人類のあした 朝の9マス

型の前提となる材料がない: 一次資料で確かめられた中身は、2つの環境の役割の違いと基準の三者構造まで。動作の過程にあたる細目(承認、POST遮断・GET記録、マイドライブ内実行、権限付与)はPDFを読めず報道頼みで未確認(A3)。使われているモデルも不明(A4)で、入力から結果までの過程を一次資料で説明できない

型の前提となる材料がない: 資料にあるのは、提供開始の発表、計画、基準の公表だけ。異常行動や事故の報告は無い。反論も、リスクの指摘や『世界初』が自己申告であることにとどまる。事故時の対応は報道で検討中とされるのみで、検証する事件そのものが無い

1. 10月20日、何が始まったのか
2. 前提と、たどる三つの段階
3. 段階1 いま始まったエージェントチャット
4. 段階2 年末を目指す源内工房
5. 段階3 自治体と民間へ
6. 予測と想像の境界
7. 三つの段階を並べる
8. あなたが見守る段階は

10月20日、何が始まったのか

2026年10月20日、デジタル庁は、政府職員約18万人を対象に、エーアイエージェントを使える環境の提供を始めました。手軽にエージェントを作って動かせるエージェントチャットを、この日から各府省庁へ順次導入しています。あわせて、使う人、管理する人、作る人ごとに守ることを定めた安全ルール、源内基準を、エーアイ・セーフティ・インスティテュートの協力で作り、公表しました。

古川デジタル大臣は会見で、この規模の導入は同庁の調査で世界初だと述べました。その一方で、エージェントを使うことで「リスクも若干上がってくる」とも認めています。

前提と、たどる三つの段階

ここで知りたいのは、すごい取り組みかどうかだけではありません。本当の問いは、自分で判断して作業を進めるエーアイを、18万人に安全に使わせられるのか。そしてルールは何を人間に残し、何を禁じているのか、です。今日は、いま始まった段階、年末を目指す段階、来年を目指す段階の三つをたどります。

その前に言葉をそろえます。エーアイエージェントは、質問に答えるだけでなく、調べる、書く、ファイルを動かすといった手順を自分で判断して進めます。相談相手から、仕事を任せる助手に変わるイメージです。大臣も、エーアイが自律的に判断と行動を繰り返すため、これまで以上にセキュリティの確保が求められると述べています。

源内そのものは2025年5月にデジタル庁内で運用が始まり、2025年12月には高市総理大臣が、2026年5月から10万人以上が使えるようにすることを含めて徹底活用を指示しました。2026年5月29日時点で、約10万人が利用できる状態です。今回のエージェントは、その上に加わる機能です。

段階1 いま始まったエージェントチャット

最初の段階が、エージェントチャットです。デジタル庁は2026年8月の説明会で、候補の機能としてウェブ検索、文書の生成、コードの実行、作業手順をまとめたスキルの作成と実行を挙げていました。ただし開発中で、変更の可能性があるとされています。導入の目的は、現場主導の業務改革、効率化と質の向上、エーアイを使える人材の育成だとしています。

たとえば、ある職員が公開されている統計を集めて、会議用の下書き資料を作る場面を考えてみます。検索して、写して、まとめる作業をエージェントに任せられると仮定すると、職員の仕事は手を動かすことから、出てきたものを確かめることへ移っていくかもしれません。

報道によると、エージェントチャットはデジタル庁の資料でクロード・コワーク相当と説明されているとされます。また、利用者本人の保存領域であるマイドライブの中で動き、管理されていない外部のサービスには直接つながらない仕組みだと報じられています。

なお、どのエーアイモデルが使われているかは、公式の発表にも報道にも書かれていません。

では基準は、この段階で何を人間に残しているのか。報道によれば、ファイルの更新や削除など影響の大きい処理の前には、利用者自身が実行してよいかを判断します。エーアイの出力を確かめずに公文書へ写すことは認めません。そして、エーアイが使えない場合でも重要業務をこなせる能力を保つことが明記されていると報じられています。

禁じる側も見ておきます。報道では、機密性3の情報、特定秘密、重要経済安保情報を源内で扱うことを禁じ、その禁止は添付ファイルやマイドライブへの保存にも及ぶとされています。どこまで扱えるかは、各府省庁が自らの規程で定める必要があるといいます。

次は、職員が本格的な道具を自分で組み立てる段階です。手軽さが、ここでは権限の重さに変わります。

段階2 年末を目指す源内工房

二つ目の段階が源内工房です。高度なエージェントを組み立てて動かす環境で、デジタル庁は令和8年、つまり2026年12月頃までの導入を目指すとしています。確定した提供日ではなく、目標です。説明会資料では、個人用サーバー上のコーディングエーアイ環境や、深く調べ物をするディープリサーチ、試作開発が候補に挙がっていました。

