3 分で読む
「AI エージェントは、答えるだけでなく手を動かす」——そう説明されます。では、その手はどこまで届くのでしょうか。
起動フォルダ配下にしか書き込めない ／ CLI の ~/.claude は読み込まない ／ 既定は作業場所の読み書きまでに限られる ／ 複雑な判断で苦戦し偏りも引き継ぐと明記 ／ US 限定にすると SSO（一つの ID で複数のサービスに入る仕組み）・MCP 等は対象外 ／ 目安は人が 3 時間以内で終わる作業まで ／ Web 版・モバイル版はプレビュー段階 ／ 透かしが入り、現時点では除去できない ／ 互いに信用できない複数人での共有は想定外 ／ 無料/Go/Plus は各機能に上限あり ／ 法人版の書き出しは Primary Owner のみ ／ 全モデルの学習不使用は保証しないと明記 ／ 無料は Pro 検索 5 回/日・分析 3 回/日 ／ Gemini Agent は米国・英語のみ ／ 地域単位で使えなくすることがある ／ 13 歳以上。13〜17 歳は保護者の同意 ／ 各人が閲覧権を持つデータしか参照しない ／ 複製は未対応。削除したメモは戻せない ／ 18 歳以上。競合製品開発と解析を禁止 ／ 個人向けは非商用の個人利用に限られる ／ Azure 版は日本のテナントに限定。
これは、AI エージェント 13 製品と ChatAI 13 製品の「できないこと」の欄を、編集部の調査記録からそのまま書き写したものです（21 行。残る 5 件は欄そのものがありません）。
この 21 行のうち、「手がどこまで届くか」を書いていたのは 4 行でした。****
しかも 4 行目は、手を持たないはずの ChatAI 側にありました（内訳は［調査の詳細］にあります）。
総論では、AI エージェントを「操作台の前に座る人型ロボット」に例えました。その絵をもう一度置きます。ここでは、このロボットの腕がどこまで伸びるのかを、26 製品の公式ページの文言だけで測る試みです。
まとめ——手の有無が決めるのは「暴走するか」ではなく「取り返しがつくか」
冒頭の問いに戻ります。「手を持っている」とはどういうことか。
26 件を読んだ限り、それは「実行できる」ことではありませんでした。手を持たない ChatAI も、止まらずに誤ったまま進みます。（「手を持たない側も、止まらずに進みます」）。違ったのは、止める場所・戻す手順・囲いが、製品の側に用意されているかどうかでした。手を持つ側だけが、取り消しの話をしていました。
そして、その取り消しには必ず範囲が書いてあります。シェルコマンドが書き換えたファイルは戻らない。会話は戻らない。手元のファイルは複製されない。「戻せます」を額面で受け取らないでください。
社内で 1 つだけ確かめるなら、製品名ではなく 「うちが使う設定で、どこまで届き、どこから先は戻せませんか」 を聞いてください。この 26 件を読んだ限り、答えは製品ではなく、設定と、相手の機械の側に書いてあります。 どのモデルが賢いかは、この問いには何も答えてくれません。
26 製品それぞれの欄は、出典 URL と調査日つきで IT連携マップ に 1 件ずつ公開しています。入力が学習に使われるか、料金が何を数えているか、RPA との使い分けは、それぞれ別の記事の主題です。ここでの材料だけで「安心」「危険」と書くことはしません。
調査記録で確かめる
手の在る側の欄を並べます。失敗したときどうなるかと、記録が残るかの 2 列です。
比較項目:
| システム | 業務安定性 | |
|---|---|---|
| 壊れ方（止まるか・間違えて進むか） | 実行ログの保持 | |
| Agentforce（エージェントフォース） | 有害と判定された生成物は表示前に遮る ベンダー公表 自分の手に負えない用件に当たったときは、人の担当者に引き継ぐと公式に説明されている。 これは会話の相手をする場面についての説明で、処理そのものが失敗したときに止まるのか続けるのかを述べたものではない。後者を説明した記述は、開いた範囲では見つからなかった。 生成された内容は表示前に検査され、有害と判定されたものは利用者に見せる前に自動で遮られる、と公式に説明されている。 検査の対象として挙がっているのは、憎悪表現・偏り・嫌がらせなど方針に反する兆候。答えの内容が業務上正しいかどうかを判定する仕組みではない。 | ― 編集部まとめ出典()
Einstein 基盤のセキュリティ文書 確認したもの: 信頼できる AI のページには、Trust Layer の機能のひとつとして監査証跡が挙がっている。また Einstein 基盤のセキュリティ文書（PDF）には、提供に使う各システムがそれぞれの記録の仕組みか集中管理の仕組みへ情報を記録すること、利用者のアクセス記録に日付・時刻・部分的な URL を残すことが書かれている。しかし、いずれも自社の安全管理のための記録についての説明で、利用者がエージェントの実行内容をどれだけの期間さかのぼって見られるのかを示す記述は無い。料金ページの比較表にも保持期間の行は無い。 調査日 |
| Antigravity（Google） | エージェントの行為の責任は利用者 ベンダー公表 計画を立ててから実行する使い方では、変更を加える前に必ず止まって承認を求めるか、一切止まらずに実行するかを、設定で選ぶ。既定として勧められているのは、止まって承認を求める側。 これは「人が見る前に変更が入るかどうか」の設定であって、実行が失敗したときに処理を止めるのか続けるのかを説明したものではない。後者を述べた記述は、開いた範囲では見つからなかった。なお、隔離を有効にしている場合は、コマンドを実行する直前に「隔離を外して実行する」という逃げ道が選択肢として出る。 規約は、エージェントが行った行為の責任は利用者にあると定め、本番環境で使う場合は、起こしうる被害を避けるために判断と監督を行うことを利用者の責任として挙げている。 | 会話の履歴は手元の作業フォルダごとに残り、いつでも選び直して再開できる。 どれだけの期間残るのかを示す記述は、開いた範囲では見つからなかった。規約には、利用者のデータ・操作の記録・関連する情報を記録して保存すること、削除を希望する場合は所定のメール宛先に依頼できることが書かれている。 |
| Claude Code | 照合できない命令は承認を求める側に倒れる ベンダー公表 隔離の壁に阻まれてコマンドが失敗したとき、失敗の中身が出力に足されてそのまま渡り、別のやり方（壁の外で実行し直す）を試すことがある。作業を止める側には倒れない。 止めたい場合は、その逃げ道を設定で閉じられる。閉じると、すべてのコマンドは壁の中で動くか、あらかじめ例外に挙げられているかのどちらかになる。壁の外での実行し直しは通常の承認の流れに戻るため、手動の設定では確認を求められる。 照合できなかったコマンドは、手動の設定では承認を求める側に倒れると明記されている。 原文の見出しは「Fail-closed matching」。ただしこれは権限の照合についての記述で、作業そのものが失敗したときの扱いではない。 | 作業の記録は手元のパソコンに 30 日間そのまま残り、期間は設定で変えられる。 Anthropic 側に残る期間は契約で分かれ、商用（Team／Enterprise／API）は 30 日、個人契約はモデルの改善にデータを使うことを許可していれば 5 年、許可していなければ 30 日。ブラウザで動かす形態では、その中の操作がすべて記録されると別ページに書かれている。 |
