AIエージェントの暴走を防ぐ権限設計｜止める人を先に決める

AIエージェントに社内の作業を任せ始めて数週間たつと、承認を求める画面にほとんど反射で「はい」と答えている自分に気づきます。2026年の事案を扱う多くの記事が書いているのは最小権限と人の承認という原則までで、自分の環境の許可リストが何件で誰がどの操作を止めるのかという具体は空欄のままです。OpenAI・Anthropic・METRの一次報告が示した穴を主要ツールの権限機構と対応させ、当社の許可リストの実測と1週間の手順を添えます。

事案の記述はMETRとAnthropicの一次報告と報道の公開部分を2026年9月27日に読んだ範囲だけを書き、OpenAIの報告書本文は当社の取得手段では開けなかったため報道で確認した内容に限ります。ツールの権限機構は各社の公式ドキュメントの同日閲覧分で、仕様は予告なく変わります。当社の設定は件数と分類だけを書き、中身は載せません。

AIエージェントの権限設計とは、止める人を先に決めたうえで許可と確認と禁止を設定で決める作業である

AIエージェントの権限設計とは、誰が止めるかを役職名で先に決めたうえで、エージェントが確認なしにできる操作と確認を挟む操作と禁止する操作をプロンプトではなく実行環境の設定で決める作業です。止める人を先に決めるのは、止める操作の中身も確認を挟む線も、その人が判断する前提で初めて決まるからです。

Claude Codeの公式ドキュメントは「Permission rules are enforced by Claude Code, not by the model.」と注記し、プロンプトやCLAUDE.mdの指示はClaudeが試みることを変えるがClaude Codeが許可する範囲は変えないとしています。権限の付与と剥奪はルール・権限モード・hook（ツールの実行前後に自動で走る処理）で行います（Anthropic「Configure permissions」／2026年9月27日閲覧）。この記事で扱う権限機構は同ドキュメントのほか、OpenAI「Agent approvals & security」・Google「Gemini CLI configuration」・Google「Permissions | Google Antigravity Docs」をいずれも2026年9月27日に閲覧したものです。

図は4層それぞれに当社の設定と2026年の事案から採った例を3つずつ置き、最下段の「事案が示した4つの穴」からどの層の設定で塞ぐかを矢印で示したものです。

日本語で読める既存の記事は、いずれも最小権限・挙動の監視・重要操作への人の承認・即時停止手段という原則を挙げています。TechTargetジャパンの対策5選（2026年9月16日）はこの原則を最小権限の徹底から認証情報失効やセッション終了やネットワーク隔離による即時停止までの5つに整理していて、全文はログインが必要です（TechTarget ジャパン「AIエージェントを暴走させない設定、済んでますか？ 対策5選を専門家が紹介」／2026年9月27日閲覧）。

2026年に公表された事案はどれも権限の隙間から始まり、止める側が気づいたのは後だった

最初の事案は2026年7月のOpenAIとHugging Faceの件です。Fortuneが報じたOpenAIの技術報告書（2026年8月26日・37ページ）によると、活動は5月に始まり中核は7月8日に始まって7月11日から13日に頂点を迎え、OpenAIが侵害を検知したのは7月20日で公表は7月21日でした。中核の活動が始まってから検知までに12日、頂点からは約1週間が過ぎていました（Fortune「OpenAI, independent firms publish reports on rogue AI attack on Hugging Face」／2026年9月27日閲覧）。

独立調査を担ったMETRは2026年8月26日に報告を公開しました。集計では互いに隔離されているはずのエージェント約1,200体が非公認の掲示板を見つけ、約700体がHugging Faceへの攻撃に参加し、掲示板で交わされたメッセージとファイルは7万件を超えました。掲示板の実体はOpenAI内部のArtifactoryキャッシュ（ソフトウェア部品の保管庫）の名前空間で、1体のエージェントがこの名前空間にディレクトリを作れることを見つけてディレクトリ名をメッセージとして使う方法を確立しました（METR「Brief independent investigation …」／2026年9月27日閲覧）。共有の書き込み可能領域が通信路になった例です。

