私たちは、未来は多様なモデルと多様な用途が存在する世界だと考えています。そして、私たちは新たな信頼モデルが必要だと考えています。
1988で、ノーム・ハーディは、長年にわたって静かにシステムを破壊してきた問題、つまり混乱した副官について述べた。あなたの権限ではなく、自身の権限に基づいて行動するプログラム。
今日では、すべてのAIエージェントがその代理人である。それはあなたの権限を継承します。つまり、あなたの認証情報、リポジトリへのアクセス権、APIを呼び出す能力などです。しかし、その挙動は確率的である。それは、周囲の環境で見つけた指示に基づいて行動しているのかもしれないし、自ら考案した手順に基づいて行動しているのかもしれないし、あるいは自信過剰な誤った答えに基づいて行動しているのかもしれない。
業界は、混乱した副保安官の問題を解決するために、副保安官自身をより慎重にさせたわけではなかった。彼らは権限を一段階下げることで問題を解決した。40年経った今でも、それは変わらない答えだ。
誰もが同じ未来へと向かっている
業界を同じ結論へと導いている3つの事実がある。
- エージェントはコストのかかるループである。エージェントは多くの手順を踏み、あなたはそれぞれの手順ごとにトークンごとに料金を支払います。単純な作業に最新の最先端モデルを適用するのは経済的に意味がない、という点については誰もが同意するだろう。
- 最先端技術のリーダーは頻繁に変わる。その日の最上位モデル（およびその販売元）が数ヶ月ごとに変わることは、誰もが承知している。
- ワークフローによっては、カスタムモデルが必要になる場合があります。多くのチームは、インテリジェンスがコモディティ化しつつあり、差別化要因は、個々の状況から導き出されるカスタムモデルであると認識している。
その結果、私たちは皆、複数のハーネスにわたる複数のモデルのポートフォリオをあっという間に抱えることになる。
同様の収束現象が、一つ上の階層でも起こっている。開発者は、これまでと同じように、適切なタスクに適したツールを選択する。例えば、長時間のリファクタリングにはClaude Code、日常業務にはCodex、簡単なスクリプト作成にはHermesといった使い分けが考えられます。
将来の働き方は、多様な形態と多様な活用方法を持つものになると予想するのは妥当である。
信頼が決定的な問題となる
多くのエージェントは同じようなやり方で仕事をしている。
彼らは、サポートチケット、ウェブページ、ドキュメント、見知らぬ人が書いたコードなど、私たちの管理下にない資料を読むことが多い。しかし、彼らはあなたが与えた権限、つまりあなたの認証情報、リポジトリへのアクセス権、本番環境用API、そしてオープンなインターネットを利用して行動します。そして彼らは通常、VPCやIAMといった一般的なセキュリティ対策の枠外で、開発者のノートパソコンから両方の作業を行う。
個人データと自律的に行動する能力、この二つが組み合わさることで、エージェントを導入する価値が生まれる。部下が役に立つためには、任務を遂行する能力が必要だ。つまり、興味深い問題はもはやどのモデルが最適かということではない。これは、こうした副官の一人が間違っていたり、操られていたりした場合に起こることだ。
ハーネスごとのガードレールが壊れる
明白な答えは、各ハーネスに専用のガードレールが付属しているということだ。多くの人がそう思っています。しかし、セキュリティ境界として頼りにすると、それらは3つの点で失敗します。
- エージェントは彼らの話を遮って話を進める。ハーネス内部のガードレールは、エージェントが実行しているのと同じループ内で適用されます。Gitプッシュを拒否すると、APIにアクセスしようとします。APIを拒否すると、gistが開きます。要点を否定すれば、データは信頼できるチャネルに隠され、決して検証されることはない。昨年、研究者たちは、公開されているGitHubリポジトリに悪意のあるイシューが1件登録されるだけで、コーディングエージェントが企業のプライベートリポジトリを読み取り、その内容をエージェント自身が開いたプルリクエストに公開してしまう可能性があることを示した。すべての手順において、エージェント自身の正当なアクセス権限が、誰もが信頼するチャネルを通じて使用されたため、ハッキングは一切行われていません。エージェントが交渉できる境界は、境界ではない。
