エージェントを「何ができるか」で選ぶと、たいてい失敗します。 できることは各社ほぼ横並びに近づいていて、実際に差が出るのはどこまで許すか、どこで止まるかの設計だからです。

そして重要な事実が1つあります。ある会社の公式ヘルプには、権限をどう設定しても実行しない操作が列挙されています。 購入、金融取引、アカウント作成、完全削除——。エージェントの限界は、性能ではなく、この線引きのほうに現れます。

この記事の要点

  • 見るべきは権限設計（できることではない）
  • 人が途中で引き継げるかが最初の条件
  • ページに書かれた文章が指示として読まれる危険がある

その前に：アシスタントとエージェントは別の層

言葉が同じように使われていますが、公式は層を分けています。

層焦点やること
アシスタント理解し、説明すること記事やメールの要約、今見ているタブへの質問、翻訳、調べ物の補助
エージェント実行することクリック、フォーム入力、サイトの自律的な移動、予約、メール送信

選ぶ前に、自分がほしいのがどちらかを決めてください。 「要約してくれれば十分」なら、権限の話はほとんど不要です。以下の5条件は、実行する側を選ぶときの話になります。

条件①：人が途中で引き継げるか

いちばん重要な条件です。

エージェントがログイン画面にぶつかったとき、どうなるか。ここで設計の差が出ます。

公式ヘルプに書かれている良い例は、エージェントがいったん停止して、利用者に操作を引き継ぐよう促すというものです。しかもこの引き継ぎ中は、スクリーンショットが取得されません。パスワードのような入力が、AI側の記録に残らないようにするためです。

確認したいこと

  • ログインや決済の画面で止まるか、それとも自分でやろうとするか
  • 引き継いでいる間、画面が記録されないようになっているか
  • 途中で中断・修正できるか

「全部やってくれる」ことを売りにしているものほど、この確認が要ります。

条件②：権限を単位で絞れるか

「使う／使わない」の二択しかないものは、避けたほうが安全です。

ある公式ヘルプでは、権限の与え方が3段階に分かれています。

選択肢意味公式の位置づけ
このアクションを許可その1回だけ最も安全な選択肢
このサイトでのアクションを常に許可継続的な権限完全に信頼するサイトにのみ使用。付与するとサイト全体で意図しない操作をする可能性がある
拒否実行させない—

「常に許可」の説明が率直です。 便利ですが、そのサイトの中で何をされても文句が言えなくなる、という趣旨のことが公式に書かれています。

組織で使う場合はもう一段あります。 TeamやEnterpriseの管理者は、許可リスト（承認したサイトだけに制限）とブロックリスト（利用者の権限に関係なく遮断）を設定できます。会社で導入するなら、この管理機能の有無が選定条件になります。

条件③：権限に関係なく止まる一線があるか

ここが、この記事でいちばん伝えたい部分です。

ある公式ヘルプには、どの権限モードでも実行しない操作が列挙されています。

  • 購入または金融取引の実行
  • アカウントの作成
  • 機密クレジットカードまたはIDデータの処理
  • 信頼できないソースからのファイルのダウンロード
  • 完全削除（ゴミ箱を空にする、メール・ファイル・メッセージの削除）
  • 投資または金融アドバイスの提供
  • システムファイルの変更
  • メールまたはウェブコンテンツからの指示の実行

さらに、権限を「常に許可」にしていても、ファイルのダウンロード・ページへの機密情報の入力・認可の付与の前には、改めて明示的な承認を求める設計になっています。

この一覧を、機能の制限として読まないでください。 これは事故が起きる場所のリストです。他社を選ぶ場合も、同じ操作について何が起きるのかを確認する価値があります。

注意：これは特定の1社の公式ヘルプに書かれている内容です。 他社が同じ制限を持つとは限りません。だからこそ、比較の材料になります。

条件④：ページの内容を指示として読まない設計か

エージェント特有の危険が、これです。

公式ヘルプが挙げている実例を、そのまま紹介します。

カレンダーと最近のメールを確認して会食のレストランを探す——という作業の途中で、悪意あるコメントに遭遇し、Gmailからパスワードのリセットコードを取得して、悪意あるサイトへ送るように仕向けられる

ページに書かれた文章が、利用者の指示として読まれてしまう。 これがプロンプトインジェクションです。エージェントがWebを見て操作する以上、原理的に付いて回ります。

各社の対策として公式に挙げられているのは、高影響の操作に対する利用者確認、許可されない作業の拒否、インジェクションの監視、特定サイトで監督を求めるモードなどです。別の会社は、自動承認モードでも各アクションをデータ流出とインジェクションの観点でレビューし、危険と判断したものをブロックすると書いています。

ただし、どちらの公式も同じ趣旨のことを書いています。

完璧な防御はなく、どのモードもあなたの判断に代わるものではありません

🔍 編集部の本音 ここを読み飛ばすと、エージェントは「便利な自動化」にしか見えません。実際には、AIに自分のログイン済みブラウザを預ける行為です。銀行のサイトを開いたまま作業させるかどうかは、性能の問題ではなく運用の問題になります。お金が動く画面と、自分名義で送信される画面は、手動承認に戻す。 これだけ守れば、残りの作業はかなり任せられます。

