票では、閲覧と操作をさらに分けます。

ブラウザ権限	初期設定	開放する条件
公開ページを読む	許可	接続先と取得時刻を記録します
同一業務のログインページを読む	限定	専用プロファイルと対象サイトを固定します
別タブの内容を参照する	原則停止	業務上の必要性と組み合わせを事前登録します
入力欄へ下書きする	限定	送信前に差分を人へ表示します
送信・購入・公開する	人の承認	宛先、金額、公開範囲、取消期限を示します
パスワード欄や認証情報へ触れる	禁止	AIへ値を渡さず認証基盤側で処理します

専用プロファイルとは、日常のブラウザとAI作業用ブラウザを分けることです。ネットバンキング、個人メール、管理者画面を開いたまま、同じセッションで不特定のWeb調査をさせません。AI作業用には必要なサイトだけへログインし、終わったらセッションと一時権限を失効させます。

DeepSeek排除は、モデル名より広い供給経路を対象にしました

米国土安全保障省は、DeepSeekと関連会社が開発したIT製品・サービスを、連邦民間機関の調達対象から除外する命令を公示しました。さらに、DeepSeekの製品だけでなく、DeepSeekの実装を使って開発された第三者の製品・サービスも、民間機関の情報システムから取り除く対象としています。

ここで注目したいのは、アプリの表面にDeepSeekと書かれている場合だけを対象にしていない点です。第三者製品の内部で使われる実装まで含めるなら、調達側は、完成品のブランド名だけでなく、その下にあるモデル、推論基盤、部品、更新経路を把握する必要があります。

一方、国内のセキュリティ専門家は、特定国のモデル全般を一律に危険と見る説明を補足し、ガードレールの強さは開発元、モデル、版によって異なると指摘しました。オープンウェイトモデルでは国籍を問わず手元で制限を外せる場合があり、API型のモデルも制限回避による悪用事例があります。本質は、攻撃者が安全対策の弱い、または外されたAIへアクセスできる状況だという説明です。

二つは単純な反対意見ではありません。政府調達では、法令、国家安全保障、供給網、データ移転、事業者統制を含め、特定の製品群を除外する判断があります。同時に、日々の防御では、国名だけで多要素認証、脆弱性修正、権限分離、ログ監視を代替できません。

日本企業は、調達除外と運用制御を別の列にします。

判断	問うこと	結果
調達適格性	法令、契約、供給国、運営主体、再委託、更新元を受け入れられるか	採用、条件付き採用、除外を決めます
モデル安全性	対象版のガードレール、評価、既知の弱点、改変可能性は何か	利用範囲と追加評価を決めます
実行権限	何を読み、書き、送信し、削除できるか	最小権限と承認点を決めます
業務復旧	停止、切替、記憶削除、原本復元ができるか	代替経路と撤退条件を決めます

「海外製だから不採用」または「国内環境だから安全」で止めず、なぜ除外し、採用後に何を閉じ、事故時にどこまで戻せるかを残します。

記憶を経路として管理しなければ、別の日へ影響が残ります

AIブラウザ研究では、別サイト由来の悪意ある情報がエージェントの記憶へ入り、後の回答へ混ざる可能性も扱われました。その場では偽情報を採用しなくても、履歴や長期記憶に偽の連絡先が残り、後日、正規情報のように返される恐れがあります。

従来のアクセス制御は、今この瞬間に誰がどのファイルを読めるかを中心に設計されてきました。AIでは、読んだ内容が要約、埋め込み、会話履歴、検索索引、改善用ログへ変換され、元ページを閉じた後も残る場合があります。したがって、閲覧権限が切れても、記憶経路が切れていなければ影響は終わりません。

実行経路票では、記憶を四つに分けます。

一件限りの作業記憶

処理中だけ保持し、完了または停止時に消します。公開情報の比較や一時的な下書きは、まずこの範囲で試します。

利用者の会話履歴

本人が後から参照する履歴です。保存期間、検索対象、削除方法を画面から確認できるようにします。別の利用者へ自動共有しません。

組織の知識索引

正式文書や承認済みQ&Aを再利用する領域です。個人の会話を自動で昇格させず、所有者、発効日、失効日、適用範囲を付けます。古い規定をAIが参照し続ける問題は、ルールの有効期限を管理する記事でも整理しました。

提供者側の運用ログ

障害対応、不正利用検知、品質改善などに使われる記録です。入力本文が残るのか、統計だけか、再委託先へ渡るのか、保存地域と期間はどうかを契約と技術設定の両方で確認します。

記憶を消す操作も、利用者画面の削除ボタンだけでは終わりません。会話、索引、キャッシュ、監査ログ、バックアップのどこまでが削除対象で、法令上残す記録は何かを分けます。

日本組織は三つの作業区域から始められます

約18万人規模の政府基盤を、そのまま一企業へコピーする必要はありません。最初は、AIが触れる場所を三つの作業区域へ分けるだけでも、実行経路が見えます。

第一は公開調査区域です。ログイン不要の公開ページ、公開資料、公開データだけを扱います。AIは読み取りと下書きができますが、外部送信、購入、公開、社内原本の更新はできません。Web上の文章は全て信頼できない入力として扱い、引用元と取得時刻を残します。

