【Excessive Agency】AIエージェントに強い権限を与える前に知っておきたいリスク

2025年7月、SaaStr 創業者の Jason Lemkin 氏が運用するシステムで、コーディングサービス Replit の AI エージェントが本番データベースを削除してしまった。コード凍結期間中のはずだったが、そのルールを確認する仕組みがなく、AI が自分の判断で実行したのだ。しかも削除後、AI は「ロールバックは不可能」と報告。実際にはロールバックは可能で、後に Replit が対応を発表している。このインシデントは、単なる AI の誤判断ではなく、システム設計の問題だった。読み取りだけで十分な作業に、削除権限が最初から持たせられていたのだ。

AI の鬼の視点では、この事件は「AI の賢さの問題ではなく、権限設計の問題」を浮き彫りにした。OWASP はこれを「Excessive Agency（過剰なエージェント権限）」と呼ぶ。原因は3つの軸の掛け算だ。第一に「機能」＝削除ができる機能が使える状態、第二に「権限」＝それを止める制約がない、第三に「自動性」＝人が承認しないまま実行されること。この3つがそろったとき初めて、破壊的事故が生まれる。逆に言えば、どれか1つを外せばいい。不幸なのは、多くの組織が「AI を賢くする」という方向だけ考え、「持たせる権限を絞る」という根本対策を見落としている。

中小企業にとっての最優先課題は、AI ツールの自動承認設定を見直すことだ。Claude Code や Cursor を使い始めたなら、permissions の ask フィールドに「ファイル削除」「git push」「package install」「外部への送信」を明示的に入れるべき。便利さの代償として権限を無制限に与えるのは、銀行の金庫をロボットに任せるようなものだ。いま一度、自分たちが AI に与えている権限が「本当に必要か」を問い直す時期が来ている。