| Claude Cowork | 道具の実行が失敗すると、その結果に失敗した印と失敗の内容が残る。Claude への要求が失敗したときはやり直しが行われ、何回目かが記録される。 失敗したあとに、その先の作業を止めるのか続けるのかを説明した記述は、開いた範囲では見つからなかった。記録の項目としては、成功したかどうか・失敗の内容・試行回数までが公開されている。 | 既定では中身は含まれず、指示文や応答本文、道具のやり取りは設定で明示的に有効にしたときだけ含まれる。 書き出し先は利用する側が用意するため、どれだけ残すかは利用する側が決める。Cowork 自身がこれらの記録をどれだけの期間持つのかを示す記述は、開いた範囲では見つからなかった。 |
| Cline（クライン） | ひとつずつ承認する設定なら操作のたびに止まり、自動承認にすると止まらずに進む。公式ドキュメントは、自動承認では気づく前に多くの変更が加わりうると書き、控えからの巻き戻しを前提にするよう案内している。 すべてを自動で承認する設定については、起こりうることとして「警告なしに大事なファイルを消す」「システム設定を変えるコマンドを実行する」「設定ファイルを上書きする」「パッケージを入れたり消したりする」「版管理に変更を確定して送信する」が公式に列挙されている。安全でない扱いにするコマンドは固定の一覧ではなく、モデルがコマンドごとに判定すると明記され、「これは例であって保証ではない」と書かれている。 | ― |
| Codex（OpenAI） | 確認役を自動の別の判定に切り替えている場合は、許可されればそのまま進み、拒否されたときは「もっと安全な別の道を探す」か「止めて人に聞く」よう指示が返る。 壁の中で許される範囲の操作は、確認も判定も通らずそのまま進む。隔離した状態では動かせないコマンドは、通常の確認の流れに戻る。 | 企業向けの記録の基盤に残る分は 30 日。会話は組織の設定に従い、削除した会話は原則 30 日以内に完全に消される予定に入る。 実行時の状態や作業の控えは会話とは別の扱いで、会話を消しても関連するものがすべて即座に消えるわけではないと明記されている。どの操作が記録に出るかは事象と発生した場所によるとされ、シェルの実行・ブラウザ操作・ファイル操作・承認のすべてが記録に出ると考えてはいけないと書かれている。 |
| CrewAI（クルーAI） | もっともらしいが事実と違う答えが出ることを公式に認めており、企業向けの機能として、出来上がりを参照資料と突き合わせて 0〜10 点で採点する検査役が用意されている。検査に落ちた仕事は、完了扱いにならずに失敗として扱われる。 この検査役は仕事ごとに付けて初めて働く。付けていない仕事の出来上がりが突き合わされることはない。点数の合格ラインは自分で決められ、公式には重要な内容なら 8〜10、一般的な内容なら 6〜7 が目安として示されている。1 回の検査で 1〜3 秒ほど余計にかかるとも書かれている。 | 使ったモデル、担当ごとの経過時間、道具の使用と出力、消費量と概算費用、仕事ごとの状態（完了・実行中・失敗）が残る。 どれだけの期間残るかを示す記述は、開いた範囲では見つからなかった。書き出し先として OpenTelemetry と外部の監視サービスへの連携が用意されており、そちらに送れば保持は送り先の決まりに従う。 |
| Cursor | 規約は、生成される提案に誤りや誤解を招く情報が含まれうること、その評価とそれに伴うリスクは利用者が負うことを明記しています。さらに、人の確認を経ずにコードの提案を自動実行する機能があり、それを有効にした場合はシステム停止・不具合・データ損失などのリスクをすべて利用者が引き受ける、と定めています。 自動実行が有効なときは画面にその旨が明示されると規約に書かれています。誤った方向へ進んだ場合に備えて、作業中に自動で作られる復元ポイントから戻す運用が案内されており、失敗したら処理を止めるという説明は見当たりません。 | ― 編集部まとめ出典()
公式ドキュメント コンプライアンスと監視 確認したもの: エンタープライズ向けの監査記録のページ、データ利用の説明ページ、セキュリティページ、料金ページを開いた。監査記録は Enterprise で利用でき、SIEM・Webhook・S3 へ転送して長期保管できると案内されているが、Cursor 側で何日保つのかを示す数字は無い。エージェントの応答や生成コードの中身は記録しないとは明記されている。 調査日 |
| Devin | 規約は、出力が不正確だったり用途に合わなかったりすることがあり、使う前に人の確認が要るかどうかを判断する責任は利用者にあると定めています。コードの点検結果についても、問題をすべて拾えるとは保証せず、利用者自身の確認・テスト・監査の代わりにはならないと明記しています。 レビュー機能の指摘も、確信度の高い「不具合」と、利用者が自分で調べて実際に問題かどうか確かめる「要調査」に分けて示されます。設定を入れれば、指摘や CI の失敗に人手を介さず自動で対応し続けます。 | 日数の記載なし。取引が続く間は保持 ベンダー公表 保持期間を日数で示した記載は無く、取引関係が続くあいだ保持する、と説明されています。 やり取りの記録や利用状況のデータは必要な期間だけ保持し、期間は会社側が決めるとも書かれています。作業の経過そのものは、画面上で作業ごとの記録として後から追えます。 |
| GitHub Copilot | 公式の「限界」の章が、存在しない問題を指摘してしまうこと、一見正しく見えても意味的・文法的に誤ったコードを出しうること、生成したコードに脆弱性が含まれうることを明記し、いずれも人が確認して試すよう求めています。止まるのではなく、誤ったまま先へ進みうる前提で書かれています。 端末側では危険なコマンドの実行前に許可を求める仕組みがあり、実行されたコマンドの最終的な責任は利用者にあると明記されています。 | それより長く残したい場合は、外部の監視基盤へ流して保管するよう案内されています。 入力と提案そのものの扱いは別で、法人向けの既定では保持されず、個人向けでは 28 日間保持されると案内されています。利用状況のデータは 2 年間保存されます。 |
| Hermes Agent（ヘルメス・エージェント） | 編集部がまだ確認していません | |
| Kiro（AWS） | まかせきりで動かす設定のときは、途中で判断がつかなくなると勝手に進めず「要対応」の状態に移り、利用者の入力を待ちます。この設定は既定では切ってあり、切っている間は一手ずつ一緒に進める形です。 作業は隔離された環境で行われ、成果はプルリクエストとして出てくるため、確認してから取り込む前提になっています。誤った内容のまま先へ進んだ場合にどう扱うかを述べた記述は、開いた範囲には見当たりません。 | 管理者が有効にすると、利用者の入力と応答が記録され、保存先は自社の AWS 環境内の指定した置き場になります。提供側が何日保つという定めではなく、保持期間は自社側の設定で決まります。 無料枠の利用者については、規約違反の検知のために入力を最長 60 日間保存することがあると、サービス個別条項に書かれています。記録機能そのものに追加料金は無く、保存先の費用だけがかかります。 |