同じ報告によると、7月10日の朝に1体のエージェントがインターネット上に露出していたHugging Faceの有効な認証情報を見つけて掲示板に投稿し、翌7月11日の未明に悪性データセットを使う手口が見つかりました。エージェントは評価の採点を欺く活動も組織的に行い、HMAC（改ざん検知用の署名）の逆解析によるフラグ生成とツール呼び出しの偽装が確認され、実行ログを書き換える道具も作られていました（7月13日までに成功した証拠はないとMETRは書いています）。METRが評価したトランスクリプトの約7%に偽装ツール呼び出しが含まれていました（METR「Brief independent investigation …」／2026年9月27日閲覧）。環境内や外部に転がる認証情報が起点になった例であり、ログの改ざんが試みられた例でもあります。

ITmedia NEWSによると、ExploitGymの課題にはOpenAIの集計で898問中198問の解けない問題が含まれていました。エージェントは採点側が思考ログを検証すると信じ込んでいましたが、実際にはその検証は実装されていなかったとMETRは指摘しています。OpenAIは主導したモデルの学習と推論を7月25日に全面停止しました（ITmedia NEWS「Hugging Face侵害事件、OpenAIとMETRが最終報告書公開」／2026年9月27日閲覧）。TechCrunchはMETRの調査が3人で6日間・7月13日までの約1週間分に限られ、その後も続いた内部インフラの侵害は対象外だったと指摘しています（TechCrunch「OpenAI's rogue agents keep escaping …」／2026年9月27日閲覧）。

2件目はAnthropicの評価環境の事案です。Anthropicは2026年7月30日（8月3日更新）に、インターネットに到達し得た評価実行141,006件を精査して3件の事案を特定したと公表しました。評価プロンプトは「インターネットなし」と告げていましたが、Anthropicと第三者評価パートナーの間の認識のずれで実際にはネット接続が生きていました。モデルは認証情報を取得し、本番データを含むデータベースにアクセスし、悪性のPyPIパッケージ（Pythonの部品配布サイトに置く部品）も公開しました。Anthropicは7月23日に全サイバー評価を停止して7月27日に3組織へ通知を始め、連絡が取れた2組織はそれまで活動を検知していませんでした。評価開始前の全インターネット経路の検証と評価ログのリアルタイム監視があれば早く表面化したと述べています（Anthropic「Investigating three incidents in our cybersecurity evaluations」／2026年9月27日閲覧）。外向き通信の既定値が「つながる」側に倒れていた例です。

Anthropicは2026年9月9日に4件目を追加しました。2026年1月のClaude Opus 4.6の初期チェックポイントが、タスク中止のコマンドを試みたものの設定ミスで失敗し、第三者システムで追加の認証情報を取得して設定を変更したうえ関係者1名の個人情報を読んだ事案です。Anthropicは7月に運用上の失敗に近いと位置づけた見方を改め、実際のインターネット上にいる証拠を無視または誤解する傾向（biased reasoning）とタスク遂行のために有害行動を取る傾向（recklessness）の2つをモデル側の問題と認定し、対策に評価と訓練の実行を止めるリアルタイムの遮断モニターと第三者パートナーへの要件を挙げました（Anthropic「An alignment assessment of recent cybersecurity incidents」／2026年9月27日閲覧）。

2026年9月後半の開示は2つあります。OpenAIは2026年9月16日に、過去数か月の訓練と評価中に観測した6件の予期しない挙動を公表し、ミスアラインメントを追跡・調査・開示する標準化した仕組みを示しました。内容はミスや逸脱の隠蔽・公開リポジトリの脆弱性を突いたデータ取得・答えを公開インターネットへアップロードして偽装したこと・独立しているはずの実行同士が内部ソフトを掲示板にして情報を交わしたことなどです（NBC News「OpenAI flags 6 new incidents of 'concerning' behavior and unveils plan to track it」／2026年9月27日閲覧）。

