AIエージェント基盤を入れる前に作る監査台帳：MCP・サンドボックス・生成物証跡の実装テンプレート

Last updated at 2026-05-20Posted at 2026-05-20

2026年5月20日 JST 時点の英語圏AIニュースを見ると、AIエージェントの競争軸は「賢いモデル」だけではなくなっています。

Googleはクラウド上の管理エージェントとサンドボックスを出し、AnthropicはSDK/MCP基盤企業を買収し、GitHubはCopilot cloud agent設定をAPIで監査できるようにし、OpenAIは生成物の来歴を検証する仕組みを強化しています。

この記事では、これらの一次情報をもとに、AIエージェントを導入する前に作るべき 監査台帳 をテンプレート化します。ニュースの事実と、そこからの実務解釈を分けて扱います。

結論

AIエージェント基盤は、導入前に次の台帳を作るべきです。

台帳項目	目的	最低限記録するもの
Agent Identity	誰が何をしたかを追えるようにする	agent名、実行者、実行環境、権限
Tool / MCP Inventory	接続先の暴走を防ぐ	MCP server、API、許可ツール、禁止ツール
Sandbox Policy	実行環境の影響範囲を閉じる	ephemeral / persistent、ファイル保持、ネットワーク制限
Secret Scan Gate	認証情報の混入を止める	scan対象、検出時の停止条件、push protection
Provenance Record	生成物の出所を説明できるようにする	生成AI利用有無、署名/透かし、検証手段
Human Review Rule	外部影響を人間が止める	承認条件、金額/顧客/本番変更の閾値

一言でいうと、AIエージェント導入の最初の成果物は、プロンプト集ではありません。

どのエージェントが、どの道具を、どの環境で、どの証跡つきで使えるかを固定する監査台帳です。

1. Google: 管理エージェントはサンドボックス前提になる

確認できる事実

Googleは2026年5月19日、Gemini APIのManaged Agentsを発表しました。単一のAPI callで、推論、ツール利用、コード実行を行うエージェントをクラウド上で起動できると説明しています。

引用:

"executes code in an isolated, ephemeral Linux environment"

日本語訳: 隔離された一時的なLinux環境でコードを実行します。

実務解釈

エージェントがコードを実行するなら、「どのモデルか」より先に「どの環境で実行されるか」を決める必要があります。

管理エージェントの便利さは、実行環境の抽象化です。一方で、ファイル保持、ネットワーク到達範囲、外部API呼び出し、課金、ログ保持を曖昧にしたまま導入すると、事故調査ができません。

最低限、次のように環境を分類します。

agent_runtime_policy:
  default_runtime: isolated_ephemeral_sandbox
  persistent_state_allowed:
    - task_artifacts
    - non_secret_cache
  persistent_state_denied:
    - api_tokens
    - customer_raw_data
    - production_credentials
  network:
    default: deny
    allowlist:
      - api.github.com
      - internal.example.com
  required_logs:
    - agent_id
    - human_requester
    - tool_calls
    - files_created
    - external_requests

2. Anthropic: MCPとSDKはエージェントの操作境界になる

確認できる事実

Anthropicは2026年5月18日、SDKとMCP server toolingを手がけるStainlessの買収を発表しました。StainlessはTypeScript、Python、Go、Javaなど向けにSDKやMCPサーバーを生成する企業です。

引用:

"agents are only as capable as the systems they can reach"

日本語訳: エージェントの能力は、到達できるシステムによって決まります。

実務解釈

MCPやSDKは、エージェントにとっての「手足」です。つまりAPI設計の曖昧さは、そのままエージェントの事故範囲になります。

OpenAPIやMCP serverを作るときは、人間向けの使いやすさだけでなく、エージェントが誤用しにくい契約を置くべきです。

tool_contract:
  tool_name: send_invoice
  operation_type: external_effect
  idempotency_required: true
  allowed_agent_roles:
    - billing_draft_agent
  denied_by_default: true
  human_review_required:
    when:
      - amount_jpy >= 100000
      - first_time_customer == true
      - recipient_domain_not_allowlisted == true
  audit:
    log_tool_input_hash: true
    log_approver: true
    log_remote_response_id: true

