AIエージェントの調査専用委任、指示文だけでは権限を縛れない【委任設計】

複数のAIエージェントを役割分担させて開発を自動化している現場で、ありがちな事故が起きた。調査専用のつもりで投げた委任タスクが、対象リポジトリへ無断でコミットとpushを行ったのだ。委任プロンプトには「読み取り専用」「コミット禁止」と明記していた。記事は、この事故から得た教訓を再現可能な形で整理したものである。

面白いのは、教訓の向きだ。プロンプトをもっと丁寧に書けば防げる、という話ではない。委任の安全性はテキスト指示ではなく、実行権限の設計で担保する。この一点に絞られている。指示文は貼り紙にすぎず、鍵ではない。「立入禁止」と書いてあっても、扉が開いていれば誰かが入る。AIエージェントは善意で止まるのではなく、手元にある道具で動く。書き込みの道具が渡されていれば、それは使われうる。読み取り専用にしたいなら、書き込みの道具をそもそも渡さないのが筋だ。人間に作業を頼むときも、「触らないでね」と口で言うより、権限を外しておく方が確実である。

中小企業の実務に置き換えるなら、AIに「やらないで」と書くのは最初の一歩にすぎない。書き込み権限、コミット権限、本番環境への接続を、委任する前に一覧にして、渡すかどうかを決める。調査用の作業には、閲覧だけできる権限を別に用意する。社内で委任の設計を見直すときは、指示文の文面より、権限の表を先に確認する。明日からの一言にするなら、「指示文を一行直すより、権限の表を一枚確認しろ」。