報道によると、工房はクロード・コード相当と説明されているとされます。初期状態では使えず、一定の能力を確認された職員の申請に基づいて、管理者が権限を与える仕組みです。外へデータを送り出す通信は止め、情報を取ってくる通信は許したうえで記録する、と報じられています。

さらに報道では、職員が作ったスキルを府省庁の間で共有する源内ライブラリがあるとされます。基準は立場ごとに、利用者には外部資料に紛れた悪意ある指示、プロンプトインジェクションへの警戒を、管理者には利用状況とコストの把握を、開発者には権限の分離、変更の管理、監査の記録を求めていると伝えられています。

一人が作った便利な道具が隣の部署でも使われるなら、個人の工夫が組織の仕組みに変わっていくかもしれません。その分、間違いも一緒に広がりえます。

報道では、エージェントはファイルやウェブ、コマンドを自律的に操作するため、判断を誤ると実際の処理ミスにつながりうると指摘されています。また、府省庁ごとに利用者を止めたりモデルを設定したりする管理者機能や、高リスク業務向けの利用記録はまだ検討段階で、それまで工房で事故が起きた場合はデジタル庁が利用停止に対応すると報じられています。

ここまでは政府の中の話です。では、同じ道具が役所の外へ出たらどうなるでしょうか。

段階3 自治体と民間へ

三つ目の段階です。デジタル庁は、エージェントチャットと源内工房を、誰でも利用、改変、再配布できる源内オープンソース・バージョン2.0として、2027年2月頃を目途に公開する計画です。すでに2026年4月24日には、源内の一部をギットハブで、商用利用もできる形で無償公開しています。

大臣は源内基準について、地方自治体や民間事業者が自分の組織のエーアイガバナンスを考えるうえでも広く参考になると述べ、政府がまず率先して取り組み、広げていくことに意義があるとしています。

これが実現すると仮定すると、前提が一つ変わります。エージェントを使うかどうかは国や大企業だけでなく、小さな町の役場でも選べる話になるかもしれません。

ただし報道では、オープンソースを手に入れても、デジタル庁と同じ運用体制まで手に入るわけではないと指摘されています。導入先の自治体などは、情報管理や権限付与の手順を自前で整える必要があるということです。

政府の中でも、大規模実証は2027年3月までの予定で、本格的な利用はその結果を踏まえて2027年度からとされています。

予測と想像の境界

ここで線を引いておきます。確かなのは、10月20日にエージェントチャットの順次導入が始まり、源内基準が公表されたことです。源内工房の12月頃、オープンソースの2月頃は、デジタル庁自身の計画と目標です。世界初という言葉も同庁の調査に基づく主張で、第三者が確かめたものではありません。

報道でも、約18万人は対象の人数で、全員がすでにエージェントを使っているわけではないと指摘されています。基準が53ページあると報じられていることも含め、今日紹介した基準の細目は報道を通じたもので、公式の原文ではまだ確かめられていません。

そして、権限や制限を設けても安全が保証されるわけではなく、外部資料に紛れ込んだ悪意ある指示は残るリスクだ、という指摘も報道にあります。

三つの段階を並べる

冒頭の問いに戻ります。いまは、一人の職員が手軽にエージェントを使う段階。年末を目指すのは、選ばれた職員が本格的な道具を組み立てる段階。来年を目指すのは、その道具とルールが役所の外へ出ていく段階です。

報道が伝える基準の姿からは、仕事をエーアイに任せながらも、最後の判断と確認、そしてエーアイなしで仕事を続ける力を人間の側に残そうとしていることが見えてきます。一方で、リスクが上がることは大臣自身も認めています。事故が起きたときの責任の所在や、実際に何人が使っているかは、まだ分かっていません。

あなたが見守る段階は

今日の三つの段階のうち、あなたが一番慎重に見守るべきだと思うのはどれでしょうか。手軽な道具が18万人に広がっていく今か、職員が自分で道具を作り始める年末か、それとも同じ仕組みが自治体や民間へ出ていく来年か。あなたなら、どこに一番目を光らせますか。

1. 眠っているあいだに、AIが先に動く
2. 話の前提と、この回の限界
3. 一つの仕事を、最後まで追う
4. 承認ボタンの裏側
5. 操作を変えると、結果はこう変わる
6. まだ分からないこと
7. もう一度、画面を消したあとの朝へ

