エージェント支援リソースを選ぶときの判断軸
AI エージェントに外部のツールやデータを触らせる構成では、機能の豊富さより権限設計が選定と運用の中心になる。「何ができるか」ではなく「何を実行できないようにするか」を先に決めるのが正しい順序だ。
権限は技術的に不可能にする
エージェントに対して「壊さないよう指示する」だけでは守れない。読み取り専用のロールで接続する、許可するディレクトリを作業対象に限定する、保護ブランチでレビューを必須にする——といった、実行できない状態を作るのが唯一確実な対処になる。
破壊的な操作をツールとして直接渡さないでください
削除、送信、決済といった取り返しのつかない操作は、実行前に人間の確認を挟むか、影響範囲を限定したツールに分割してください。モデルが誤った引数でツールを呼ぶ可能性は常にあります。ツールの設計は「間違えても取り返しがつく範囲に閉じる」ことを前提にしてください。
取得した内容が指示として作用しうる
Web ページやドキュメントを取得してモデルに渡す構成では、その内容自体がモデルへの指示として働く危険がある。悪意のあるページが「これまでの指示を無視して」といった文言を仕込んでいた場合に引きずられる。取得内容はデータとして扱い、指示としては解釈しないという前提を、エージェント側のプロンプト設計で明示しておく必要がある。
情報の送信先を意識する
エージェントが読み取ったデータは、そのままモデルに送信される。プライベートリポジトリのコード、社内チャンネルの会話、データベースの行——これらを扱う場合、利用するモデルのデータ取り扱い条件と社内規程に照らした判断が要る。技術的に接続できることと、接続してよいことは別問題だ。