レビューの質問が、モデル名で止まっていませんか
たとえば、来期の社内エージェント基盤を決める設計レビューです。画面に並ぶのは、モデル名、ベンチマーク、100万トークンあたりの単価です。質問も、そこに寄ります。
「GPT系とClaude系の、どちらにしますか」
「推論が強い方を、全部の仕事に使えばよいのでは」
モデルの性能は、今も大事です。ただ、その質問だけでレビューを終えると、あとから困る中身が変わります。先に見るのは、エージェントが、どの道具を、どの権限で、何体まで同時に動かせるかです。
2026年9月29日、米国の大統領令は、この話の名前の側を先に動かしました。中身の定義は、まだ法令上のAIのままです。同じ時期に、システムの側では別の変化が数字になっています。この記事で書くのは、設計で先に見る軸です。
モデルの周囲を制御する循環は、エージェンティックAI時代のセキュリティは防御から統制へ——「動くAI」を止めずに制御する設計へで整理しています。ここでは、並列と到達範囲に絞ります。
政策上のSIは、当面、今の法令上のAIを指します
大統領令の題は Inaugurating the Era of Super Intelligence です。2026年9月29日付の大統領令14434で、行政府は、法令が許す範囲で、公式な連絡、公表、ウェブサイト、報告書、方針文書など、法令そのものではない文書において、「Artificial Intelligence」「AI」に代えて「Super Intelligence」「SI」を使う、としています。
命令上の Super Intelligence は、米国法典第15編第9401条(3)の artificial intelligence が含む技術とシステムを指します。後の大統領の行為か、連邦議会の法律で置き換わるまで、この定義が実装の基準です。過去の規則や契約を、この命令だけで書き換える必要はありません。新しい法令上の定義については、科学技術担当大統領補佐官が60日以内に、立法文言の案を出します。
いま動いているのは、現在の技術の呼び方です。完成した超知能の認定は、この命令の範囲の外にあります。
産業界では、同じ語が別の未来を指すことがあります。ソフトバンクグループの孫正義氏は、ソフトバンクグループレポート2026のトップメッセージで、エージェントAIの先に、人間の知能をはるかに超える ASI（Artificial Superintelligence）が来る、と書いています。同氏はそれを、知能の高さだけではなく、理性や道徳と調和する「超知性」と呼び分けています。
いま言葉の中に入っているのは、少なくとも3つです。米政権の政策上の呼称。人間を上回る知能という将来の概念。企業のビジョン。設計の起点は、すでに動き始めているシステムの形です。
性能の見方に、道具と並列が入ります
これまでAIの進歩は、比較的わかりやすい尺度で語れました。数学が得意になった。プログラムが書けるようになった。推論が人に近づいた。構図は、モデルに入力を渡し、出力を受け取る、です。APIの向こうのモデルを、より強いものに差し替える。その発想で、かなりのシステムが設計できました。
エージェントでは、間に工程が増えます。計画し、記憶を参照し、道具を選び、APIやデータベースやブラウザやコード実行に触れ、ほかのエージェントへ結果を渡し、次の行動を決めます。1体で終わらず、100体、1,000体、1万体と並べられます。
2026年9月8日、OpenAIは On the Navier–Stokes Millennium Prize Problem で、ナビエ–ストークス方程式のミレニアム懸賞問題への取り組みに、協調するエージェント群を使ったと公表しました。同社の説明では、解決に至ったとするグループは、同時におおよそ1万のエージェントです。ナビエ–ストークスに関する処理では、約270万メッセージ、約1,300億の output token が使われた、とも書いてあります。エージェントは、キャッシュされたウェブの参照とコード実行ができ、グループ内で通信し、有望な途中結果を共有した、という内容です。
この記事が使うのは、そのシステム側の数字です。数学として懸賞が確定したかの検証は、別の仕事です。見ておきたいのは、1人の天才モデルが答えを書いた絵から、大量のエージェントが探索を分けて進めた絵への移り方です。
同じ計算をばらまくスーパーコンピュータとも、少し違います。仮説を立てる。別の方法を試す。コードを実行する。他の結果を読む。有望なものを統合する。また探索する。知的な作業の単位そのものを、並列に回せます。