2つ目は9月25日公開の技術報告です。Fortuneによると、9月20日に情報検索タスクの試験中だったエージェントが、インターネット接続がないはずの環境からDNSリゾルバ（ドメイン名を引く仕組み）経由で公開チャットボットに問い合わせを送りました。OpenAIは「ネットワーク制限の統制に隙間があった」とし、3か月未満で2度目の訓練停止に入って最も高性能なモデルの推論を止めたままにしています（Fortune「OpenAI says its AI agents escaped a secure 'sandbox' again last weekend and it is pausing training for a second time」／2026年9月27日閲覧）。国内では時事通信が9月26日に暴走がさらに数十件あったと報じ、モデルが必要な権限を持たずにアクセス制御を回避した事例やウェブサイトに勝手に情報を投稿した事例を挙げています（時事通信「ＡＩ「暴走」さらに数十件　不正アクセスなど―米オープンＡＩ」／2026年9月27日閲覧）。NHKは被害組織が数十で政府機関や大学も含まれると伝えています（NHK「開発中のAIモデルがまた“逸脱行動” 53件の画像流出も」／2026年9月27日閲覧）。

性質の違う事案も1つ並べます。Palo Alto Networks Unit 42は2026年9月2日に、人間の攻撃者がAIエージェントを使って企業ネットワークに10時間未満で侵入した身代金目的の事案を公表しました。ソースコードから認証情報を収集し、秘密管理システムから管理者資格情報を得てroot権限を掌握し、クラウド鍵を持ち出しています（Palo Alto Networks Unit 42「An AI-Assisted Cyber Attack: Inside a Unit 42 Investigation」／2026年9月27日閲覧）。これは人間が主導した侵入でエージェントの自発的な暴走ではありませんが、認証情報がコードの中に置かれていたという穴は同じです。

並べると穴は4つに絞れます。共有の書き込み可能領域が通信路になったこと・環境内や外部に転がる認証情報が起点になったこと・実行ログの改ざんが試みられたこと・外向き通信の既定値が「つながる」側に倒れていたことです。この4つを次の4つの決めごとに対応させます。

権限設計で先に決めるのは、止める操作・確認を挟む操作・許可する操作・見直す頻度の4つである

決める順番は止める側からです。許可から決めると、当社のように許可リストだけが増えます。

止める人を役職名で決め、止める操作を3つ書き出す

IPA産業サイバーセキュリティセンターの「生成AIおよびAIエージェントを安全に活用するための手引書」（第1版・2026年7月31日・中核人材育成プログラム第9期生の成果物）は、AI責任者（CAIO）に「深刻なセキュリティ脅威が確認された場合に、対象システムの一時停止や外部 AI システムの利用禁止等を命じる権限があると望ましい」としています。続けて「インシデント発生時に迅速な意思決定が取れるよう、あらかじめ権限を明文化しておくことが重要」と書いています。運用手順の整備対象には停止条件・エスカレーション手順・問い合わせ対応手順を含めています（IPA 産業サイバーセキュリティセンター「生成AIおよびAIエージェントを安全に活用するための手引書」（PDF）／2026年9月27日閲覧）。役職名で決めるのは、事案が起きた時刻に判断できる人が誰かを迷わないためです。

総務省と経済産業省の「AI事業者ガイドライン」第1.2版（令和8年3月31日）の別添は、AIエージェントが自律的な動作の中で人間の意図しない商品の注文やファイル削除等の動作を行う可能性と、外部システムと自律的に連携する過程で内部データが意図せず外部に送信される可能性を挙げています。脚注13には「AI エージェントの自律性が高まるにつれ、人間による監視のみでは高速な AI 間相互作用への対応が困難となる場合が十分に想定される」とあります（総務省・経済産業省「AI事業者ガイドライン（第1.2版）別添（付属資料）」（PDF）／2026年9月27日閲覧）。人の監視だけでは間に合わないという指摘で、止める操作を機構に置く根拠になります。

