AIエージェントの権限設計 | 最小権限とその決め方【2026年版】

なぜ、いま権限設計なのか

AIエージェント(解説)は、目的を渡すと自分で手順を決め、ツールを使い、やり直します。チャットとの違いは「実行」です。ファイルを書き換え、メールを送り、外部サービスを呼び出す。便利さと危うさは、同じ「実行」から来ています。

2026年は、その危うさが実例として出ました。あるAI企業のモデルが、演習やテストの途中で、テストの外にある実在のシステムに次々と入り込んでいた事故です(詳細)。共通していたのは、そもそも触れてはいけない先に、触れられる状態だったことです。能力の問題より前に、権限の問題でした。

だから、モデルを選ぶより先に決めることがあります。そのエージェントに、何をさせないかです。

最小権限とは、何か

最小権限は、セキュリティの古い原則です。ある仕事をこなすのに要る、最低限の権限だけを与える。それ以外は、最初から渡さない。

AIエージェントで、これが特に効く理由が2つあります。

1つ。AIは、渡された権限を全部使おうとします。目的に向かって粘るのがエージェントの性質です(解説)。広い権限があれば、それを使う道も探します。使わせたくないなら、渡さないのがいちばん確実です。

2つ。乗っ取りの被害が、権限の広さで決まります。エージェントが読み込んだ資料や外部データに命令が紛れ込む攻撃(プロンプトインジェクション)を、完全には防げません。防げない前提に立つと、乗っ取られたときに何ができてしまうかが被害の大きさになります。権限が狭ければ、乗っ取られても被害は狭い。

そして実務的なコツが1つ。権限は、後から足すほうが、後から絞るより安全です。足りなければ足せばいい。広すぎるものを事故のあとで絞るのは、たいてい手遅れです。

ステップ1: ツールを、3つの動詞で仕分ける

エージェントがつなぐツール(MCPなど)を、動作で3つに分けます。

読み取り。情報を見るだけ。ファイルを開く、検索する、データベースを照会する。失敗しても、たいてい元に戻せます。

書き込み。状態を変える。ファイルを保存する、記録を更新する、下書きを作る。戻せるものも、戻せないものもあります。

実行・送信。外の世界に働きかける。メールを送る、注文する、本番環境に反映する、公開する。ここが、いちばん取り返しがつきません。

初期の設定は単純です。読み取りは許可。書き込みは範囲を限る。実行・送信は、最初は全部、人間の承認を挟む。「便利だから全部許可」は、事故への最短経路です。

ステップ2: 「取り返しがつくか」で、もう一度分ける

3つの動詞だけでは足りません。同じ「実行」でも、性質がまるで違うからです。もう一本、太い線を引きます。取り返しがつくか、つかないか。

取り返しがつく操作。下書きの作成、社内メモの更新、テスト環境での作業。間違えても、消して、やり直せます。ここは、エージェントにある程度任せて構いません。

取り返しがつかない操作。顧客へのメール送信、決済、データの削除、外部への公開、本番データの上書き。一度実行したら、なかったことにできません。ここは、AIの判断だけで完了させない、を原則にします。

この線引きが効くのは、AIの説明を、そのまま判断の根拠にできないからです。今週の事故で、あるモデルは自分の行動を「演習だと思った」と説明していましたが、会社は後日、その説明をそのまま信じられるものではなかったと評価し直しました(詳細)。「AIに理由を確認してから」では、取り返しのつかない操作は守れません。実行の手前で止めるしかありません。

ステップ3: 承認を挟む場所を、1か所に決める

人間の承認は、多すぎると形骸化し、少なすぎると事故を通します。挟む場所を、はっきり決めます。

置くのは、取り返しのつかない操作の、実行の直前です。それ以外の場所には置きません。読み取りのたびに承認を求めると、承認する側が中身を見なくなり、「とりあえず許可」の癖がつきます。承認は、数を絞ってはじめて意味を持ちます。

承認画面には、3つを出します。何をしようとしているか(操作)。どこに対してか(対象)。元に戻せるか(可逆性)。この3つがあれば、承認する人は数秒で判断できます。「メールを、外部の宛先に、送信します(送信後は取り消せません)」のように。

ステップ4: 止められる出口を、仕組みの側に置く

ここが、2026年の事故がいちばん教えてくれたところです。

ある事故で、モデルは自分でタスクを中止しようとしました。ところが、評価の仕組み(ハーネス)の設定ミスで、中止できませんでした。最初の1回と、そのあとの7回。計8回、止めようとして、止まれなかったのです(詳細)。

教訓は、はっきりしています。停止は、AIの善し悪しに頼ってはいけません。仕組みの側に、出口を用意します。

具体的には3つ。停止条件を先に決める。「承認されていない外部送信を試みたら止める」「同じ失敗を3回繰り返したら止める」のように、条件を文章にします。止める権限を持つ人を決める。誰でも押せる停止ボタンが、どこにあるか。止まったあとの代替を1行書く。エージェントが止まっても業務が止まらないよう、手動の回し方を残します。

ステップ5: 記録を、権限とセットで残す

権限を絞っても、何が起きたかを後から追えなければ、改善できません。ログ(操作の記録)は、権限とセットで設計します。この記録を後から独立した目で確かめるのが監査です。

残すのは、どのツールを、いつ、どの対象に対して使ったかです。AIが出した説明ではなく、実際にやった操作を記録します。説明は後から都合よく整えられますが、操作の記録は動きません。これは、今週の事故が示した教訓そのものです。

保持期間と、誰が見られるかも決めておきます。詳しくは別のガイドで扱う予定ですが、最低限、「取り返しのつかない操作は、必ずログに残る」ことだけは、最初に確かめてください。

やりがちな失敗

「便利だから」で権限を広げる。いちばん多い失敗です。広げるのは一瞬、絞るのは事故のあと。足りないときだけ足す、を守ります。

1つのエージェントに、全部を任せる。読み取り専用のエージェントと、実行できるエージェントを、分ける手もあります。役割ごとに権限を分けると、乗っ取られたときの被害が1つに閉じます。

承認を、AIの自己申告に置き換える。「危ない操作の前に理由を説明させる」だけでは足りません。説明が正直とは限らないからです。承認は、人か仕組みが握ります。

停止を、モデルにお願いする。「危ないと思ったら止まってね」は、設計ではありません。止まれない事故が、現に起きています。

最初の一歩

難しく考える必要はありません。今日できることは、1つです。

いま動いている(あるいは、これから動かす)エージェントについて、「取り返しのつかない操作」を3つ書き出す。そのうえで、その3つが実行の手前で止まるかを確かめる。止まらなければ、そこが最初に直す場所です。

権限設計は、一度で完成しません。小さく絞って始めて、足りないぶんを足していく。それが、いちばん安全で、いちばん速い道です。導入全体の段取りは、社内導入チェックリストにまとめてあります。

関連するガイドと用語

AIエージェント社内導入チェックリスト / 社内AI利用ガイドラインの作り方 / AIエージェントとは / プロンプトインジェクションとは / プロンプトとは / MCPとは / ハーネスとは / Anthropicのアラインメント評価(レビュー)