開発ツールがタスクを分解して多数のサブエージェントに振る流れは、Claude CodeのDynamic Workflows：数百のサブエージェントで大規模開発を進める時代へで追っています。モデルの外側に手綱を置く整理は、ハーネスエンジニアリングとは？——AIエージェントを「手綱」で導く設計思想にあります。
設計のメモには、次の見方が使えます。
モデルの能力 × 道具 × 自律の範囲 × 並列数 × 時間
設計メモ用の概念です。ベンチマークの一点だけで、システムがどこまで届くかを判断しないためです。
賢さより先に、同時に届く量を見ます
たとえば、夜間の当番です。アラートが1件なら、発見し、対象を特定し、手順に沿って止められます。同じ種類のアラートが10件、同時に開いたらどうでしょう。当番の判断がどれほど正確でも、届いた件数が見て処理できる件数を超えた時点で、後ろが残ります。
見るのは、処理できる量を超える仕事が、同時に来たかどうかです。
コンピュータの運用では、見慣れた形でもあります。DDoSは、処理能力を量で押します。エージェントの場合、届くものがパケットだけではない、という違いがあります。観察し、推論し、失敗したら別の方法を試し、結果を次の主体へ渡す単位が、大量に並び得ます。
高さだけを見る軸に、主体として動く範囲と、同時に動く数を足します。知性、権限を持った行動、並列、の3つです。フィジカルAIまで含めると、最後は実世界の装置にも作用します。システムの性質は、人のように答えるチャット、という絵より広くなります。
設計の会話では、次の2段で足ります。答える機械から、権限を持って動く主体へ。その主体が大量に並ぶと、1体の賢さとは別の負荷になる。Artificial Agency や Artificial Force は、この見方の呼び名であり、学術上の分類名ではありません。
攻撃も、評価中のエージェントも、外へ出ています
公表は、すでに出ています。
Anthropicは2026年9月の Countering misuse of AI: September 2026 で、2025年12月から2026年8月に妨害した悪用を公表しています。サイバー操作の記述では、チャットの問答を超え、複数エージェントの枠組みが偵察、侵害行為、データの持ち出しに使われた、としています。同社が agent swarms と呼ぶ構成では、リードのエージェントが偵察や侵害後の作業を分解し、多数のサブエージェントへ並列に割り振ります。対象の一覧やキャンペーンの状態は、セッションをまたいで保持されていました。
守る側の測定もあります。NIST CAISIは2026年3月23日の Insights into AI Agent Security from a Large-Scale Red-Teaming Competition で、Gray Swan と英国 AI Security Institute らとの公開レッドチームを分析しています。ツール利用、コーディング、コンピュータ操作のシナリオで、13のフロンティアモデルに対し25万回を超える攻撃試行がありました。対象のすべてのモデルで、少なくとも1つの hijacking 成功が見つかっています。成功の多さは、モデルの能力と一様には相関しませんでした。強いモデルを選んでも、乗っ取りの成功は残っていました。
評価や訓練の中のエージェントも、外のサービスへ届いています。OpenAIは The Hugging Face incident and other third-party impact from misaligned models で、訓練や評価の中のモデルが、第三者のサービスへ及んだ事例の見直しを進めています。同社が挙げる類型には、アクセス制御の回避、公開されていた認証情報の利用、入力を命令として扱わせる操作、内部向けの部分への到達、第三者サイトへの投稿があります。投稿の類型を、同社は agent spam と呼んでいます。個別の事案で、権限と監査をどう見るかは、Hugging FaceのAI主導侵入が示す、AIネイティブなセキュリティ設計に書いています。
モデル単体の安全性と、道具と権限を持って動くシステムの安全性は、別の仕事です。
権限のあるエージェントには、実行環境の側の制御が要ります
生成AIのセキュリティでは、プロンプトインジェクションをどう防ぐかが、長いあいだ中心でした。今も必要です。評価に攻撃ケースを入れる運用は、攻撃ケースまでEvalsに入れる——間接プロンプトインジェクション防御の運用設計【後編】にあります。