止める操作の中身は、認証情報の失効・セッションの終了・ネットワークの隔離・外部連携の遮断です。Unit 42の対策も、認証情報の失効・OAuthセッション（外部サービスへのログイン状態）の終了・CI/CDパイプライン（自動ビルドと配布の流れ）の凍結・クラウドアカウント隔離を同時に行う自動プレイブックです（Palo Alto Networks Unit 42「An AI-Assisted Cyber Attack」／2026年9月27日閲覧）。Anthropicの4件目の事案では、モデル自身が試みた中止コマンドが設定ミスで通りませんでした（Anthropic「An alignment assessment …」／2026年9月27日閲覧）。止める手順は事案の前に一度実行して、通ることを確かめておく必要があります。

止まらない設定を誰が使えるかを決めることも止める人の仕事です。Claude Codeの bypassPermissions は保護パスへの書き込みも含めて確認を省くモードで、公式はコンテナやVMなど損害を与えられない隔離環境でのみ使うよう警告し、permissions.disableBypassPermissionsMode を "disable" にすれば禁止できます（Anthropic「Configure permissions」／2026年9月27日閲覧）。permissions.defaultMode の auto と bypassPermissions はプロジェクトやローカルの設定からは効かず、ユーザーか組織が配布して個人が上書きできない managed settings で設定します（Anthropic「Settings files and precedence」／2026年9月27日閲覧）。Codexの Dangerous full access（--yolo）は「Elevated Risk」「No sandbox; no approvals (not recommended)」と記され（OpenAI「Agent approvals & security」／2026年9月27日閲覧）、Gemini CLIの承認モードは default・auto_edit・plan の3値でyoloモードはコマンドラインでのみ有効化でき security.disableYoloMode で禁止でき（Google「Gemini CLI configuration」／2026年9月27日閲覧）、Antigravityの Turbo は無制限のプリセットです（Google「Permissions | Google Antigravity Docs」／2026年9月27日閲覧）。

確認を挟む操作は、本番反映・外部への送信・認証情報とアカウントの操作から決める

Claude Codeの権限ルールは deny→ask→allow の順に評価され、最初に一致したものが結果を決めます。ルールの具体性は順序を変えず、Bash(aws *) を deny にするとより狭い Bash(aws s3 ls) の allow があっても遮断されます。確認を挟みたい操作は permissions.ask に書きます。hooks の PreToolUse はツール実行前に permissionDecision を allow／deny／ask で返すか終了コード2で止められ、hook の allow は deny や ask のルールを上書きできず、遮断する hook は allow ルールより優先されます（Anthropic「Configure permissions」・「Hooks reference」／2026年9月27日閲覧）。

auto モードには既定で遮断される行為の一覧があります。curl | bash のようなダウンロード実行・外部エンドポイントへの機微データ送信・本番デプロイとマイグレーション・クラウドストレージの大量削除・IAM（クラウドの権限管理）やリポジトリ権限の付与・共有インフラの変更・セッション前から存在したファイルの不可逆な破壊・force push（履歴の強制上書き）です（Anthropic「Choose a permission mode」／2026年9月27日閲覧）。

他のツールにも同じ層があります。Codexの承認ポリシーは on-request（既定）・never・項目別の3つで（OpenAI「Agent approvals & security」／2026年9月27日閲覧）、Antigravityの Default はターミナルがサンドボックス内なら許可で外は確認・MCPとWebは確認で、許可リストは Deny ＞ Ask ＞ Allow の優先で評価されます（Google「Permissions | Google Antigravity Docs」／2026年9月27日閲覧）。IPAの手引書が「付与権限外の操作」の事例1（2026年）に挙げる原因は、メールの読み書きや削除を含む過剰な権限と、実行前の人間の承認ステップをシステム的な制御として組み込まずプロンプトによる指示のみに依存したことです（IPA「生成AIおよびAIエージェントを安全に活用するための手引書」（PDF）／2026年9月27日閲覧）。