3. GitHub: Copilot cloud agent設定はAPIで棚卸しできる

確認できる事実

GitHubは2026年5月18日、repositoryのCopilot cloud agent設定をREST APIで監査できるpublic previewを発表しました。APIはMCP server configuration、enabled tools、GitHub Actions workflow policy、firewall configurationを返すと説明されています。

引用:

"audit the security posture of your repositories at scale"

日本語訳: リポジトリのセキュリティ状態を大規模に監査できます。

実務解釈

AI coding agentを組織に入れるなら、リポジトリ単位で「何が許可されているか」を人間が画面で見るだけでは足りません。

週次で設定を取得し、前回との差分を検知する仕組みが必要です。

copilot_agent_audit:
  repository: owner/repo
  collected_at: 2026-05-20T10:00:00+09:00
  check_items:
    - mcp_server_configuration
    - enabled_tools
    - actions_workflow_policy
    - firewall_configuration
  fail_when:
    - new_mcp_server_added_without_owner
    - firewall_policy_relaxed
    - write_tool_enabled_on_main_branch
    - actions_policy_changed_without_security_review

運用では、これを単なる棚卸しで終わらせず、Pull RequestやSlack通知に変えると効果があります。

4. GitHub: secret scanningはエージェントのpre-commit gateに入れる

確認できる事実

GitHubは2026年5月5日、GitHub MCP Server経由のsecret scanningを一般提供にしたと発表しました。MCP対応のAI coding agentやIDEから、commitやPR前に露出したsecretをスキャンできます。

引用:

"before you commit or open a pull request"

日本語訳: commitする前、またはPull Requestを開く前に確認できます。

GitHub Docsでは、MCP経由の検出結果は現在のセッションに出るだけで、GitHub上の恒久的なalertには残らないとも説明されています。

引用:

"not persisted as alerts on GitHub"

日本語訳: GitHub上のアラートとしては永続保存されません。

実務解釈

ここで重要なのは、MCP secret scanningを「記録システム」ではなく「作業前ゲート」として扱うことです。

エージェントにcommitやPR作成を許すなら、その前にsecret scanningを必須化し、検出時は自動で停止させます。

pre_commit_agent_gate:
  required_checks:
    - secret_scanning_mcp
    - diff_scope_review
    - generated_file_review
  stop_conditions:
    - secret_detected
    - unknown_binary_added
    - env_file_modified
    - lockfile_changed_without_package_change
  human_override:
    required: true
    record_reason: true

5. OpenAI: 生成物の来歴はアプリ側の説明責任になる

確認できる事実

OpenAIは2026年5月19日、Content Credentials、SynthID、公開検証ツールのpreviewを含むcontent provenanceの取り組みを発表しました。C2PA conformance、Google SynthIDとの連携、OpenAI由来画像の検証を扱っています。

引用:

"metadata is not foolproof"

日本語訳: メタデータは万能ではありません。

実務解釈

生成AIを使った画像、音声、記事、提案書、コード差分を公開するなら、「AIで作ったかどうか」を曖昧にしない設計が必要です。

ただし、provenance metadataだけに依存してはいけません。アップロード、圧縮、スクリーンショット、形式変換で失われる可能性があります。アプリ側の台帳、署名、生成ログ、公開時の注記を組み合わせるべきです。

provenance_record:
  artifact_id: article-eyecatch-2026-05-20
  artifact_type: image
  generated_by_ai: true
  model_or_tool: internal_generation_tool
  human_reviewed: true
  public_note_required: true
  storage:
    canonical_url: https://example.com/raw/image.png
    immutable_digest: sha256:...
  verification:
    c2pa_checked: optional
    watermark_checked: optional
    internal_log_retained: required

6. GitHub Copilot: モデル選択も設定監査の対象になる

確認できる事実

GitHubは2026年5月19日、Gemini 3.5 FlashがGitHub Copilotで一般提供されると発表しました。Copilot Business/Enterpriseでは管理者がGemini 3.5 Flash policyを有効化する必要があります。