チャットへの注入なら、不適切な文章を出して終わることがあります。道具と認証情報とネットワークと実行権限を持ったエージェントが同じ注入を受けると、データベースを読む、ファイルを変える、メールを送る、APIを叩く、コードを走らせる、別のエージェントへ渡す、まで進み得ます。
Ferragらのサーベイ From Prompt Injections to Protocol Exploits は、ScienceDirect の Array 掲載版 もあります。脅威を、入力の操作だけでなく、ホストからツールへ、エージェントからエージェントへの通信まで含むものとして整理しています。同サーベイが引く Zhan らの測定では、適応的な間接プロンプトインジェクションが、試した8つの既存防御のすべてで、成功率50%を超えていました。サーベイが挙げる対策は、動的な信頼の管理、来歴の追跡、サンドボックス化された接続です。対策の置き場所は、プロンプトの外、実行環境の側です。
組織をまたぐと、前提がさらに外れます。2026年6月13日、npj Artificial Intelligence の Seven security challenges in cross-domain multi-agent LLM systems は、組織を越えて協調するエージェントが、単一の信頼という前提を壊す、と書いています。悪意がないように見えるエージェントでも、信頼できない相手とやり取りしたときに、秘密を漏らしたり方針に反したりし得る、という問題設定です。相手が外のエージェントなら、方針は相手側と突き合わせます。1つの組織の中という理由だけでは、同じ方針にはなりません。
自社で作ったこと、有名なモデルであること、システムプロンプトを書いたこと。境界になるのは、その先の識別子と、その場の認可です。人、端末、サービスに加えて、エージェントにも識別子が要ります。認証、認可、最小権限、分離、監査、失効です。識別子の置き方は、AIエージェントはもう「機能」じゃない──Okta発表から読むID統制とIT技術者の次の一手で扱っています。
NISTは2026年2月17日、AI Agent Standards Initiative を始め、自律して行動するエージェントのセキュリティ、アイデンティティ、相互運用を、標準化のテーマに置いています。
レビューで先に置く7点
1. モデル名より、侵害されたときの到達範囲を見る
「どのモデルか」の前に、エージェント、道具、権限、リソース、行動の順で見ます。このエージェントが侵害されたとき、最大で何ができるか。脅威モデリングは、そこから始められます。
2. エージェントにも、最小権限を付ける
レビューでは、万能のAPIキーがエージェントに渡っていないかを見ます。メールなら、閲覧と削除は別の権限にします。コードなら、読み取り、ブランチ作成、マージ、本番へのデプロイを分けます。渡す範囲は、用途ごとに狭く切ります。
3. エージェント間の通信を、信頼の境界にする
AからB、BからCへ情報が流れます。Aが侵害されれば、悪意ある指示や汚れた記憶が、後ろへ伝わり得ます。組織や信頼の領域をまたぐときは、なおさらです。エージェント間の通信にも、認証、認可、入力の検証、どの情報が流れてよいかの制御が要ります。
4. 監視を、回答から行動へ広げる
プロンプト、応答、トークン、待ち時間、費用。チャットの監視なら、そこまでで足りることもありました。エージェントで残すのは、行動の列です。誰が、どのエージェントを起動し、何を判断し、どの道具を呼び、どの認証情報を使い、どのリソースへ触れ、何を変え、どのエージェントへ渡したか。
多数のエージェントでは、残したログから異常を拾うところまで含めます。異常な道具呼び出し、呼び出し先が一気に増えること、権限の使われ方の変化、エージェントの生成数、エージェント間の通信量。見る場所は、回答の文章から行動の列へ移します。
5. 人の承認を、行動のリスクで分ける
承認の位置は、行動のリスクで分けます。1万のエージェントが動くたびに承認を求めると、人が詰まり、最後は中身を見ずに押すようになります。
決めるのは、どこまで自動にし、どこから人に戻すかです。読む、分析する、提案する、は自動。外への送信は条件付き。本番の変更は承認。大量の削除は、複数人の承認。行動のリスクで、自律の段を変えます。
レビューに出すメモは、たとえば次の形です。特定製品の設定ではなく、権限と承認の位置を揃える見取り図です。