PR・おすすめValue AI Writer byGMO高品質なSEO記事を生成するAIライティングツール。公式サイトを見る

条件⑤：作業のあと、データが残らないか

終わったあとの後片付けが用意されているかを見ます。

公式が推奨事項として挙げているのは、こういう項目です。

  • 必要なアプリだけを有効にする（全部つながないという意味です）
  • 機微なセッションのあとは、リモートブラウザのデータを消去する
  • 設定でアプリの権限を定期的に見直す
  • パスワードや個人情報をメッセージに直接入力しない（引き継ぎモードを使う）
  • 「メールを確認して全部処理して」のような曖昧で開放的な指示を避ける
  • 不審だと感じたら、直ちに作業を止める

権限履歴を確認できるか、与えた権限を後から取り消せるか。 これが用意されていないツールは、一度許可したら把握できなくなります。

5つの条件のまとめ方

この順に見ると判断が速いです。

#条件見る場所
①人が途中で引き継げるかログイン・決済画面での挙動、引き継ぎ中の記録の有無
②権限を単位で絞れるか1回だけ／サイト単位／拒否の3択、管理者の許可・ブロックリスト
③権限に関係なく止まる操作があるか公式ヘルプの禁止・保護アクションの一覧
④ページの指示を読まない設計かインジェクション対策の記載、監督モードの有無
⑤作業後にデータが残らないか権限履歴、権限の取り消し、セッションデータの消去

主な選択肢と、どこを見るか

個別の仕様は動きが速いため、ここでは性格の違いだけ挙げます。

ツール性格詳しく
ChatGPT の Work長時間の多段階作業と、完成した成果物の作成。エージェントモードは終了し、Workに移行したエージェント機能は終了
Claude in Chrome3つの権限モードと、権限に関係ない禁止事項が明文化されている3つの権限モードと禁止事項
Copilot のエージェントMicrosoft 365のライセンス下。管理者が有効にしていないと使えないCopilotのエージェントとは？
Perplexity の Cometアシスタント層とエージェント層が明確に分かれているCometの使い方

組織で使うなら、Copilot型の「管理者が有効にする」構造は弱点ではなく利点です。 個人で試すなら逆に足かせになります。誰が権限を握るかが、そのまま選定条件になります。

最初に任せる作業の選び方

次の3つを満たす作業から始めてください。

  1. 失敗しても取り返せる（消えない、送られない、買われない）
  2. 結果を自分で検証できる（正しいかどうか、見ればわかる）
  3. 範囲がはっきりしている（「全部やって」ではない）

逆に、最初に任せてはいけないのは、お金が動く作業と、自分名義で外部に送信される作業です。 公式が「近くにいて内容を確認するか、手動承認に戻すことを検討してください」と名指ししているのも、この2つです。

FAQ

Q. アシスタントとエージェントは何が違いますか？

A. 公式の整理では、**アシスタントは「理解し説明すること」、エージェントは「実行すること」**に焦点があります。要約や質問応答で足りるならアシスタント層で十分で、権限の検討はほとんど不要です。

Q. どれがいちばん安全ですか？

A. 公式が「完璧な防御はない」と明記しています。 比較すべきは安全性の総合点ではなく、権限を絞れるか、止まる一線が明文化されているか、後から取り消せるかという具体的な機能です。

Q. プロンプトインジェクションは防げますか？

A. 各社が監視・ブロック・確認要求などの対策を実装していますが、公式自身がリスクをすべて排除するものではないと書いています。 曖昧な指示を避ける、機微なサイトでは手動承認に戻す、という運用側の対処が前提になります。

Q. 会社で導入する場合、何を見ればいいですか？

A. 管理者側の統制機能です。承認済みサイトのみに制限する許可リスト、利用者の権限に関係なく遮断するブロックリスト、ライセンス単位での有効化の可否。個人利用とは見る場所が変わります。

Q. 「常に許可」にしても大丈夫ですか？

A. 公式は完全に信頼するサイトにのみ使うよう案内しています。付与するとサイト全体で意図しない操作が起こりうるためです。ただし「常に許可」でも、ファイルのダウンロード・機密情報の入力・認可の付与の前には別途の承認を求める設計になっています。

まとめ

  • 選定軸は「できること」でなく「どこまで許すか」。 機能は横並びに近づいている
  • ①引き継げるか ②権限を絞れるか ③止まる一線があるか ④ページの指示を読まないか ⑤データが残らないか の5点で比べる
  • 権限に関係なく実行しない操作が公式に列挙されているツールがある。その一覧は事故が起きる場所のリストでもある
  • プロンプトインジェクションは原理的に残る。 公式も完璧な防御はないと書いている
  • 最初に任せるのは、取り返せて・検証できて・範囲が明確な作業から

エージェントとは何かという前提はAIエージェントとは？、ツール全般の選び方はAIツールの選び方にあります。ブラウザを操作する系統の全体像はAIブラウザとは？で扱っています。