眠っているあいだに、AIが先に動く

スマホの画面を消して眠っているあいだに、AIがメールや請求書を先に片づけておく。アンソロピックが2026年10月21日に発表したクロード・デュエットは、そういう動き方をします。クラウド上の仮想マシンと専用のブラウザで動くので、スマホやパソコンの電源が入っていなくても作業が続きます。ただし、メッセージの送信、支払い、書類への署名、削除の前には、何をするかを正確に見せて承認を待ちます。そして証券の売買や口座間の資金移動は、承認があってもしません。

普通、AIはこちらが話しかけて初めて動く道具だと思われています。デュエットは逆で、自分から先に動くプロアクティブ・エージェントとして作られています。本当の問いは、先に動くAIにどこまで任せてよく、どこに危うさが残るのか、です。今日は朝のまとめから承認ボタンまで、一つの仕事の流れを最後までたどります。

話の前提と、この回の限界

まず前提です。デュエットはリサーチプレビュー、つまり試験公開の段階です。対象は米国のプロとマックスの契約者で、順番待ちの登録制です。チームとエンタープライズのプランはまだ対象外です。アイオーエスとアンドロイドの単独アプリとして提供され、パソコンではウェブ版で使います。中心になっているモデルはクロード・オーパス5.5です。

デュエット専用の料金は示されておらず、プロとマックスのプランに含まれます。利用上限はクロードのほかの機能と共通で、裏での定期確認もこの上限を使います。財務モデルや資料作成のような大きな作業ほど、多く消費します。

今日の話の出どころは、ほぼアンソロピック自身の発表記事、安全についての解説ページ、製品ページです。開発者や経営陣の名前のある発言や、第三者による検証の結果は見つかっていません。会社の説明をたどる回だと思って聞いてください。

一つの仕事を、最後まで追う

たとえば、小さなお店のオーナーが、会計ソフトのクイックブックスとジーメールをつないでいると仮定します。

デュエットはつないだアカウントを、常時ではなく数時間おきに確認します。常に見ていると利用上限をすぐ使い切るから、という説明です。そして毎朝、つないだアプリ全体から、いちばん重要な事柄を短くまとめたブリーフを送ってきます。

製品ページが挙げる作業例には、未払いの請求書を見つけること、返信の下書き、給与計算の確認準備、契約書の送付準備などがあります。ここでは、朝のブリーフに未払いの請求書が載り、催促メールの下書きまでできていた、と仮定してみましょう。

ここで手が止まります。メッセージを送る前に、デュエットはこれから何をするかを見せて、承認を待ちます。承認画面には、実行する操作、送り先、内容が、受信者全員まで含めて表示されます。出す直前の封筒を、宛名ごと見せてくれる秘書のような動きです。

発表記事に登場する、プロ・ホームズのブローカー兼オーナー、ジェス・プロヴェンチャーさんは、頼まなくても拾ってほしかった、まさにそういうもの、と話しています。シャーズ・オブ・カバブのオーナー、アミン・エブラヒミさんは、全部をまとめてくれるから、タブを百個も開かなくていい、と言います。主な対象は、追うことが多い専門職と小規模事業者です。

ここまでは、承認ボタンという目に見える仕組みの話です。では、見えないところでは何が起きているのでしょうか。

承認ボタンの裏側

まず、デュエットはパスワードやブラウザのクッキー、サインイン用のトークンといった認証情報を見ない、とされています。パスワードは使い捨ての鍵で暗号化され、ブラウザ側の機械が入力します。トークンはエージェントの機械の外に置かれ、通信の時点で中継役が本物の値を差し込みます。秘書に合鍵を渡すのではなく、ドアの前の守衛が開けてくれる形に近いです。

次に、その操作が利用者の意図に合っているかは、作業するモデルとは別の自動チェックが判定します。クロード・コードのオートモードの分類器を基に、デュエット向けに広げたものです。アンソロピックは、モデルの外で動くため、ページに隠された指示、いわゆるプロンプトインジェクションが判定を左右できない、と説明しています。

検証としては、無害な場面、指示を注入される場面、やりすぎを誘われる場面の三つのパターンでの評価、レッドチーム、ソースコードを見られる外部企業による侵入テストが挙がっています。公開バグバウンティの対象でもあります。ただ、クラウドブラウザとサインイン画面を対象にした追加の検証は、10月23日の公開時点で実施中でした。

では、お金や個人情報が絡む操作に変えると、結果はどう変わるでしょうか。

操作を変えると、結果はこう変わる

買い物を頼むと、デュエットは商品を確認し、ストライプのデジタルウォレットであるリンクの側で支出の承認を求めます。支払いには仮想カードを使い、本物のカード番号は共有されません。この使い捨てカードは一つの店、一つの金額に限られます。承認だけでなく、カードそのものに柵が付いているのが意外な点です。

