AIコーディングエージェントを社員PCで動かすリスクと代替策

Claude Code や Codex のようなAIコーディングエージェントは、開発の生産性を大きく変えました。同時に、多くの企業で「気づいたら各自のPCで動いていた」のが実態ではないでしょうか。社員PCでエージェントを動かす構成のリスクを整理し、禁止でも放置でもない代替策を示します。

チャット型AIとは、リスクの種類が違う

ブラウザで使うチャット型AIのリスクは「何を貼り付けるか」でした。人が入力した範囲しか、AIには渡りません。

コーディングエージェントは違います。エージェント自身がファイルを読み、コマンドを実行し、その結果を見て次の行動を決めます。人が渡したつもりのない情報（同じPCに置いてあった顧客データ、ホームディレクトリの認証情報、隣のリポジトリ）にも、作業の延長で到達し得ます。「貼り付けの注意」では守れない理由がここにあります。

社員PC構成の4つのリスク

1. 機密への到達 — 環境がすべて地続き

社員のPCには、業務のすべてが載っています。開発リポジトリの隣に顧客名簿があり、ブラウザには社内システムのセッションが残っています。エージェントにとって、それらは同じファイルシステムの上の地続きの情報です。エージェントが読んだ情報は、クラウドAIへの問い合わせの文脈に含まれて社外へ出る可能性があります。プロンプトインジェクションで意図を乗っ取られた場合は、そのリスクがさらに高まります。

2. 鍵の散在 — 認証情報が各PCに置かれる

エージェントを各自のPCで動かすには、AIサービスのAPIキーだけでなく、Gitの認証情報、クラウドの認証情報、社内システムのトークンなど、エージェントが仕事に使う鍵一式を各自のPCに置くことになります。鍵の置き場所の数だけ漏えい点が増え、漏れたときに「どの鍵が・どこで・どこまで使われたか」を会社として把握する手段もありません。棚卸しも、退職時の確実な無効化も困難になります。

3. 記録の不在 — 「何をさせたか」に答えられない

エージェントの作業記録は、各PCのローカルにしか残りません（あるいは残りません）。「AIに何をさせているのか」を監査や顧客に聞かれたとき、会社として答えられる記録がない。事故が起きていなくても、これ自体が説明責任の問題です（AIセッションの監査ログで詳しく扱います）。

4. 環境のばらつき — 統制も巻き戻しも効かない

各自が独自にセットアップした環境は、バージョンも設定も拡張もばらばらです。問題のある使い方を組織として止める手段がなく、エージェントが環境を壊しても巻き戻せるのはその本人だけ。良くも悪くも、会社は関与できません（暴走時の停止・巻き戻し・隔離の設計はこちらの記事で扱っています）。

「禁止」は解決にならない

リスクが見えると禁止に傾きがちですが、コーディングエージェントの生産性向上は本物です。全面禁止は短期的には統制として機能しても、業務上の需要が強い場合、便利さに負けた非公式利用、いわゆるシャドーAIを招きやすくなります。把握できない利用は、把握できる利用より危険です。

代替策 — 実行環境を会社側に集約する

リスクの4つに共通する原因は、実行環境が会社の管理外（各自のPC）にあることです。だから対策も1つに集約されます。エージェントの実行環境を、会社が管理する場所に集めることです。

• 機密への到達 → 実行環境を業務ごとに区切り、機密データは隔離された環境にだけ置く。エージェントが「たまたま隣にあった機密」に到達できる構造をなくす
• 鍵の散在 → APIキーは集約環境側で管理し、社員のPCには配らない
• 記録の不在 → 実行環境が会社側にあれば、セッションの記録も会社側に残せる
• 環境のばらつき → 環境を会社が「配る」形にすれば、標準化も巻き戻しも効く（AIコーディング環境を標準化する）

このとき社員のPCの役割は「エージェントが動く場所」から「集約環境に入るための窓」に変わります。コード・鍵・実行環境をPC上に置かない設計に近づくほど、PCの紛失や侵害が機密の漏えいに直結しにくくなります。

集約のやり方にはSaaS型・自社構築・アプライアンスの選択肢があります。比較はAI実行基盤の選び方を参照してください。なお、ネットワーク出口側でエージェントの通信を制御するアプローチは、姉妹サイトのAIコーディングエージェントを開発環境で安全に使うためのegress制御が扱っています。実行環境の集約と出口制御は、併用できる別レイヤーの対策です。

まとめ

• コーディングエージェントは自律的にファイルを読み実行する。チャット型AIの「貼り付け注意」では守れない
• 社員PC構成のリスクは「機密への到達・鍵の散在・記録の不在・環境のばらつき」の4つ
• 禁止はシャドーAI化を招くだけ。対策は実行環境の会社側への集約
• 集約すれば、機密の隔離・鍵の一元管理・セッション記録・環境の標準化が同じ場所で解決できる

Hoko（矛）は、AIエージェントの実行環境を社内の箱に集約するアプライアンスです。社員のPCには何も入れず、機密は箱内のローカルLLMだけが処理します。集約の実装は製品トップにまとめています。