この休みの5日で、AIエージェント運用を1段上げる — 事故台帳57件から作った4層のカリキュラム

AIエージェントに作業を任せて1年、事故が起きるたびに台帳に1行足してきた小嶋さんが、その57件を Claude Code の permissions と照合してみたら、公式機能だけで防げていたのはたった4件。残る49件は「permission は呼び出しの可否しか見ない」「セッション内だけしか見ない」「シェルの間接参照を透過できない」「実装したのに効いていない」という4つの構造に収まることが分かった。きっかけは夜間に回す無人ジョブが無言で止まったり、git のフックが3週間誰にも気づかれずに無効化されていたりという事象だ。見方を変えると、これは「permission システムが見張れる時間」と「見張れない時間」の層の問題そのものだ。human-on-the-loop は「人間が見ている」ことを前提に成立するが、人は見落とす。見落とした区間が何も起きなかったことは、監査ログにも記録されない。小嶋さんの掘り下げから浮かぶのは、permission という黒子の限界ではなく、むしろそれらの限界を知ったうえで別の防御を積み重ねる設計の必要性だ。5日分のカリキュラムは人の目を離す前に 4 層を 1 段ずつ登るための地図。中小企業が実務者の手からエージェントを離す判断は、機能的な判定ではなく構造的な把握にかかっている。見えていない箱を見えるようにすることが、信頼と無人運用の分かれ目だ。