支払い、送金、注文の削除、アカウントの作成は、次回から確認しない、という設定の対象になりません。便利さのために承認を省く道が、最初から閉じてあるわけです。

機密情報は二段階で扱います。絶対に共有しないのは、サインイン情報、カード番号や口座番号の全桁、政府発行の身分証の番号。共有に同意が要るのは、健康や財務の情報です。下書きのメッセージは、送る前に専用の分類器が毎回チェックします。

一方で、意外な落とし穴もあります。アプリの接続を切ると新しいアクセスは止まりますが、すでに学んだ内容は、メモリをリセットするまで残ります。会話履歴とメモリは、利用者が消すまで保持されます。

つながる先は広く、ジーメール、スラック、ドキュサイン、ハブスポット、ショッピファイなどが名前を挙げられています。数で言うと、2026年10月21日時点で6,000以上のコネクタとプラグインです。アプリの数そのものとは限らない点には注意が要ります。

まだ分からないこと

ここまで聞くと、かなり固く守られている印象かもしれません。ただし、アンソロピック自身が限界を書いています。スレッドを読み違えたり、何が急ぎかの判断を誤ったりしうること。確認と確認のあいだに届いたものを見逃しうること。チケット予約のような個人の用事は、仕事の作業ほど得意ではないこと。作業中のブラウザ画面は、まだ利用者に見せられないこと。

安全策についても、見落としや、無害なメッセージを止めてしまうことがありうると認めています。承認を求める回数が多すぎると、中身を見ずに押してしまう承認疲れが起きる。その頻度はまだ調整中です。ページの文字やダウンロードしたファイルはエージェントに届くので、承認チェック以外の対策も要る、とも書いています。

外からの声もあります。シービーエスは匿名のセキュリティ専門家の懸念を伝え、共有する情報を絞るよう勧めています。イタリアのプント・インフォルマティコは、メタも自社のエージェントのミューズで同様のプライバシーの約束をしたが守られなかった、と同誌の見方として指摘しています。テッククランチは、メタのミューズやオープンエーアイのドッツなど、競合がすでに多いことを挙げています。

資料から分からないこともあります。日本で使える時期は示されておらず、当面は使えないと考えておくのが無難かもしれません。チームとエンタープライズへの提供時期、正式版の料金、確認作業が上限をどれだけ使うか、データがモデルの学習に使われるかどうかも、今回の資料では確認できませんでした。

もう一度、画面を消したあとの朝へ

最初の場面に戻ります。画面を消したスマホの向こうで、AIが請求書を見つけ、メールの下書きを用意している。ここまでの材料から言えるのは、デュエットが先に動くのは主に、見つける、まとめる、下書きする、の部分だということです。送る、払う、署名する、消すの手前では止まり、証券の売買や口座間の送金には、承認があっても手を出しません。

一方で、止まった場面で本当に中身を読むのは人間の側です。承認疲れの調整がどこに落ち着くのか、第三者の検証がどう出るのかには、まだ答えがありません。

今日たどった中で、いちばん意外だったのはどれでしょう。電源が切れていても動くこと、一つの店と一つの金額に限られる使い捨てカード、接続を切っても学んだ内容が残ること、それとも承認疲れを会社自身が課題に挙げていること。あなたなら、この中のどれを見て、まずどの仕事から任せてみますか。

型の前提となる材料がない: 新製品のリサーチプレビュー発表で、Duetによる異常行動や被害の報告は無い。第三者の脆弱性報告も『見つからなかった』と明記されている。批判は懸念の段階にとどまり、確かめる事件の材料が無い

型の前提となる材料がない: タイムラインは10/21の発表と10/23の安全ページ公開の2点だけ。日本提供・Team/Enterprise・正式版の時期と料金はすべてunknownsで、変化の順序を示す公式のロードマップが無い。描こうとすると推測になる

執筆担当の台本が得られない（no JSON object in result）。担当の返答: この台本の下書きは途中で止まったため、ここで続きを書いたり、言い回しを変えて書き直したりすることはできません。最後まで出力できなかったので、JSON は不完全なままです。運営者が朝に選ぶ候補からは外してください。 別のネタか、別の構成の型を割り当てていただければ、そちらで書きます。

執筆担当の台本が得られない（no JSON object in result）。担当の返答: 前回の回答は安全分類器によって途中で止められたため、この台本の下書きはここでは作り直せません。言い回しを変えて同じ内容を出し直すこともしません。 このネタで下書きが必要な場合は、運営者側で入力資料や依頼の範囲を見直したうえで、改めて依頼してください。

型の前提となる材料がない: 今後について資料にあるのは、AISIが『より強い制御ができるまで』インターネット接続を無効にすることと、METRのレビュー予定だけ。時期や段階の材料が無い。暮らしや社会に影響が広がる道筋も資料に無い