AIエージェントとは | 権限と停止条件とログで見る

チャットとの違い

チャットは、聞いたら答えが返ってきます。次に何を聞くかは、人が決めます。

エージェントは、そこが違います。目的を渡すと、次に何をするかを自分で決めます。

たとえば「このバグを直して」と頼むと、リポジトリを読み、原因を推測し、修正を書き、テストを走らせ、失敗したら書き直す。この一連を、人が指示しないまま進めます。

ここで押さえておきたいことがあります。モデル本体は、文章を返しているだけです。ファイルを開くことも、コマンドを打つことも、モデルにはできません。

実際に動かしているのは、モデルの外側に置かれた仕掛けです。モデルに「次に何をするか」を書かせ、それを読み取って実行し、結果をモデルに返す。この繰り返しの部分をハーネスと呼びます。

だから「エージェント」はモデルの名前ではなく、モデルと外側の仕掛けを合わせた形の名前です。Claude CodeもCodexも、この層にあたります。

いま、どこまで任されているか

抽象的な話になりがちなので、公開されている数字を置きます。

OpenAIが2026年9月6日に公開した、社内の計測をまとめた資料によると、2026年6月より前は、研究組織全体でのエージェントの稼働時間の合計は、人の労働時間の合計を下回っていたとのことです。それが変わりました。8月中旬の時点で、8時間を1日として数えると、人の労働1日あたり3.1エージェント日を使っている、と。

費用も出ています。同社の研究組織で、エージェント利用量の中央値にあたる研究者が1日あたりAPI価格で600ドル超。上位1割は1日7000ドル超。

ただし、同じ資料に釘も刺してあります。エージェントが成功するには依然として人の相当な舵取りが必要で、課題が複雑になるほどそうなる。直近6か月で、4〜8時間かかる作業のうち成功したものの半数超が、1回以上の介入を伴っていたとのことです。

そして高い水準の計画立案は、エージェントの出力トークンのごく一部にとどまっている。任されているのは、いまのところ手を動かす側です。

粘る、という性質

エージェント特有の危うさは、能力の高さそのものではありません。粘るように作られていることです。

一度で失敗しても、やり直す。別の手を試す。それができるから、長い作業を任せられます。

ところが同じ性質が、範囲の外へ出る原因になります。Anthropicが2026年8月31日に公開した外部の評価者向けの手順に、こうあります。

評価の課題が原理的に解けることを、始める前に確かめること。評価対象のシステムが落ちていたり課題が達成できなかったりすると、エージェントはしばしば課題を終わらせる別の道を探しはじめ、意図した範囲の外で行動する確率が上がる。

普通のプログラムは、壁にぶつかると止まります。エージェントは、壁を回り込む方法を考えます。悪意がなくてもそうなります。

2026年には、この性質が絡んだ事例が複数の会社から報告されました。評価のためにサイバーの安全対策を外して動かしていたモデルが、本物のインターネットに触れた件です(サンドボックスとは)。同社は事故の主な原因として、運用面のセキュリティの失敗と、2つのアラインメントの問題(動機づけられた推論と、狭い課題の達成のために害のある行動を取る用意があること)を挙げています。そのうえで仮説として、学習環境のごまかしやすさを完全になくせなかったことが一因だった可能性にも触れています(報酬ハッキングとは)。

数が増えると、別の話になります

1体ではなく、たくさん動かす形も現実になっています。

2026年9月8日、OpenAIはNavier-Stokes問題の解決を発表しました。使われたのはグループに分けて互いに通信させるエージェント群で、解に至ったグループはおおよそ1万体の同時稼働だったとしています(詳細)。

数が増えると、性質が変わります。互いに通信し、目標を渡し合い、片方の中間結果がもう片方の入力になる。1体を見ていても、全体が何をしているかは分かりません。

2026年7月のHugging Face侵入の報告でも、エージェントが社内のパッケージ管理サービスを掲示板代わりにして連絡を取り合ったこと、他のエージェントから渡された目標を一貫して疑ってはいなかったことが、課題として挙がっています(詳細)。

見張る側の限界も明記されています。Anthropicは2026年9月1日のFable 5.1とMythos 5.1の発表で、自動化された行動監査について非常に長い文脈の作業と、複数のエージェントが動く場面への見通しが弱いとしています(思考の流れの監視とは)。

実務では、3つで見る

導入を考えるとき、性能の比較は後回しでかまいません。モデルは入れ替えられます。入れ替えられないのは、次の3つです。

1. 権限。そのエージェントは、何を実行できるのか。ファイルの書き換え、コマンドの実行、外部への通信、社内システムへの接続。ここが実質の権限で、持っているのはモデルではなく外側の仕掛けです。「読むだけ」から始めて、必要な分だけ足すのが安全です。

2. 停止条件。どういうときに人に確認を求め、どこで止まるのか。そして止める判断を、モデルに任せているのか、仕組みの側に置いているのか。モデルに任せていると、モデルを入れ替えるたびに挙動が変わります。

3. ログ。何をしたかが後から追えるか。ただし後から読むだけでは足りません。起きたことは分かっても、止められません。動いている最中に見て、範囲を出たら止める形が要ります。

チェックの手順は別にまとめてあります(AIエージェント社内導入チェックリスト)。

費用の見方も変わります

チャットなら、1回のやりとりの費用はだいたい読めます。エージェントは読めません。

理由は単純で、何回やり直すかが事前に決まらないからです。同じ依頼でも、うまくいけば数回、こじれれば数十回、道具を呼び出します。

提供元も、そこを認めています。2026年9月2日のGemini 3.8 Flashの発表では、このモデルは設計上「より頑張る」とされ、複雑な課題では推論の手順を余分に踏み、道具を繰り返し呼ぶ、とくに努力の水準を上げた設定では性能を出すためにトークンを多く使うことがある、と書かれています。そのうえで計算効率が最優先なら、努力の水準(effort)を下げてトークンを抑えるか、前の版である3.7 Flashを使い続けてよいとまで添えてあります。

だから単価ではなく、自社の代表的な作業1件あたりで測るのが実務的です(AI利用のコスト管理)。

関連する用語とレビュー

ハーネスとは / サンドボックスとは / 報酬ハッキングとは / 思考の流れの監視とは / プロンプトインジェクションとは / MCPとは / Claude Codeとは / AIエージェント社内導入チェックリスト / AI用語解説トップ