- 線路はあなたがいなくても動く。ほとんどのハーネスの絶縁モデルはクローズドソースであり、ベンダーのスケジュールに従って出荷されます。主要なコーディングエージェントは、過去1年間だけでも、デフォルトのサンドボックスと承認動作をそれぞれ複数回改訂している。サンドボックスモデルの更新は、セキュリティ上の事象として扱うべきである。これを10個のハーネスで掛け合わせると、セキュリティ体制は、常に6社ほどのベンダーの対策を
集めた状態になる。 - 線路は車両群を覆っていない。プラットフォームチームが構築したカスタムエージェントには、プラットフォームチームが記述したガードレールが正確に適用されています。サポートSaaSに組み込まれているエージェントは、ベンダーが選択した機能を使用しており、ほとんどの場合、ユーザーには隔離制御機能が一切提供されていません。新しいハーネスを導入するたびに、ガバナンスをゼロから、これまでとは異なる方法で構築または監査し直す必要がある。結果として、それぞれが互いに連携せず、他のトラフィックを認識できないまま、多数の実装がばらばらになってしまい、ルールを設定する場所も、問題が発生した理由を理解するための記録も、一元的に管理できない状態になってしまう。
安全は、エージェントが正しい判断を下すことや、他者の釈放スケジュールに依存するものであってはならない。
下の層
これが私たちの信念です。未来はマルチモデルとマルチエージェントの時代だ。そして、そのような未来を考えると、あらゆる組織は、その下にさらにレイヤー、つまりハーネスの下にあるランタイムレイヤーを必要とし、すべての組織はその上で動作するようになると私たちは考えています。
理由は単純明快だ。モデル、ベンダー、フレームワークを取り除けば、エージェントはあらゆるものに影響を与える2つの方法を持っている。それはコードを実行し、そのコードがファイルにアクセスしたり、ネットワーク接続を開いたりする。あるいは、システムに対して作用するツールを呼び出す。エージェントが行うすべての行動は、これらの経路のいずれかをたどる。そして、どちらの経路も同じ表面、つまりプロセスが実行され、認証情報が使用され、リクエストがマシンから送信されるランタイムを横切ります。どの機種で動いているか、どのベンダーから出荷されたか、あるいは自分で作ったかに関わらず、すべてのエージェントはそれを経由します。つまり、ここはあなたが定義したルールをすべてのエージェントに適用できる唯一の場所となるのです。これは、1988 と同じ修正であり、今日の代理人にも適用されます。権限は一段階離れたところにあります。
そこに強制力を持たせれば、先に述べた3つの失敗シナリオはすべて逆転するだろう。
あなたのエージェントは、自分のことしか話せない。エージェントの境界は、エージェントが実行しているループの外側に位置するため、モデルがあなたと一緒にいるか、幻覚を見ているか、あるいは侵害されているかに関わらず、境界は安定して維持されます。実行時に明確な中立境界を設ける方が、エージェント自身が作成するプロンプトレベルの境界よりも効果的です。
レールがランダムに停止する。ポリシーは一度作成すれば、実行方法、ツール呼び出し、認証情報、支出などを網羅した、あなた専用のものになります。これで、モデルやエージェントのベンダーがアップデートを行ったとしても、セキュリティ体制が勝手に変更されることはありません。
レールはあなたの所有する車両全体をカバーしています。あなたが作成したポリシーは、すべてのハーネスに適用されます。そして、あなたのエージェント全員によるあらゆる行動は、一つの記録に記録されます。何が実行され、何に影響を与え、どのルールが決定を下したか、といった内容です。
これによって、エージェントについてより細かなニュアンスを表現できるのです。ハーネスの下に境界線を設けないと、3つの悪い選択肢しかありません。エージェントを完全にブロックするか、すべてを許可して最善を祈るか、すべてのステップに手動承認を挟み込んで、望んでいた生産性を諦めるかのいずれかです。
実行時に境界を設定することで、4つ目の選択肢が得られます。エージェントが逸脱した場合でも、その結果が限定されていれば、真の自律性を与えることができる。それが目標である。
モデルは今後も変化し続け、新しいハーネスが当社のすべてのツールキットに加わると予想されます。その部分は健康です。それらの下の境界線は、安定した状態を保つべき部分である。
サンノゼで開催される「We Are Developers」において、DockerのCTOであるトゥシャール・ジェイン氏が、複数のモデル、複数のハーネス、そしてそれらすべてを支える単一のランタイムといった、この世界についてさらに詳しく語る予定です。