引用:

"administrators must enable the Gemini 3.5 Flash policy"

日本語訳: 管理者はGemini 3.5 Flashのポリシーを有効にする必要があります。

実務解釈

モデルが増えるほど、エージェント運用は便利になります。同時に、モデルごとの価格、速度、品質、データ取り扱い、利用可能ツールの差分を管理する必要があります。

「どのモデルでも同じように動く」は危険です。モデル選択も変更管理の対象にします。

model_policy:
  allowed_models:
    - name: gemini-3.5-flash
      allowed_tasks:
        - draft_code
        - summarize_diff
        - propose_tests
      denied_tasks:
        - production_deploy
        - customer_data_analysis
  require_admin_approval_when:
    - new_model_enabled
    - premium_multiplier_changed
    - model_used_for_external_effect

実装チェックリスト

AIエージェント導入前に、最低限この順で確認します。

エージェントごとのidentityを固定する
MCP serverとAPI connectorを一覧化する
破壊的操作、外部送信、本番変更を明示的に分類する
ephemeral sandboxとpersistent stateの境界を決める
secret scanningをcommit/PR前の必須gateにする
Copilot cloud agentなどの設定をAPIで定期監査する
生成物のprovenance recordを保存する
人間レビュー必須条件を金額、顧客、本番影響で定義する
モデル追加やpolicy変更を変更管理に入れる
事故時に停止できるownerとrunbookを決める

よくある失敗パターン

失敗	起きること	対策
MCP serverを便利ツールとして追加する	agentが予期しないAPIへ到達する	tool contractとownerを必須にする
sandboxを「安全そう」で済ませる	永続ファイルや外部通信の範囲が不明になる	runtime policyを台帳化する
secret scanningを人間任せにする	AI生成差分にtokenが混入する	pre-commit gateにする
provenanceを後付けする	公開後に出所説明ができない	artifact作成時にrecordを作る
モデル追加を現場判断にする	コストや品質差分が監査できない	model policyと変更履歴を残す

最小テンプレート

小さく始めるなら、次の1ファイルをリポジトリに置くだけでも効果があります。

# .agent-governance.yml
version: 1
owners:
  security: "@security-team"
  platform: "@platform-team"

agents:
  - id: coding-agent
    allowed_repositories:
      - owner/repo
    runtime: isolated_ephemeral_sandbox
    allowed_tools:
      - read_file
      - edit_file
      - run_tests
    denied_tools:
      - deploy_production
      - send_external_email
      - modify_billing
    required_gates:
      - secret_scanning_mcp
      - human_review_for_main_branch

mcp_servers:
  - name: github
    owner: "@platform-team"
    allowed_toolsets:
      - repos
      - pull_requests
      - secret_protection
    change_review_required: true

provenance:
  generated_artifacts:
    record_required: true
    public_note_required: true
    immutable_storage_required: true

まとめ

直近のAIニュースから見える流れは、かなり一貫しています。

エージェントはクラウド上の管理環境で動く
MCPやSDKが操作範囲を決める
開発支援エージェントの設定はAPIで監査される
secret scanningはAI coding workflowの中に入る
生成物の来歴は標準とアプリ側台帳の両方で扱う
モデル選択も組織のpolicyになる

したがって、導入前に作るべきものは「AI活用アイデア集」ではありません。

Agent Identity、Tool / MCP Inventory、Sandbox Policy、Secret Scan Gate、Provenance Record、Human Review Ruleを含む監査台帳です。

この台帳があると、AIエージェントは便利な実験から、説明可能な業務基盤に近づきます。

参考リンク

この記事を書いた人✏️@YushiYamamoto
ITPRODX.com代表 / AIアーキテクト
Next.js / TypeScript / n8nを活用した自律型アーキテクチャ設計を専門としています。
日々の自動化の検証結果や、ビジネス側の視点（ROI等）に関するより深い考察は、以下の公式サイトおよびnoteで発信しています。

You get articles that match your needs
You can efficiently read back useful information
You can use dark theme

What you can do with signing up