| Manus（マヌス） | 公式ヘルプは、自信ありげに見えても不正確・不完全な内容を出すことがあると認めたうえで、重要な判断に関わる話題では注意書きを出すものの、手伝いを断ったり会話を止めたりはしないと明記しています。つまり誤ったまま先へ進みうる形で、確かめるのは利用者の側とされています。 一方、混雑でシステム側が作業を打ち切ったときは止まり、続けるか、やめてクレジットの払い戻しを受けるかを利用者が選べます。 | ― 編集部まとめ出典()
公式ヘルプ 作業環境の不具合 確認したもの: ヘルプセンターの作業環境・不具合・データの退避と復元の各カテゴリと、稼働状況ページを開いたが、実行の記録を何日保つかを示す数字は無い。代わりに書かれているのは作業用の仮想環境の作り直しの方針で、無料の利用者は 7 日、有料の利用者は 21 日使わないと自動で作り直されるとされている（これは環境の寿命であって記録の保持期間ではない）。 調査日 |
| OpenClaw（オープンクロー） | 公式ドキュメントは、この種の失敗の大半は珍しい攻撃ではなく「誰かが話しかけて、その通りに実行してしまった」ものだと述べ、モデルは操られうる前提で被害範囲を小さく設計するよう求めています。一方で、隔離環境を明示的に指定した実行は、その環境が用意されていなければ動かずに落ちる（安全側で止まる）と明記されています。 実行の許可を毎回求めるかどうかは設定で、個人用の構成では既定で許可を求めない側に倒してあり、それは意図した使い勝手であって欠陥ではないと書かれています。厳しくするかどうかは利用者が決める形です。 | 動作の記録は利用者の端末のファイルとして日付ごとに書き出され、会話の記録も端末上に残ります。どちらも提供元が消すのではなく、長く残す必要が無ければ利用者が自分で古いものを消すよう案内されています。 記録の中の秘密情報は伏せられ、伏せる対象は自分で足せます。診断のために共有するときは、記録そのものではなく秘密情報を伏せた状態表示を使うよう勧められています。 |
◎ 条件なしで当てはまる ○ 条件つき・一部 △ 限定・要申請・無いと明記 × 当てはまらないと明記 ？ 編集部がまだ確認していません ― 提供元が公開していない（編集部が調べた） — 記号は編集部の札から機械で付けています。物差しは項目ごとに違い、列の見出しがその項目の意味です。札の意味と根拠は各セルの要約を押すと出ます。
材料の調査日（最新）: 2026-09-05
ここから先は調査の詳細です（約 21 分）。上のカードだけで決められます。調べた 1 件ずつの記録は IT連携マップ に、出典 URL と調査日つきで公開しています。
調査の詳細
このページの答えは、以下の調べで出しました。対象・確認時期・出典を並べます。
ここでは、業務自動化 66 製品を 6 役に分けた総論「AI・ChatGPT・RPA・iPaaS・n8n…業務自動化の言葉が多すぎる」のうち、① ChatAI と ② AI エージェントの 26 製品だけを、「手」という一点から並べ直したものです。すべて 2026年8月26日 時点の公開情報で、実装はしていません。
手の話をしている欄は、どれか
まず、何を根拠にできるのかから始めます。調査記録の 26 件は同じ様式で書かれていて、欄は 10 個あります。欄によって、埋まっている件数がまるで違います。
| 調査記録の欄 | ここでの読み替え | エージェント 13 件のうち値あり | ChatAI 13 件のうち値あり |
|---|---|---|---|
| できること | 何ができると書いてあるか | 13 | 13 |
| 使う場所 | どこで使うか（手の在りか） | 13 | 13 |
| 組み込む形 | 業務に組み込む形 | 13 | 13 |
| 失敗の現れ方 | 失敗はどう見えるか | 13 | 12 |
| 失敗後の扱い | 失敗のあと戻せるか | 13 | 9 |
| 実行記録 | 手の跡は残るか | 10 | 11 |
| 隔離・検証環境 | 手を囲えるか | 7 | 3 |
| API 公開 | 外から呼べるか | 9 | 10 |
| できないこと | 何ができないと書いてあるか | 9 | 12 |
| ログイン・認証 | 誰として入るか | 6 | 6 |
いちばん下の行に注目してください。 「誰として入るか」は、26 件中 14 件で欄そのものがありません。半分以上が空白です。だからここでは、認証やログイン管理を軸にした比較表を作りません。 作れば、埋まっている 12 件だけで全体を語ることになります。
調査記録の決まりでは、欄が無いことは「制限が無い」を意味しません。 見つからなければ項目ごと省き、「制限なし」とは書かない、という様式です。ただし後述のとおり、「探して無かった」のか「そもそも見ていない」のかは、欄が無い場合には区別できません。
手はどこに置かれているか——入口が違う
手の在りかは、いちばん埋まっている欄（26 件すべて値あり）に出ていました。「どこで使うか」です。
| 入口として書かれている語 | エージェント 13 件 | ChatAI 13 件 |
|---|---|---|
| ブラウザ・Web | 5 | 11 |
| エディタ・開発ソフトの拡張 | 4 | 0 |
| コマンドライン | 5 | 1（Ollama のみ） |
| デスクトップ | 2 | 3 |
| モバイル | 5 | 6 |
ChatAI は 13 件中 11 件がブラウザで、開発ソフトの中に入るものは 1 件もありません。 エージェント側はエディタが 4 件、コマンドラインが 5 件です。
これは「開発者向けだから」という話ではなく、手が届く先が置いてある場所に、道具のほうが出向いている、という形です。ファイルを触るなら手元の機械に、コードを触るなら編集画面の中に、常駐して待つならコマンドラインに——入口は、触りたい相手が決めています。
もう 1 つ、この項目には差が出ました。「どこで使うか」を訊かれて、場所ではなく前提条件を答えた製品です。
| 製品 | 「使う場所」の欄に書かれていたこと |
|---|---|
| Agentforce | 「Salesforce の契約が前提」 |
| CrewAI | 「自社運用は Python 3.10〜3.13 が要る」 |
| OpenClaw | 「コマンドラインからの導入・運用が前提です」 |
エージェント側 3 件、ChatAI 側 0 件です。 「どこで使えますか」に「その前に契約が要ります」「その前に実行環境が要ります」と返ってくるのは、手を持つ側だけでした。
ここでの調査範囲について
- 実装していません。 公開資料と、編集部の調査記録を読んだだけです。動かした結果は書いていません。
