AIエージェントの権限管理 — ファイル・ツール・外部接続をどう分けるか

AIエージェントは、起動した人の権限で動きます。つまり何もしなければ、エージェントの権限は「その社員にできることすべて」です。ファイルもツールも通信も、人と同じ範囲に及びます。人には常識と責任がありますが、エージェントは外部入力に誘導されることもある自動プログラムです。最小権限の原則をAIエージェントにどう適用するかを整理します。

なぜ「人と同じ権限」では広すぎるのか

人とエージェントでは、権限の使われ方が3つの点で違います。

• 速度と量 — エージェントは数秒で数百ファイルを読めます。誤った方向の作業も、人より速く大量に進みます
• 誘導されうる — 読み込んだテキストに紛れた指示で意図が逸れる可能性があります（プロンプトインジェクションを前提にした実行環境）
• 常識の欠落 — 「これは触ってはいけない雰囲気のファイル」という暗黙の判断は期待できません

権限の広さは、平常時には見えません。問題が起きたとき、被害の上限になって現れます。

最小権限の3面 — ファイル・ツール・外部接続

1. ファイル — 何を読めて、何を書けるか

絞る基本は「その仕事のファイルだけ」です。とくに注意すべきは、仕事と無関係にたまたま同じ環境にある情報です。認証情報、別案件のデータ、個人ファイルがこれにあたります。社員のPCでエージェントを動かす構成では、この「たまたま隣にある」が大量に発生します（社員PCで動かすリスク）。

2. ツール — 何を実行できるか

エージェントはコマンドやツール（MCP経由の外部ツールを含む）を実行します。絞る観点は「破壊的な操作に確認を挟むか」「どのツールへの接続を許すか」です。ツールが増えるほど攻撃面も広がるため、ツールの追加は申請ベースにするのが安全側です（MCPの管理はMCPを企業で使う前に決めること）。

3. 外部接続 — どこへ繋げるか

エージェントが読んだ情報の「出口」です。実行環境側でできるのは、機密を扱う環境から外部への経路をなくす・公認のAIサービス以外に鍵を渡さないという構造の設計です。ネットワーク側で通信先を許可リストで絞る対策は別レイヤーとして併用できます（姉妹サイトのAIエージェントのegress制御入門）。

権限管理を運用倒れさせない — 境界が先、設定は後

3面それぞれを細かく設定で絞ろうとすると、設定は複雑化し、例外申請が積み上がります。現場に合わないほど厳しい設計は、例外の常態化や「全部許可」への揺り戻しを招きやすいのです。

現実的な順序は逆です。先にワークスペースの境界で大きく絞る。仕事単位の部屋を作り、部屋にはその仕事のファイルしかなく、機密の部屋には外部経路がない（ワークスペース設計）。境界が効いていれば、部屋の中の権限設定は「破壊的操作の確認」程度まで軽くできます。境界で絞り、設定は軽く。これが運用に耐える形です。

まとめ

• エージェントは既定で「人と同じ権限」で動く。速度・誘導されやすさ・常識の欠落を考えると広すぎる
• 権限は3面で考える（読めるファイル・使えるツール・繋げる外部）
• 細かい設定での統制は運用倒れしやすい。境界（ワークスペース）で大きく絞り、境界内の設定は軽く
• 外部接続はネットワーク側の出口制御と併用できる別レイヤー

この「境界が先」を、設定ではなくワークスペースの構造として持っているAIエージェント実行アプライアンスがHoko（矛）です。部屋の中の仕事に必要なものだけが部屋にあり、機密の部屋には外への経路がありません。実装は2つのルームのとおりです。