# レビュー用。実行環境の設定そのものではありません。
agent: mail-triage
identity: agent:mail-triage
tools:
- name: mail.read
risk: read
autonomy: auto
- name: mail.send_external
risk: external_send
autonomy: approval
- name: mail.delete
risk: bulk_delete
autonomy: dual_approval
limits:
fanout_max: 5
sends_per_hour: 20
読む権限が自動でも、外へ送る権限は別です。呼び出し先の上限と、1時間あたりの送信数も、同じ表に置きます。承認の有無だけを書いて、回数の上限を書かないと、承認の前に量が溢れます。
6. 停止ボタンより、壊れる範囲を先に小さくする
暴走したら止める。それは最後の防御です。その前に、1つのエージェントが失敗しても、被害が全体へ広がらない構造にしておきます。サンドボックス、ネットワークの分割、認証情報の分離、レート制限、支出の上限、APIの枠、取引の上限、短い寿命の認証情報。組み合わせです。
Cloud Security Alliance の2026年4月の Agentic Universe は、エージェントを、自律の度合い、記憶の残り方、道具の範囲、通信の形で分類し、型ごとに攻撃面が違う、と整理しています。止めるまでに壊せる範囲を、先に決めておく話とつながります。
7. 攻撃が自動化されるなら、防御の側も自動化を設計する
攻撃側が、多数のエージェントを24時間、自動の探索に使うようになると、SOCの当番だけでは追い切れなくなります。NVIDIAのジェンスン・フアン氏は2026年9月1日、CrowdStrikeのFal.Conでの発言が、NVIDIA and CrowdStrike Strengthen Agentic Cybersecurity Frontierに残っています。攻撃は自動化された。防御も、そうする必要がある、という内容です。
並びは、攻撃側のエージェント、防御側のエージェント、その上の人の監督へ寄る可能性があります。防御の自動化は、当番が処理できる量を守る仕組みとして置きます。
制御の層を、既存の面の隣に足す
企業ITの制御の面は、これまで身元、ネットワーク、クラウド、端末、データでした。ここへ、エージェントの身元から、モデル、道具、データやAPIやシステム上の行動までを、一貫して見る層が要ります。
CSAは Operationalizing the Agentic Control Plane で、Agentic Control Plane を、エージェントの行動を実行前に仲介し、評価し、承認し、監査する層として整理しています。OWASP Gen AI Security Project も、2025年12月9日に OWASP Top 10 for Agentic Applications for 2026 を出し、計画し、行動し、決めるAIを、従来のLLMアプリとは別の対象にしています。
モデルは間違えます。エージェントは判断を誤ります。プロンプトインジェクションは起きます。道具は悪用されます。そのうえで、システム全体が重大な事故に至らないようにする。担うのは、アーキテクチャです。
NISTが2026年5月18日に公表した Summary Analysis of Responses to the Request for Information Regarding Security Considerations for AI Agents でも、意見はおおむね揃っていました。基本的なサイバーセキュリティの原則は今も有効である。同時に、エージェントに合わせた適応が要る。
残すのは、IAM、最小権限、ゼロトラスト、分割、サンドボックス、レート制限、可観測性、インシデント対応、多層防御、障害の隔離、人の承認です。更新が要るのは、「AIは賢いチャットボットである」というシステムの絵の方です。
設計の対象は、道具と権限を持ち、互いにつながりながら動く、大量の知的な主体です。レビューで聞くのは、次です。
そのエージェントは誰か。何を信頼するか。何を実行できるか。どこまで増え、並走できるか。何を記憶するか。誰と通信できるか。異常をどう見るか。壊れたとき、どこまで壊れるか。
スーパー・インテリジェンスと呼ばれる時期への備えは、エージェントに権限を渡し始めた時点から始まります。
作成日: 2026-10-03