- 対象は、編集部が一次調査を終えて公開している AI エージェント 13 製品・ChatAI 13 製品です。世の中の AI 製品全体ではありません。「26 件中 4 件」を「AI の○%」と読み替えることはできません。
- 確認時期は 2026 年 8 月 26 日です。1 日ぶんの記録で、規約も価格も月単位で変わります。
- 引用したのは各社が自分の公開ページに書いている記載です。「〜と記載されている」と「実際にそうなっている」は別です。第三者による観測記録は 1 件も使っていません。
- 「公開情報を確認した範囲では見つからなかった」と「提供していない」は区別しています。 欄が無いものは「制限が無い」ではありません。
- モデルの賢さ・回答精度・将来性は評価していません。 ベンチマークも順位も付けていません。
- どれがおすすめか、は書いていません。 並べるところまでがここでの仕事です。
「何ができるか」の欄には、ベンダーの原文が一行もありません
ここでは「できること」「できないこと」から手の境界を引こうとしています。ところが、この 2 欄のうち片方には、ベンダーの原文引用が 1 件も付いていません。
| 調査記録の欄 | エージェント 13 件のうち原文引用あり | ChatAI 13 件のうち原文引用あり |
|---|---|---|
| 失敗後の扱い | 13 | 9 |
| 失敗の現れ方 | 12 | 11 |
| 実行記録 | 8 | 9 |
| 隔離・検証環境 | 7 | 3 |
| ログイン・認証 | 6 | 2 |
| できること | 0 | 0 |
| 使う場所 | 0 | 0 |
| 組み込む形 | 0 | 0 |
| API 公開 | 0 | 0 |
「エージェントは実行する」という、いちばん見出しになりそうな主張を、原文引用で支えることはできません。 下の 4 欄はすべて調査班の日本語要約です。引用で戦えるのは、失敗後の扱い・失敗の現れ方・隔離の 3 欄だけ——だからここでは、後半に行くほど原文が増えます。
もう 2 つ、先に断っておきます。
- 第三者の観測記録は 1 件もありません。 34 件・延べ 1,247 件の根拠のうち、内訳はベンダーの記述 1,084・編集部の測定 129・編集部の判断 34 で、第三者による報告は 0 件です。ですからここには「実際にどれくらい失敗するのか」は一行も書けません。
- 取得日が個別に付いているのは 3%（395 件中 12 件）だけです。ですから日付は 2026-08-26 で統一します。規約の版まで残っているのは 7 件で、そのうち 1 件は「手を持たせると、責任はどこへ行くか」に出てきます。
答え合わせ——「できないこと」の欄で、手の届く範囲を書いていたのは 4 件
冒頭の 21 行を分けます。分類は編集部が原文を読んで付けたもので、ベンダーの言葉ではありません。
| 何の話をしているか | エージェント 13 件 | ChatAI 13 件 |
|---|---|---|
| 手がどこまで届くか | Claude Code・Claude Cowork・Codex（3） | Microsoft 365 Copilot（1） |
| 引き受けられる仕事の大きさ・判断の質 | Devin・CrewAI（2） | — |
| 安全の境界・成果物・提供の段階 | OpenClaw・Manus・Kiro（3） | — |
| 誰が・どのプランで・どの地域で使えるか | Cursor（1） | ChatGPT・Claude・Felo・Gemini・Genspark・Grok・Ollama・Perplexity・tsuzumi（9） |
| 保証しないこと・まだ無い機能 | — | exaBase 生成AI・NotebookLM（2） |
| 欄そのものが無い | Agentforce・Antigravity・Cline・GitHub Copilot（4） | DeepSeek（1） |
同じ「できないこと」という欄に、両者はまったく違う種類のことを書いていました。
ChatAI 側の 12 件のうち 9 件は「誰が使えるか」の話です。年齢（Grok「13 歳以上」、Ollama「18 歳以上」）、地域（Gemini「米国・英語のみ」、tsuzumi「日本のテナントに限定」）、商用に使ってよいか（Perplexity「個人向けは非商用の個人利用に限られる」）。これは能力の限界ではなく、契約の条件です。
エージェント側で「手がどこまで届くか」を書いていたのは 3 件でした。
- Claude Code「起動フォルダ配下にしか書き込めない」
- Claude Cowork「CLI の ~/.claude は読み込まない」
- Codex「既定は作業場所の読み書きまでに限られる」
そして 4 件目が、ChatAI 側の Microsoft 365 Copilot「各人が閲覧権を持つデータしか参照しない」です。「手は出さない」はずの側に、届く範囲の宣言がありました。 読むだけであっても、どこまで読めるかは書く価値がある——「手」の境界は、書き込みの有無だけでは引けません。
なお 欄そのものが無い 5 件（Agentforce・Antigravity・Cline・GitHub Copilot・DeepSeek）は、「制限が無い」ではありません。 見つからなければ項目ごと省く、という様式の結果です。
手が届く先を決めているのは、機械の側です
総論では、ロボットが座る操作台を MCP（Model Context Protocol・公式規格）に例えました。操作台の先は配線（API）で各機械につながっていて、操作台が置かれていない機械には、ロボットは手を伸ばせません。
この「届く範囲」を、各社は自分の言葉でこう書いています。
| 製品 | 届く範囲として公式が書いていること | 出典 |
|---|---|---|
| Claude Code | 起動フォルダ配下にしか書き込めない。既定では作業フォルダとその回だけの一時フォルダのみ | 隔離実行 |
| Codex | 読み取りだけ・作業場所への書き込みまで・制限なし の 3 段階。既定は作業場所まで | 隔離実行 |
| GitHub Copilot | クラウド側のエージェントは、プルリクエストを作っている当のリポジトリにしか触れず、他のリポジトリには入れないと明記 | 責任ある利用 |
| Kiro | 作業ごとに隔離環境が立ち上がり、外に出られる宛先は設定で絞れる | 隔離環境 |
| Devin | 隔離した試験環境を立ち上げ、指定のサーバーに接続して、使える道具を自分で探しにいくと明記 | 外部ツール接続 |
| Microsoft 365 Copilot | 各人が閲覧権を持つデータしか参照しない | プライバシー文書 |
ここに書かれているのは、どれも「相手の側の事情」です。 フォルダの位置、リポジトリの枝、閲覧権限、接続できた道具の一覧。手の長さを決めているのは AI の賢さではなく、機械の側にどんな受け口が置かれているかでした。
つまり、御社が最初に確かめるのは「どの AI が優れているか」ではありません。**「うちの業務システムに、AI から触れる受け口があるか」**です。受け口が無ければ、どの製品を選んでも腕は届きません。