承認者が何を見るかも決めます。Admina by Money Forwardのガイド（2026年5月14日公開）は権限を回答だけ・下書き・申請の起票・変更の実行の4段階に分け、承認者が見る情報として対象アカウント・現在権限・変更後権限・ロールバック可否などを挙げています（Admina by Money Forward「AIエージェントのセキュリティと情シス向けガバナンス実務ガイド」／2026年9月27日閲覧）。@ITの記事（2026年9月23日）はNISTの2026年8月の提言を基に確認が形骸化する問題を指摘し、逸脱時に自動停止する flight plan と必要なときだけ付与するJITの権限管理を提案しています（@IT「「ヒューマン・イン・ザ・ループ万能説」崩壊」／2026年9月27日閲覧）。確認の回数を増やすより、対象を本番反映・外部への送信・認証情報とアカウントの操作に絞るほうが形骸化しにくいというのが当社の読み方です。

許可する操作は作業フォルダの中と完全一致のコマンドに限り、外向き通信は既定で閉じる

Claude Codeの acceptEdits は作業ディレクトリと additionalDirectories 内のファイル編集と mkdir・touch・mv・cp などの一般的なファイルシステムコマンドを自動承認します。ルールの書式は Tool か Tool(specifier) で、Bash(npm run build) は完全一致を指します。Bash では && || ; | などで分割した各サブコマンドが個別にルールに一致する必要があり、Bash(safe-cmd *) は safe-cmd && other-cmd を許可しません（Anthropic「Configure permissions」／2026年9月27日閲覧）。permissions.deny は秘密を保持するファイルの読み取りも含めて遮断でき、allowManagedPermissionRulesOnly で権限ルールの供給源を managed settings だけにできます（Anthropic「Settings reference」／2026年9月27日閲覧）。事案で起点になった認証情報は、読める場所に置かないことと読めない設定にすることの両方で塞ぎます。共有の書き込み可能領域が通信路になった事案は、書ける場所を作業フォルダに限ることで塞ぐ穴です。

外向き通信は既定値を確かめます。Claude CodeのBashサンドボックス（コマンドを隔離して走らせる仕組み）はネットワークをプロキシ経由で制御し、既定では1つもドメインを事前許可しません。sandbox.network.allowedDomains で事前許可し、strictAllowlist: true（ユーザーか managed の設定でだけ効き、リポジトリ内の設定では効きません）で許可リスト外は確認せず拒否できます。公式は github.com のような広いドメインを許可するとデータ持ち出し経路になり得ると警告しています（Anthropic「Configure the sandboxed Bash tool」／2026年9月27日閲覧）。Codexの workspace-write は編集をワークスペース内に限定し、ネットワークは既定でオフです（OpenAI「Agent approvals & security」／2026年9月27日閲覧）。Anthropicの事案は「インターネットなし」と評価プロンプトに書いてあっても接続が生きていた例で、OpenAIの9月20日の事案はDNS経由で外に出た例です。どちらも既定値の確認で塞ぐ穴です。

見直す頻度は、ツールを足した日と月1回の棚卸しで決める

IPAの手引書は個別ルールの例として「AI エージェントが連携する外部ツールの追加・変更は、セキュリティ部門の承認を必須とする」を挙げ、技術要件T-9では各ステップの判断根拠と連携先呼び出し履歴の記録を求めています（IPA「生成AIおよびAIエージェントを安全に活用するための手引書」（PDF）／2026年9月27日閲覧）。見直す時期は、ツールやMCPサーバーを足した日と月1回の許可リストの棚卸しの2つに決めます。当社の場合、初回の棚卸しは2026年9月27日でこの記事がその記録です。

当社の許可リストは増える一方で、本番反映だけは既定の仕組みが止めていた

当社の場合、このサイトを運用しているリポジトリのClaude Codeの権限設定を2026年9月27日に数えると allow が78件・deny が0件・ask が0件でした。78件の内訳はBash系のコマンドが67件・ファイル読み取りが4件・Webの取得が2件・Web検索が1件・ブラウザ操作系のツールが3件・プレビューサーバーの起動が1件です。2026年6月3日のサイト構築時点では9件で、承認の問いに1つずつ「はい」と答えるたびに増えて6月23日に72件・9月1日に75件になり、一度も棚卸ししていませんでした。増える一方の許可リストは、誰も持ち主でない権限設計です。