第二は社内準備区域です。承認された社内資料、共有フォルダー、会議記録を扱います。個人情報や機密区分に応じて対象を絞り、出力は新規ファイルへ保存します。原本を直接上書きせず、人が差分を確認してから反映します。

第三は実行区域です。メール送信、申請、公開、購入、データ更新、コマンド実行などを扱います。読み取り区域と認証を分け、操作ごとに短時間の権限を発行します。金額、人数、宛先、対象件数、再試行回数に上限を置きます。

コード・ファイル・実行結果を分けて確認する開発作業画面

同じAIを三区域で使う場合も、権限セットを共有しません。公開調査で得たページの指示が、社内ファイル操作やメール送信へそのまま届かないようにします。区域をまたぐときは、情報を一度成果物として固定し、出典、欠落、未確認事項を人または定めた検査が受け入れてから次へ渡します。

30日で実行経路票を試します

第一週は、AIを使いたい業務を十件だけ選びます。情報収集、文案作成、ファイル整理、問い合わせ準備など、開始と完了が分かる単位にします。各業務について、現在使っているブラウザ、認証、ファイル、メール、外部サービスを書き出します。

第二週は、読み取り専用で動かします。公開調査区域または限定した社内準備区域だけを使い、AIが実際に開いたページ、読んだファイル、作った下書き、残した履歴を記録します。想定外の接続先や、不要な別タブ参照が一つでもあれば、機能を足す前に閉じます。

第三週は、戻しやすい実行を一つだけ許可します。新規ファイルの作成、検証環境への登録、未送信メールの下書きなどです。原本更新、外部送信、公開、購入、削除は人の承認に残します。承認画面には、実行前後の差分、宛先、費用、取消可能時間を表示します。

第四週は、更新と事故を想定した訓練をします。モデルの版を変更し、同じ十件で閲覧、記憶、実行範囲が変わらないかを確認します。悪意ある指示を含む試験ページ、古い社内規定、誤った連絡先を混ぜ、AIが命令と資料を分けられるか、記憶へ残した場合に消せるかを確かめます。最後にAIを停止し、別担当者が手作業または代替ツールで一件を閉じます。

月末には、次の指標を並べます。

一件当たりに閲覧したサイト、タブ、ファイルの数
想定外の接続、別区域参照、権限要求の件数
外部送信、原本更新、コマンド実行の件数
人が承認前に止めた操作と、その理由
作業記憶、会話履歴、組織索引へ残った件数
記憶削除と認証失効にかかった時間
更新後に権限や出力が変わった件数
AI停止後に別経路で完了できた割合

処理時間が短くなっても、閲覧先、記憶、外部送信が説明できなければ、本番範囲を広げません。反対に、経路が固定され、停止と復旧を再現できるなら、一つずつ対象業務を増やします。

AIエージェントの同時稼働予算と組み合わせれば、どこまで触れるかに加え、同時に何件まで動かすかも管理できます。経路と件数は別の上限です。一件の権限が狭くても、千件を同時実行すれば影響は広がるためです。

公表時は「採用モデル」より一件の経路を示します

AI導入の発表では、採用したモデル、利用人数、削減時間が目立ちます。しかし、利用者や顧客が知りたいのは、自分の情報がどこへ入り、誰が何を変更でき、問題が起きたときに戻せるかです。

公表には、全ての内部構成や防御方法を書く必要はありません。対象業務、入力する情報区分、AIが実行できる操作、人の承認が残る操作、保存期間、問い合わせ・訂正・削除の窓口を示します。行政なら、AIが答弁や制度案内の原案を作った場合も、事実確認者と決裁者を明らかにできます。企業なら、顧客メールが下書きまでか、自動送信までかを分けられます。

また、「国産」「政府基盤」「大手提供者」という言葉を安全性の結論にしません。供給網の説明にはなりますが、利用者の画面で起きる別タブ参照、記憶、外部送信、原本更新を自動的に制限するものではないからです。

出典

まとめ——導入前に、AIが通る道を一本描きます

政府職員約18万人への源内展開は、AIエージェントが一部の専門家の実験から、一般職員の日常業務へ移る節目になります。利用者、管理者、開発者の責務を分けた基準は、自治体や企業にも有用な出発点です。

同時に、AIブラウザ研究は、便利な画面操作が、長年守られてきたサイト間の境界へ新しい経路を作ることを示しました。DeepSeek排除命令は、表面の製品名だけでなく、第三者製品の内部にある実装まで供給網として捉える判断です。そして、特定国のモデル全般を一括評価できないという専門家の補足は、日常防御を国名へ委ねてはいけないことを教えます。

導入会議でモデル一覧を開いたら、その隣に一件の実行経路票を置いてみてはどうでしょうか。入力した資料から、閲覧、記憶、実行、送信、復旧まで一本の線を引けるでしょうか。その線を利用者、管理者、開発者、承認者が同じように説明できるなら、AIエージェントは正体の見えない万能権限ではなく、仕事ごとに境界を持つ道具へ変わっていきます。