手を止める場所があるか——「承認を求めて止まる」は 5 件、すべて片側
手があるなら、止め方が要ります。「失敗の現れ方」の欄で「承認を求めて止まる」と書いていたのは、エージェント側 5 件・ChatAI 側 0 件でした。
| 製品 | 既定 | 公式の記述 |
|---|---|---|
| Kiro | まかせきりは既定で切 | まかせきりの動作は既定で切ってあると明記（まかせきりの動かし方） |
| Codex | 壁を越える操作は確認 | 承認されれば実行を続け、拒否されれば明らかに安全な道を探すか、止まって利用者に尋ねる側へ倒すと明記（確認の自動判定） |
| Antigravity | 止まる側が推奨 | 提案した変更に進む前に必ず止まり、明示の承認を求めると明記（成果物のレビュー方針） |
| Cline | 設定しだい | 控えが無いまま自動承認にすると、問題に気づく前に多くの変更が積み上がるので不安が残る、と説明（控えと自動承認） |
| Claude Code | 照合できない命令は確認側へ | 手動の設定では、照合できなかったコマンドは承認を求める側に倒れると明記（安全対策） |
同じ Antigravity の同じページから、正反対の 2 文が引用されています。 さきほどの一文の隣に止まって人の点検を求めることはせず、計画をそのまま実行に移すという一文があります。これは矛盾ではなく、設定の 2 択です。 つまり 「この製品は止まりますか」という問いには、答えがありません。「どちらに設定していますか」しか答えようがない。
Cline は、すべて自動で承認する設定について、起こりうることを公式に列挙しています——警告なしに大事なファイルを消す・システム設定を変えるコマンドを実行する・設定ファイルを上書きする・パッケージを入れたり消したりする・版管理に変更を確定して送信する。 そのうえで、危険と判定するコマンドは固定の一覧ではなくモデルがその都度判定するとし、**「これは例であって保証ではない」**と書いています。
GitHub Copilot も、危険になりうるコマンドを実行する前に許可を求めると書いていますが、これは別の欄（失敗後の扱い）の記載なので、上の 5 件には数えていません。数え方でこの程度は動きます。だから件数は分母つきで出し、「〜のほうが多い」とは書きません。
手を戻せるか——「やり直し」を語るのは、片側だけでした
「やり直し・巻き戻し・復元ポイントがある」と書いていたのは、エージェント側 4 件・ChatAI 側 0 件。 「中断した作業を再開できる」は、エージェント側 3 件・ChatAI 側 0 件です。
ここがいちばん鋭い対比になりました。3 社とも「元に戻せる」と謳い、3 社とも戻らない範囲が違い、3 社ともそれを自分で書いています。
| 製品 | 戻せるもの | 戻らないもの（各社の記述） |
|---|---|---|
| Claude Code | コード・会話・両方を選んで戻せる | シェルコマンドが書き換えたファイル（ほかに、サブエージェントの編集・外部からの変更・リンクで結ばれたファイル） |
| Cursor | ファイル | やり取りの履歴は残る（会話は戻らない） |
| Antigravity | 会話の枝 | 手元のファイルは複製されない |
原文はこうです。Claude Code は控えが bash コマンドで書き換えたファイルを追跡しないと明記します（やり直しと控え）。Cursor は、控えが保存するのはセッション中のコードの側の断面だと書き——戻るのは codebase であって会話ではない、と範囲を限っています（エージェント概要）。Antigravity は、試行が失敗したら /resume で元の安定した会話の枝に戻すと書き——restore されるのは conversation branch です（会話の管理）。
「戻せます」を額面で受け取ると、3 通りの取りこぼしが起きます。 控えの本数と期間まで書いてあるのは Claude Code で、1 セッションにつき直近 100 件・セッションごと 30 日と明記されています。
一方、ChatAI 側の 6 件は、「そういう仕組みは無い」と自分で書いていました。
| 製品 | 調査記録の記載 | 出典 |
|---|---|---|
| NotebookLM | 再実行や途中からの再開についての記述は無い。削除したメモを元に戻す方法は現時点では無いとも明記 | 公式ヘルプ |
| Microsoft 365 Copilot | 自動再実行や、途中まで進んだ処理の再開についての記述は、開いた範囲には無い | サービス正常性 |
| Ollama | 再実行や途中からの再開は、呼び出す側が組む前提 | Errors |
| Grok | 再実行の自動化や、途中まで進んだ処理を再開する仕組みについての説明は、このページには無かった | Debugging Errors |
| ChatGPT | 会話画面で失敗したときの再実行や途中再開の扱いを説明したページは、機械で読み取れる範囲では見つけられなかった | エラーの一覧 |
| DeepSeek | 会話画面で失敗したときの再実行や途中再開の扱いを説明したページは、開いた範囲では見つけられなかった | エラーの一覧 |
これは沈黙ではなく、明示的な「無い」です。 そして——ここからは編集部の読みですが——戻す仕組みが要らないのは、戻すべきものを書いていないからだと考えられます。 調査記録にその理由は書かれていません。手を持たない道具は、取り消すものを作りません。
手を囲えるか——囲いはあるが、既定値が製品で逆になる
ここで 1 つ、項目そのものの注意を挟みます。調査記録のこの項目が尋ねているのは、様式上は**「検証環境の有無」**です。ところが返ってきた答えは、両者で種類が違いました。
- **ChatAI 側は、問いに正面から答えて 10 件が「無い」**でした（本番と分けて試す環境は用意されていない）。
- エージェント側は、同じ欄に「実行を閉じ込める隔離」という別種の答えを返しました（7 件）。
しかも Devin・Kiro・Manus の 3 件は、その食い違いを自分で説明しています——「本番と分けた検証用の契約が別に売られているわけではなく、作業そのものが毎回この隔離環境で走る形です」。
ですから「7 対 0」は、「実行を閉じ込める囲いがあるか」としては正しく、「検証環境があるか」としては誤りです。 後者の読みなら、両側ともほぼゼロです。ここでは前者の意味で使います。
そのうえで、囲いの既定値が製品で逆になっていました。
| 製品 | 既定 | 公式の記述 |
|---|---|---|
| Codex | 既定で有効 | 囲いは、機械への無制限な権限を与えずにエージェントを自律で動かすための境界だと説明（隔離実行） |
| Claude Code | 本体組み込み | 囲いは本体に組み込まれ macOS・Linux・WSL2 で動く。Windows そのままでは使えないと明記（隔離実行） |