本番反映の線は当社が設計したものではなく、既定の仕組みが引いていました。9月24日・25日・26日の3回、auto モードの分類器が本番反映のコマンドを止めました。止まるたびにエージェントは作業を止めて代表のTODOにその手順を書き、代表が9月26日と27日に自分で本番反映を実行しました。止まったときに示された理由は本番デプロイに当たるというもので、前の節に書いた既定で遮断される行為の一覧にある項目です。当社はこの線を明示的に決めていませんでした（Anthropic「Choose a permission mode」／2026年9月27日閲覧）。既定に助けられた形なので、確認を挟む操作は本番反映・外部への送信・認証情報とアカウントの操作の3つを名前で決めておく必要があると分かりました。

X（旧Twitter）のアカウント運用では線を先に文書で引いています。ブラウザ操作で投稿する仕組みは、サイトを機械で操作する形がXの規約でアカウントの永久凍結につながり得ると当社が判断したため最初から作りませんでした（X「Automation rules」／2026年8月13日閲覧）。公式APIを通す投稿は上限の中で許可し、他の人へのリプライとフォローは人だけが行います。2026年9月6日に自動投稿の既定と止め方を文書で決め、2026年9月17日には品質の理由で自動生成した本文をすべて止めました。朝に動く定時ジョブはリプライ候補とメンションを集める素朴なスクリプトで、アカウントに対して操作するエージェントではありません。

Googleビジネスプロフィールの投稿は、記事を公開するたびにエージェントが本文を作りブラウザ操作で投稿しています。口コミへの返信は代表の名義でしか投稿できないため、代表だけが行います。ブラウザ操作による投稿を当社が禁止しているのはXだけで、理由は前の段落のとおりです。エージェントが外部に出す文章は公開済みの記事の要約に限り、人に宛てた返信は人が最後に押すという線で揃えています。

2026年9月25日の構造化データ監査では、エージェントが出した指摘を独立した反証役2つの両方が支持したものだけ適用し、連絡先の表示や営業時間や顧客に関する記述など代表しか判断できない事実に触れる修正は代表に送りました（構造化データの監査と直し方）。2026年9月27日のアクセス調査はエージェントに読み取りだけを許しました。

中小企業が最初の1週間でやるのは、止める人と止める操作を紙に書くことである

情報システム部門がなく、エージェントを使う人が数人という会社を想定した7日間です。

1日目は止める人を役職名で決めます。代表か情報システム担当のどちらかで、その人が止める操作を3つ書き出します。認証情報の失効・セッションの終了・ネットワークの隔離の3つが最小の組み合わせです。

2日目は許可リストを数えます。件数と分類（Bash系・ファイル読み取り・Webの取得・ブラウザ操作）を書き出し、deny と ask が0件ならそこが最初に埋める空欄です。

3日目は禁止を書きます。秘密を保持するファイルの読み取り・止まらない設定（bypassPermissions・yolo・Turbo）の使用・規約が機械操作を禁じる外部サービスへのブラウザ操作による投稿の3つです。

4日目は確認を書きます。本番反映・外部への送信（メール・投稿・API呼び出し）・認証情報とアカウントの操作の3つを permissions.ask に置きます。deny→ask→allow の評価順なので、既に allow にある操作でも ask が先に効きます（Anthropic「Configure permissions」／2026年9月27日閲覧）。

5日目は外向き通信の既定値を確かめます。サンドボックスが有効か・許可したドメインは何か・広いドメインを許可していないかの3点です。Claude Codeは既定で1つもドメインを事前許可しません（Anthropic「Configure the sandboxed Bash tool」／2026年9月27日閲覧）。

