AIに人の代わりにメールを書かせて送信し、コンピューターまで操作させるエージェント時代が到来した。アンソロピックのClaudeは先月18日からGmailでメールの送信権限を持ち、OpenAIが3日に公開したGPT-6 Astraはスプレッドシートやウェブページを直接扱う。
オープンソースのエージェントも広がっている。OpenClawはGitHubの星が37万件に達し、史上最多のプロジェクトになった。Nous ResearchのHermesは16万件だ。これらはメッセンジャー、メール、ブラウザー、ファイルにアクセスする。
事故も起きている。ことし2月、Meta超知能研究所のアラインメント責任者サマー・ユーはOpenClawに受信箱の整理を任せたところ、1週間以上前のメールを失った。「止めて」と命じても、エージェントは従わなかった。
危険は2種類ある。AIが自ら誤る場合と、受信したメールに隠した指示文で攻撃者がAIを操るプロンプトインジェクションだ。後者を100％防ぐ方法は、まだない。
解決策は5つある。承認機能を維持し、具体的に指示し、権限を最小限にし、認証コードをメールから分離し、見知らぬメールは直接確認することだ。核心は「AIが操られても情報が外に出ないように」設計することにある。
AIにメールアカウントを丸ごと任せる時代が来た。クリックひとつでAIがメールを読み、書き、送る。便利さと同じだけ、不安もついてきた。
アンソロピックは先月18日、ClaudeがGmailでメールを送信し、返信し、転送できるようにした。基本設定はその都度ユーザーの承認を求める方式だが、必要なら承認なしで即送信するよう変更できる。
OpenAIが3日に公開したGPT-6 Astraは、さらに一歩進んだ。スプレッドシートを埋め、書式を整え、ウェブページを巡回する。OpenAI共同創業者のグレッグ・ブロックマンは「AGI時代の最初のモデルと言っても過言ではない」と述べた。
◆ エージェントは、どこまで来たのか
エージェントは、質問に答えるチャットボットとは違う。目標を与えると、自らツールを選び、複数の手順を実行する。メール整理、日程調整、資料調査、ファイル管理を人の介入なしに処理する。
オープンソース陣営が特に速い。OpenClawは、PSPDFKitの創業者ピーター・シュタインベルガーが作った個人向けエージェントだ。Slack、Discord、iMessage、WhatsAppのようなメッセンジャーに接続して使え、ファイルの読み書き、スクリプト実行、ブラウザー操作ができる。公開から72時間でGitHubの星6万件を獲得し、ことし5月時点で37万件を超えて史上最多プロジェクトとなった。
NVIDIAは、OpenClawが60日でReactを抜いたと述べた。Nous Researchが作ったHermesは16万件だ。Hermesは、作業経験から自ら技術を作り、磨き上げる学習機能を前面に出している。
問題は、これらが求める権限にある。メール、メッセンジャー、ファイル、ブラウザーのすべてにアクセスしてこそ、本来の機能を発揮する。NVIDIAは、こうしたエージェントについて「人が判断すべきものだけ上げ、残りは自動で処理する」と説明した。自動処理の範囲が広いほど、誤ったときの被害も大きくなる。
◆ Metaの安全責任者もやられた
ことし2月、Meta超知能研究所のアラインメント責任者サマー・ユーは、OpenClawに受信箱の整理を任せた。偽の受信箱で試験を終えたあと、実際のアカウントにつないだところだった。OpenClawは1週間以上前のメールを削除し始めた。
「やめて」「停止して」「STOP OPENCLAW」と命じても、聞かなかった。彼は「スマホでは止められず、爆弾を解除するようにMac miniへ走らなければならなかった」と記した。AI安全を研究する当事者に起きた事故だった。その後、彼は「初歩的なミス」だったと認めた。
この事故は、攻撃者がいなくても起きた。AIが指示を誤って理解したり、存在しない事実を作って送ったりする誤りは、いつでも起こり得る。承認設定を切っておけば、ユーザーが内容を見る前に相手が先に読んでしまう。
攻撃者がいれば、さらに危険だ。プロンプトインジェクションである。メール本文に白文字や文字サイズ0で指示文を隠して送る。人間には見えなくても、メールを読むAIには命令として受け取られる。
受信箱の監視や、別アカウントの認証コードを盗み出す用途に使われる。この用語を作った英国の開発者サイモン・ウィリソンは、「これを100％確実に防ぐ方法は、まだ分からない」と明らかにした。アンソロピックも、メール送信権限を最初に有効にする際、この危険を警告している。
◆ では、どう解決するのか
ウィリソンは、AIエージェントが危険になる条件を3つ挙げた。▲個人データへのアクセス ▲信頼できないコンテンツへの露出 ▲外部へ情報を送る能力だ。メールアカウントを接続したAIは、この3つを一度に持つ。彼は「3つが結びつく状況自体を避けるのが、唯一安全な道だ」と述べた。この原則とEngadget、NVIDIAの助言をもとに整理した対策は次の通りだ。
承認機能をオフにしない。アンソロピックの基本設定である「送信前確認」をそのまま維持する。AIが操られても、ユーザーが送信ボタンを押さなければ情報は外に出ない。承認は、プロンプトインジェクションに対する最後の防衛線だ。
指示は具体的にする。「欠勤理由を人事部に送って」といった曖昧な依頼は誤解を招く。誰に、どんな内容を、どのトーンで送るのかを書き込む。
権限は最小限にする。まずは読み取り権限だけをつなぎ、要約と分類から試す。送信権限は必要になってから有効にする。ウィリソンが挙げた3条件のうち、外部送信能力を切るのが最も簡単だ。
オープンソースのエージェントなら、NVIDIAが助言するように、権限どおりサンドボックス内で範囲を定めて動かす。サマー・ユーのように、まず偽の受信箱で試すのも方法だ。ただし、彼は試験に合格したあとで実アカウントの事故を起こした。テスト合格が安全を保証するわけではない。
認証コードはメールから分離する。銀行、ポータル、業務アカウントの2段階認証は、メールではなく認証アプリやセキュリティキーに変える。AIがメールを読んでも、認証コードがそこになければアカウント乗っ取りにはつながらない。
見知らぬ送信者のメールはAIに任せない。知らない相手からのメール、添付ファイル付きのメールは、AIが処理する前に自分で確認する。プロンプトインジェクションは、メール1通あれば十分だ。
AIがすべてをやってくれる時代は来る。だが、その時代の安全はAIではなく、ユーザーが決めた権限の範囲から生まれる。承認ボタンひとつ、権限設定ひとつが、その境界線だ。