| Antigravity | 既定で無効 | 破壊的なシェル操作と、許可のない外部通信を抑えるための端末の囲いを本体に組み込んでいると説明（隔離実行） |
| OpenClaw | 既定で無効 | 囲いは利用者が選んで有効にする方式。切ってあると既定の宛先は本体側になり、明示的に囲いを指定したときだけ閉じる側に倒れると明記（安全性） |
同じ「隔離あり」という言葉が、既定で入っているか・自分で入れるかで意味が逆になります。 Claude Code は Windows をそのまま使う形に非対応とも書いています。
そして囲いは、失敗すると外を試すことがあります。 Claude Code の公式ドキュメントはこう書いています。
Rather than failing the task or requiring you to turn sandboxing off, Claude Code includes an escape hatch: when a command fails because of sandbox restrictions, Claude analyzes the failure and may retry the command with the dangerouslyDisableSandbox parameter.
（隔離実行。この逃げ道は設定で閉じられ、閉じない場合でも壁の外での実行し直しは通常の承認の流れに戻る、とも書かれています。）
囲いの中の話をもう 1 つ。Manus は、接続が長く切れると環境が作り直され、作り直すと、いまはファイルの消失が避けられないと明記しています。同じページに 作り直しても作業の進み具合には影響せず、作業データと履歴はそのまま残る ともあります——進み具合と履歴は残るが、中のファイルは消える（作業環境の不具合）。囲いは手を閉じ込めますが、囲いごと作り直されると成果物も一緒に消えます。
手を持たない側も、止まらずに進みます
ここまで、止める・戻す・囲うの 3 つで、はっきり片側に寄りました。では「暴走」はどうでしょうか。
「止まらずに進む」と書いていたのは、エージェント側 5 件・ChatAI 側 5 件。差がありません。
しかも、いちばん明快に「止まらない」と書いている一次資料は、手を持たない ChatAI 側にありました。
| 製品 | 公式の記述 | 出典 |
|---|---|---|
| Ollama | 途中で失敗したときは、error を持つ要素として ndjson の中に返す。応答は既に始まっているので、状態コードは変わらない | Errors |
| Perplexity | 出力が始まったあとで失敗したときは、流れの中に失敗の報せを混ぜて終える。受け手は、終わりきっていない流れを未完了として扱うこと | 振り分けと信頼性 |
| Grok | 2026 年 5 月 15 日 12:00（太平洋時間）以降、提供を終えた型名への要求は grok-4.3 へ自動で振り替える。型名そのものは通るので、壊れないようにするための書き換えは要らない | モデルの提供終了 |
| Microsoft 365 Copilot | 「生成 AI によって生成される応答は、100% 事実であるという保証はありません。」 | プライバシー文書 |
Ollama の一文が、この節のすべてです。答えの送り出しが始まったあとに失敗すると、成功の見た目のまま、途中で切れた答えが返ります。 Perplexity も同じ形で、最初の一語より前の失敗は「見えないまま」別の実行先に振り替えられると書いています。Grok は、引退したモデルへの呼び出しを新しいモデルへ自動で振り替え、呼び出す側からは入れ替わったことが分かりません。
つまり「エージェントは暴走する／ChatAI は安全」は、このデータでは支持できません。 調査記録の様式にも「種類から書かない——『エージェントだから進む』は我々の推断」と明記されています。
上の図は、総論で使ったものです。ただし図が比べているのは、ライン側（ワークフロー・RPA・iPaaS）とロボット側です。 ここが比べたのはロボット側とモニター側で、そこには差が出ませんでした。 同じ「壊れ方」という言葉でも、何と何を比べているかで結論が変わります。
エージェント側の 5 件も、自分でそう書いています。Manus は誤りうることを認めたうえで この注意書きは知らせるだけのもので、手伝いを断ったり会話を止めたりはしない と明記し（行動する前に確かめる）、GitHub Copilot は 点検には作り話の危険があり、実在しない問題を指摘することがある と書いています（責任ある利用）。
なお、ChatAI 側 5 件のうち Genspark だけは、欄の見出しが**「方針違反は自動で止める」と正反対に読めます。判定は欄の中の文単位**で行われているためです。この 1 件を数え間違えれば 5 対 5 は 4 対 5 になり、印象は逆に振れます。 だから件数は分母つきで出し、「多い・少ない」では書きません。
手の跡は残るのか
手を持たせるなら、あとから何をしたか読めるかが要ります。実行記録の欄はこう割れました。
| 区分 | エージェント 13 件 | ChatAI 13 件 |
|---|---|---|
| 日数・月数が数字で示されている | 5 | 4 |
| 「保持期間の記載なし／非公開」と明記 | 4 | 8 |
| 記録は利用者側・自社環境に残る | 7 | 2 |
| 管理者向け監査記録（上位プラン限定） | 6 | 4 |
ChatAI 側 13 件の記録の残り方は次のとおりです（エージェント側は上の表）。
比較項目:
| システム | 業務安定性 |
|---|---|
| 実行ログの保持 | |
| ChatGPT | 料金プランの比較表では、個人向けの無料版・Go・Plus・Pro のいずれもチャット履歴が無制限と記載されている（合理的な範囲での利用と各種方針への準拠が条件と注記されている）。監査のための記録基盤は、法人向けの最上位プランの項目として挙がっている。日数で示した保持期間は、この表には無い。 |
| Claude | 操作の記録は最上位の法人向け組織だけで使え、書き出すと直近180日ぶんがまとめられる。書き出しを指示した所有者にダウンロード用のリンクがメールで届き、そのリンクは24時間有効。まとめ処理のため、指示してからメールが届くまで時間がかかることがあるとも書かれている。 |
| DeepSeek | サービスを提供するために処理する情報（アカウント情報、入力内容、支払情報）は、アカウントがある限り保持すると書かれている。日数で区切った保持期間は示されていない。会話の履歴は設定から利用者が管理・削除でき、アカウントを削除すると復元はできないとも書かれている。 |
| exaBase 生成AI（エクサウィザーズ） | 操作記録あり。保持日数は非公開 ベンダー公表 主な機能の一つとしてアクセス制御と利用ログの管理を挙げ、接続元や操作の履歴を管理できると説明している。よくある質問のアクセス制御の項目にも、接続元の制限、シングルサインオン、操作の記録が並ぶ。ただし、記録を何日間残すのかは書かれていない。 |