6日目はログの置き場を決めます。各ステップの判断根拠と連携先呼び出し履歴を、エージェントが書き換えられない場所に残します。Claude Codeなら hooks の PostToolUse で記録できます（Anthropic「Hooks reference」／2026年9月27日閲覧）。

7日目は止める手順を1回試します。認証情報を1本失効させて発行し直す・セッションを切る・ネットワークを止めるの順で、止まることを見てから復旧します。試していない止め方は止め方ではありません。

当社が試していないのは複数エージェントの隔離と採点の偽装で、エージェントを使わないほうがよい場面もある

当社の運用は代表1人がClaude Codeを対話で動かし、必要なときだけ調査役や反証役を同じセッションから呼ぶ形で、互いに隔離された多数のエージェントを同じ環境で走らせる構成は試していません。METRが数えた約1,200体の掲示板の発見は、この構成でだけ起きる種類の穴です（METR「Brief independent investigation …」／2026年9月27日閲覧）。Anthropicのアラインメント科学ブログの「Agentic Misalignment in Summer 2026」（2026年7月13日）はPetriを使った模擬環境の研究で4つの失敗モードを観測していますが、本文に「These are not real-world incidents, but we consider them early warning signs」と明記されています（Anthropic Alignment Science Blog「Agentic Misalignment in Summer 2026」／2026年9月27日閲覧）。当社にはこの種の環境がありません。

採点の偽装も試していません。METRの報告では評価したトランスクリプトの約7%に偽装ツール呼び出しが含まれていました（METR「Brief independent investigation …」／2026年9月27日閲覧）が、当社にはエージェントの成果を機械で採点する評価基盤がなく、偽装が起きるかどうかを確かめる場がありません。

当社の設定にも弱い点が残っています。deny と ask が0件のままで、本番反映の線は既定に頼っています。3日目と4日目の項目は、公開時点では紙に書いた段階です。

エージェントを使わないほうがよい場面も3つあります。止める人を役職名で決められない場合は、止める操作を決めても実行する人がいません。認証情報がエージェントの読める場所から動かせない場合は、事案の起点をそのまま残すことになります。支払い・外部への送信・削除のように取り消せない操作に人の確認を挟めない場合は、確認なしで通る設計になります。3つのどれかに当たるなら、エージェントではなく下書きまでのAIに留めるほうが向いています。

AIエージェントの権限設計についてよくある質問（当社の運用で出た問い）

Q. 本番へのデプロイをAIエージェントに任せてよいですか？

当社は任せていません。本番デプロイはClaude Codeの auto モードが既定で遮断する行為の一覧に入っていて、当社の本番反映を止めたのもこの既定でした（Anthropic「Choose a permission mode」／2026年9月27日閲覧）。任せる場合でも、既定に頼らず permissions.ask に書いて止める人が押す形にするのが当社の答えです。

Q. 許可リストは減らすべきですか？

件数を減らすことより先に、持ち主を決めて deny と ask を埋めることです。当社の78件は2026年6月のサイト構築時の9件から承認のたびに増えたもので、減らさなかったことより見直していなかったことが問題でした。allow に残すのは完全一致で書いたコマンドと作業フォルダの中の編集に限ります。

Q. ログはエージェントに書かせてよいですか？

エージェントが書き換えられる場所に置くログは、事案のときに使えません。METRの報告ではツール呼び出しの偽装が確認され、ログの書き換えについては成功例を見つけていないが成功していた可能性を否定できないとMETR自身が限界に挙げています（METR「Brief independent investigation …」／2026年9月27日閲覧）。記録はツールの外側で動く hooks や実行環境の側に取らせ、エージェントの書き込み権限が及ばない場所に置きます。

Q. 人が確認する操作を増やすと遅くなりませんか？

増やし方によります。確認の対象を本番反映・外部への送信・認証情報とアカウントの操作に絞れば、日常の作業のほとんどは確認なしで進みます。当社の本番反映は止まった日の翌日か翌々日に代表が実行し、遅れは最大2日でした。@ITの記事が指摘するとおり、確認が多すぎると形骸化して、承認通知が多すぎて確かめずに押すMFA疲労と同じ状態になります（@IT「「ヒューマン・イン・ザ・ループ万能説」崩壊」／2026年9月27日閲覧）。

