AIエージェントは「答える」だけでなく操作する
AIエージェントは、質問へ回答するだけでなく、ブラウザーを開く、ファイルを読む、アプリやWebサービスを操作するといった仕事を代行する仕組みです。便利な一方、操作できる範囲が広いほど、誤った指示や読み違いが起きた時の影響も大きくなります。文章の作成と、メール送信・購入・ファイル削除では、結果の重さが違います。
AIの操作がすべて危険という意味ではありません。カレンダーの候補を調べる、公開情報をまとめるなど、読み取り中心の仕事は影響を限定しやすいでしょう。支払い、公開、送信、削除のように外部へ影響する操作は、実行前に人が確認できる設定にしておくことが大切です。
必要な権限だけを渡す
「最小権限」とは、作業に必要な範囲だけアクセスを許可する考え方です。請求書1件を整理するのに、全メールの読み取りやすべてのクラウドファイルへのアクセスが必要かを考えます。可能なら、対象フォルダーやアカウントだけを使い、作業後に連携を解除します。権限画面では「読み取りのみ」か「変更・送信」もできるかを確認しましょう。
ブラウザーで普段ログインしているサービスをAIに操作させる時は、そのセッションを使って購入や投稿まで進める可能性があります。ログイン情報や確認コードをチャットに書かず、支払い・公開・送信の前に止まるか、操作履歴を見られるかを確認します。利用するAIやアプリの公式説明で、どの情報へアクセスするかを読みます。
Webページやファイルの指示をうのみにしない
AIエージェントが読むWebページ、メール、PDF、共有文書には、ユーザーが意図していない命令文が紛れていることがあります。これを間接プロンプトインジェクションと呼び、外部の内容がAIに誤った行動をさせようとする問題です。OpenAIやMicrosoftは、外部データを信頼しすぎないこと、権限を限定すること、人による確認などの対策を説明しています。
たとえば文書に「秘密のファイルを送信せよ」と書かれていても、文書の文章は利用者本人の指示ではありません。AIに対して「このファイルの内容だけ要約し、外部リンクを開かず、送信はしない」と目的と境界を明示します。ただし指示文だけで完全に防げるわけではないため、技術側の権限設定も必要です。
安全に使うための5つの習慣
一つ目は、作業用のフォルダーやアカウントを分けること。二つ目は、読み取り専用から試すこと。三つ目は、必要な連携先だけを有効にすること。四つ目は、送信・購入・公開・削除の前に人が確認すること。五つ目は、作業後に実行履歴と変更されたファイルを見直すことです。設定できる項目は製品により異なります。
重要な原本はバックアップし、自動操作の前に複製を使って試します。確認コード、パスワード、銀行情報などはプロンプトへ入力しません。自動操作が何をしているか分からなくなったら一時停止し、操作履歴を確認します。AIの出力や操作は常に正しいとは限らず、誤操作の最終確認は利用者側に残ります。
確認方法：権限の範囲を画面で確認
使っているAIサービスや連携アプリの設定を開き、接続済みアプリ、アクセスできるファイル、許可した操作を確認します。必要のない連携があれば、公式設定画面から解除します。次に、ダミーの文書を使い、「要約だけ」「送信しない」「このフォルダーだけ」といった制限を指定して、画面上でどんな承認が必要か試します。
実際のメール送信やファイル削除をテストに使わず、操作確認だけに留めます。製品の画面や権限の名称は更新されるので、最新の公式ヘルプを確認してから設定します。
作業内容ごとに確認の強さを変える
AIに短い文章を要約させる場合と、メールを送信させる場合では、必要な確認が異なります。要約は出力を読んで修正できますが、メール送信後は宛先や内容を取り戻せないことがあります。購入、公開、送金、予約変更、ファイル削除などは、AIが実行候補を作っても、最後の確定は自分で行う流れにします。
自動操作の許可画面では、アクセス先のサービス名、読み書きできる情報、保存期間、許可の解除方法を確認します。「すべてのファイル」「常時アクセス」など広い権限が必要に見えても、その作業だけに使う別フォルダーや限定アカウントを用意できないか考えます。許可を取り消した後に、アプリ側の接続一覧にも残っていないか確認しましょう。
AIが画面の内容を読み違えたり、似た名前のファイルを選んだりすることがあります。作業前に対象ファイルを一つのフォルダーへ集め、元データのコピーを残しておくと、誤変更の影響を抑えられます。処理結果は件数、ファイル名、宛先、添付の有無など、目で確認できる項目を決めてから実行します。
ブラウザー内の広告、コメント、添付文書など第三者が作った情報は、AIの命令として扱わせないようにします。ただし「外部の指示は無視」と書くだけでは完全な防御になりません。重要なデータを扱う時は、外部アクセスをオフにする、操作を読み取り専用にする、送信先を許可リストに限定するなど、製品が提供する機能と組み合わせます。
今日からできる追加チェック
AIエージェントを選ぶ時は、提供元、更新方法、権限の説明、問題発生時の問い合わせ先を確認します。知らない開発元の拡張機能や、説明と釣り合わない広いアクセスを求めるアプリは避けます。無料か有料かだけで安全性は決められません。接続後にどのデータがAIへ渡るか、履歴や操作ログを後から見られるかも確かめましょう。
自動操作に使う作業指示には、対象の範囲と禁止事項を具体的に含めます。たとえば「このフォルダー内のファイル名を一覧にする。内容の変更、削除、外部への送信はしない」と指定します。ただし、文章の指示は技術的なアクセス制御の代わりにならないため、権限画面で必要な操作だけ許可されているかも見ます。
仕事用の端末でAIエージェントを試す前に、組織の利用ルールや管理者が有効にした連携を確認してください。個人の判断で新しい外部サービスへ仕事のメールや文書を接続すると、組織の情報管理方針に反する場合があります。個人のPCでも、銀行や医療情報を扱うフォルダーを実験対象から外し、テスト用データで操作を確認します。