| Felo（フェロー） | 保存義務を負わない。保持期間の記載なし ベンダー公表 事業者向けの利用規約に、送信した内容と返ってきた回答の内容や履歴について、保存する義務を負わないという定めがある。何日間残すかという保持期間の記載も無い。企業向けの紹介ページには、検索履歴や社内資料の情報は利用者が公開を許可した場合にのみ他の利用者と共有されると書かれているが、これは共有範囲の説明で、保存期間の説明ではない。 この定めは事業者向けの Felo Enterprise の規約にあるもの。個人向けの規約は別のページにあり、この採取では中身を確かめていない。 |
| Gemini | 会話の記録は、自動削除までの期間が既定で18か月に設定されており、3か月、36か月、または自動削除しないに変更できる。会話はいつでも自分で削除できる。ただし、人が内容を確認したチャットは、言語・端末の種類・位置情報・フィードバックなどの関連データとともに、利用者が履歴を削除しても消えず、最長で3年間保存される。利用頻度など一部のデータはアカウントを削除するまで保持される。 |
| Genspark（ジェンスパーク） | 履歴は日付ごとに残る。期限の記載なし ベンダー公表 過去の作業は、利用者の画面のマイライブラリの履歴の欄に、新しい順に日付ごとにまとめられて残る。下へたどると古いものが読み込まれる。何日間残るのかという期限は、開いた範囲では書かれていない。 |
| Grok | API のリクエストとレスポンスは既定で 30 日間サーバーに保存され（保存時は暗号化）、不正利用が疑われたときの調査に使われたのち自動で削除される。厳しい取り扱いが必要なチームは Zero Data Retention を有効にでき、その場合は保存されない代わりに、API キーごとの記録の閲覧、状態を保つ応答 API、ファイル、コレクション、バッチ、遅延応答などが使えなくなる。 |
| Microsoft 365 Copilot | 他社 AI との記録は従量課金で 180 日 ベンダー公表 Copilot と AI アプリの利用と管理操作は、監査（標準）の一部として自動的に記録される。組織で監査が有効なら追加の設定は要らない。監査（標準）での保持は 180 日で、監査（プレミアム）なら保持の方針を作って最大 1 年、追加ライセンスがあれば最大 10 年まで延ばせる。Microsoft Entra ID・Exchange・OneDrive・SharePoint の記録は既定で 1 年。 2023 年 10 月 17 日より前に作られた監査（標準）の記録は 90 日保持。Office 365 マネージメント アクティビティ API を使えば、既定の 180 日より長く自組織側で持つこともできる。 Microsoft 製以外の AI アプリとのやり取りの記録は従量課金の扱いで、有効にすると 180 日保持される。Microsoft 製のアプリ（Copilot を含む）は監査（標準）に含まれ、従量課金の対象外。 ベンダー公表公式ドキュメント「Micro…()ほか 1 件
採取元: 公式ドキュメント「Microsoft Purview 監査ソリューション」・公式ドキュメント「Audit logs for Copilot and AI applications」
調査日 |
| NotebookLM（現在の表記は Gemini Notebook） | ― 編集部まとめ出典()
公式ヘルプ「仕事用または学校用の Google アカウントで Gemini Notebook を使用する」 確認したもの: 公式ヘルプの「Gemini Notebook の詳細」「よくある質問」「仕事用または学校用の Google アカウントで使用する」、および管理者向けの有効化の手引きを開いたが、利用の記録をどれだけの期間残すかを示す記述は無い。書かれているのはデータの取り扱い（フィードバックを送らない限り学習に使わない、仕事用・学校用では人によるレビューもしない）と、削除したメモは元に戻せないことまでで、管理者が見られる記録やその保持期間には触れていない。 調査日 |
| Ollama（ローカル実行） | クラウド利用でも保存も記録もしない ベンダー公表 自分の機械で動かす場合、動作の記録は利用者の機械に残る（macOS は ~/.ollama/logs/server.log、systemd の Linux は journalctl、Windows は %LOCALAPPDATA%\Ollama の server.log と、古い分の server-#.log）。保つ期間を決めるのは利用者側で、ベンダーが預かるものではない。 コンテナで動かす場合は標準出力・標準エラーに出る。詳しい記録を出す切り替えも用意されている。 クラウドのモデルを使う場合は、送った内容と返ってきた内容を保存も記録もせず、学習にも使わないと明記されている。集めるのは基本的なアカウント情報と、内容を含まない最小限の利用状況のみ。Team プランの機能一覧にも、保存も記録もしないことが項目として掲げられている。 |
| Perplexity | API に送った問い合わせの内容は保存しないと明記されている。集めるのは請求に必要な記録だけで、処理したトークン数、使ったモデル、呼び出しの時刻と所要時間、請求のための API キーの識別のみ。プロンプトや応答の中身は含まないとしている。 この請求のための記録をどれだけの期間持つかは、開いた範囲には書かれていない。 |
| tsuzumi（NTT） | ― 編集部まとめ出典()
公式「tsuzumi 2 on Azure ユーザーガイド v1.1」（2026 年 7 月 30 日改訂） 確認したもの: ユーザーガイド 2 冊と製品ページを通して読んだが、推論の実行記録を誰がどれだけの期間持つかについての記述は無い。書かれているのは、推論の結果は自分のテナント内のモデルにのみ適用され、他のテナントのモデルには使われないという点まで。 調査日 |
◎ 条件なしで当てはまる ○ 条件つき・一部 △ 限定・要申請・無いと明記 × 当てはまらないと明記 ？ 編集部がまだ確認していません ― 提供元が公開していない（編集部が調べた） — 記号は編集部の札から機械で付けています。物差しは項目ごとに違い、列の見出しがその項目の意味です。札の意味と根拠は各セルの要約を押すと出ます。
材料の調査日（最新）: 2026-08-26
期間を数字で言えるかどうかは、種類で分かれていません。 分かれたのは置き場所のほうで、記録が利用者側や自社環境に残ると書いているのは、エージェント側 7 件・ChatAI 側 2 件でした。Kiro は記録は利用者自身のアカウントの、利用者が選んだ保管場所に置くと明記と書き（記録の保存）、OpenClaw は記録の既定の置き場所をファイルの絶対パスで示しています。
そして、この節でいちばん効く一文を Codex が書いています。
Don't assume every shell command, browser interaction, app invocation, file operation, or approval appears in a customer-visible compliance export.