SAIの視点：許可リストを数えるまで、当社は自分の権限設計を持っていなかった

2026年9月の事案で当社が最も考えさせられたのは規模ではなく、自社の許可リストが78件になっていることに誰も気づいていなかった点でした。承認の問いに答え続けた結果として権限が積み上がり、本番反映だけが既定の仕組みに守られていた形は、設計と呼べるものではありませんでした。

当社はClaude Codeをサイト運用と記事の構成案に日々使い、MCPで外部ツールをつなぐ記事では読み取りのみの権限から始めることを勧めてきました。生成AIの社内利用ルールは入力してよい情報の線引きでしたが、エージェントでは線引きの対象が情報から操作に変わります。止める人を先に決めるのはその第1行です。

AI導入支援の相談で当社がまず聞くのは、止める操作と止める人が決まっているかです。止める人を役職名で決めることと許可リストの件数を月1回数えることは、この記事の7日間のとおり最初の週に始められます。

最初に確かめるのは、自社で止める操作を3つ書き出せるかです。書き出せたら、使っているツール名と許可リストの件数と止める人の役職をお問い合わせからお送りください。設定ファイルの中身は送らず、件数と分類だけで結構です。

出典と確認日

X規約のページを除きいずれも2026年9月27日閲覧。会員限定の記事は公開部分のみ確認。

• METR「Brief independent investigation … OpenAI / Hugging Face hacking incident」（2026年8月26日）
• Fortune「OpenAI, independent firms publish reports on rogue AI attack on Hugging Face」（2026年8月26日）
• ITmedia NEWS「Hugging Face侵害事件、OpenAIとMETRが最終報告書公開」（2026年8月30日）
• TechCrunch「OpenAI's rogue agents keep escaping …」（2026年9月4日）
• NBC News「OpenAI flags 6 new incidents of 'concerning' behavior …」（2026年9月16日）
• Fortune「OpenAI says its AI agents escaped a secure 'sandbox' again …」（2026年9月26日）
• 時事通信「ＡＩ「暴走」さらに数十件　不正アクセスなど―米オープンＡＩ」（2026年9月26日）
• NHK「開発中のAIモデルがまた“逸脱行動” 53件の画像流出も」（2026年9月26日）
• Anthropic「Investigating three incidents in our cybersecurity evaluations」（2026年7月30日・8月3日更新）
• Anthropic「An alignment assessment of recent cybersecurity incidents」（2026年9月9日）
• Anthropic Alignment Science Blog「Agentic Misalignment in Summer 2026」（2026年7月13日・模擬環境の研究）
• Palo Alto Networks Unit 42「An AI-Assisted Cyber Attack: Inside a Unit 42 Investigation」（2026年9月2日）
• Claude Code 公式ドキュメント: 「Configure permissions」・「Hooks reference」・「Settings files and precedence」・「Settings reference」・「Configure the sandboxed Bash tool」・「Choose a permission mode」
• Codex 公式ドキュメント: 「Agent approvals & security」
• Google「Gemini CLI configuration」
• Google「Permissions | Google Antigravity Docs」
• IPA 産業サイバーセキュリティセンター「生成AIおよびAIエージェントを安全に活用するための手引書」（PDF）（第1版・2026年7月31日）
• 総務省・経済産業省「AI事業者ガイドライン（第1.2版）別添（付属資料）」（PDF）（令和8年3月31日）
• TechTarget ジャパン「AIエージェントを暴走させない設定、済んでますか？」（2026年9月16日・全文は会員限定）
• Admina by Money Forward「AIエージェントのセキュリティと情シス向けガバナンス実務ガイド」（2026年5月14日）
• @IT「「ヒューマン・イン・ザ・ループ万能説」崩壊」（2026年9月23日）
• X「Automation rules」（2026年8月13日閲覧。当社の取得手段では9月27日は開けず）