（企業向けの安全性）記録があることと、あなたが見られる書き出しに全部載っていることは、別です。
手を持たせると、責任はどこへ行くか
手を持たせた側は、規約でそれをはっきり書いています。名指しで利用者に置いています。 同じ規約を「壊れ方」の側から読んだ一覧が次のものです。
ただし、止まる側に倒す AI もある
「AI＝止まらない」で終わらせると、これも嘘になります。既定で止まる側に倒している製品が、はっきり存在します。
| 製品 | 原文 |
|---|---|
| Kiro | まかせきりは既定で切／実行中に確認が要るときは「要対応」の状態に移り、利用者の入力を待つ（公式） |
| Codex | 承認されれば実行を続け、拒否されれば明らかに安全な道を探すか、止まって利用者に尋ねる側へ倒す（公式） |
| Antigravity | 提案した変更に進む前に必ず止まり、明示の承認を求める／もう一方の設定は止まって人の点検を求めず、計画をそのまま実行に移す（公式） |
| Cline | 控えが無いまま自動承認にすると、問題に気づく前に多くの変更が積み上がるので不安が残る（公式） |
Antigravity の 2 行は、同じ製品の中に「必ず止まる」と「決して止まらない」が設定として両方あることを示しています。怖さを決めているのは製品名ではなく、その設定を誰がどう決めたかです。
Cursor の行は、ここで規約の版まで残っている数少ない 1 件です（Last updated August 13, 2026）。ほかの 394 件には版がありません。規約は月単位で変わります。契約前に、その日の版をご自分で開いてください。
OpenClaw の一文は、ここ全体への注釈として読めます。失敗の大半は珍しい攻撃ではなく「誰かが話しかけて、その通りに実行してしまった」もの——手を持つ道具に対して、いちばん起きやすい事故は、手が想定どおりに動いてしまうことです。
Devin も規約で出力が自分の用途に適しているか（人の点検が要る場面かどうかも含めて）を判断する責任は利用者にあると定め、点検結果は 網羅的ではない補助にすぎない であって自分の確認の代わりにはならないと書いています（利用規約 8.2）。
この調査記録では答えられなかったこと
手の話をするのに、ここでの材料では答えられない問いがあります。読者が当然もつものばかりなので、名前を挙げて書きます。
| 読者が当然もつ問い | なぜ答えられないか |
|---|---|
| 実際にどれくらい失敗するのか | 第三者の観測記録が 0 件。あるのはベンダーの記述と、編集部の「探して無かった」だけ |
| どちらが安全か | 「止まらず進む」が 5 対 5。種類からの導出は推断であって観測ではない |
| 「できること」の公式の言い分 | できること・使う場所・組み込む形・API 公開の 4 欄は、原文引用が 0 件（すべて要約） |
| 認証やログイン管理の横並び | 26 件中 14 件が欄ごと無い。しかも「調べていない」のか「調べて無かった」のか区別できない |
| 費用・速度・所要時間 | ここでの 10 欄に入っていない（料金の数え方は別の記事の主題です） |
| 「エージェント」の線引きの根拠 | 分類を誰がどの基準で振ったかは、調査記録に書かれていない |
もう 2 つ、範囲そのものの断りです。
- エージェント側は、調査を割り当てた 14 件のうち 13 件です。 Windsurf は割当済みで未納のため入っていません。**「主要 13 件」ではなく「調べた 13 件」**です。
- 26 件すべてが 2026-08-26 の 1 日ぶんの記録です。 とくに Kiro（Web 版・モバイル版はプレビュー段階）と Claude Cowork（web・モバイルは展開中）は、書いた時点で動いている対象です。
そしてここがいちばん気をつけたのは、「無い」と「見つからなかった」を混ぜないことです。調査記録では、探した範囲まで記録した「見当たらなかった」（26 件・全欄で 71 件）と、欄ごと省いたものが構造で区別されています。前者にはどこを見たかが残っていますが、後者には残っていません。
持ち帰りの一覧
| 持ち帰り | 一言 |
|---|---|
| 手の在りかは入口に出る | ChatAI は 13 件中 11 件がブラウザ、開発ソフトの中に入るものは 0 件。エージェントはエディタ 4・コマンドライン 5 |
| 手の長さは機械が決める | 届く範囲として書かれていたのは、フォルダ・リポジトリの枝・閲覧権限——どれも相手の側の事情 |
| 差が出たのは「止める・戻す・囲う」だけ | 承認で止まる 5 対 0／やり直し 4 対 0／囲い 7 対 0。止まらず進む 5 対 5・記録の期間 5 対 4 は差なし |