過剰な権限と爆発半径 — 渡した権限の大きさが事故の大きさを決める
掃除を頼んだロボットが、原子炉のレバーを引く。ロボットが悪いのではなく、そのレバーに手が届く場所に置いたのが原因です。
3 つの過剰
| 過剰 | 何が起きているか | 例 |
|---|---|---|
| 機能の過剰 | その仕事に要らない道具まで使える | 要約を頼んだだけなのに、ファイル削除やメール送信のツールが付いている |
| 権限の過剰 | 道具の権限が仕事の範囲を超えている | sudo・クラウドのフルアクセス・本番データベースの root パスワード |
| 自律の過剰 | 人の確認なしに実行できる | 削除・送金・外部送信の手前で止まらない |
OWASP は LLM アプリのリスク一覧で、この型を過剰な権限（Excessive Agency）として挙げ、要らない機能・要らない権限・要らない自律の 3 つが原因だと書いています（一覧は版で番号が振り直されるので、番号ではなくリスク名で書きます）。
爆発半径 — 間違えたとき、どこまで壊れるか
| 渡した権限 | 間違えたとき | 戻せるか |
|---|---|---|
| 読み取り専用 | エラーで止まる | 何も壊れていない |
| 対象を限った書き込み | その対象だけが変わる | 対象の控えがあれば戻せる |
| フルアクセス | ファイル全削除・DROP TABLE・誤送金 | 戻せない（副作用） |
「最新の AI ならそんな押し間違いはしないのでは」と思うかもしれません。実際のデスクトップを操作させる標準ベンチマーク OSWorld（arXiv:2404.07972） の論文（2024 年）は、人間が 72.36% 以上のタスクをこなせるのに対し、当時いちばん成績の良かったモデルの成功率は 12.24% にとどまったと書いています。この数字は 2024 年時点のもので性能は上がり続けていますが、人間より下であること自体はまだ覆っていません。一発で正解を引けない道具に、取り返しのつかない権限を渡している — 危ないのはそこです。
権限を絞る側の設計（サンドボックス・読み書き分離・人の確認・Egress 制御）は AI エージェントの暴走を防ぐ に、「戻せない」の意味は 副作用と不可逆性 に置きました。どの製品がどこまで囲えるか（サンドボックス・記録）は RenkeiMap の AI ツール一覧 の欄に出典つきで置いてあります。
調査記録で確かめる
書き込みに門が在るか、囲いが在るかの 2 列です。
比較項目:
| システム | 業務安定性 |
|---|---|
| 検証環境 | |
| Agentforce（エージェントフォース） | ― 編集部まとめ出典()
Einstein 基盤のセキュリティ文書 確認したもの: 公式製品ページ（日本語）・仕組みのページ・料金ページ・開発者ドキュメント（Agent API の 4 ページ）・Einstein 基盤のセキュリティ文書（PDF）を開いたが、Agentforce を試すための検証用の環境について書いた記述は無い。PDF には、機能ごとに環境を分けていること（とくに検証用と本番）が書かれているが、これは提供側の構成についての説明で、利用者に検証環境を用意するという記述ではない。関連する案内が置かれている help.salesforce.com は JavaScript で描画されるため機械では本文が取得できない。 調査日 |
| Antigravity（Google） | コマンドライン版に、基本ソフトの機能を使って実行を閉じ込める仕組みがある。既定では無効で、設定ファイルで有効にする。有効にすると、実行前の確認に「隔離を外して 1 回だけ実行する」という選択肢が出る。 閉じ込め方は Linux が nsjail、macOS が sandbox-exec、Windows が AppContainer。無効にしている場合でも、危なそうなコマンドはその場で「隔離して実行する」を選べる。仮想マシンを立てる方式ではないと明記されている。 |
| Claude Code | シェルコマンドをファイルとネットワークの両面で隔離して動かす仕組みが本体に入っている。macOS・Linux・WSL2 で動き、Windows をそのまま使う形には対応していない。 既定では作業フォルダとその回だけの一時フォルダにしか書き込めず、書き込み先や通信先は設定で広げられる。ブラウザで動かす形態では、作業ごとに切り離された仮想マシンが割り当てられ、一定時間使われなければ回収されると別ページに書かれている。 |
| Claude Cowork | ― 編集部まとめ出典()
公式ドキュメント（概要） 確認したもの: 公式ドキュメントの概要（claude.com/docs/cowork/overview）と記録の書き出し、公式製品ページ、料金ページ、稼働状況ページを開いたが、試すための隔離された環境について書いた記述は無い。概要には Claude Code と同じ仕組みを使うと書かれているが、Cowork の側でそれをどう扱うかは書かれていない。 調査日 |
| Cline（クライン） | ― 編集部まとめ出典()
公式ドキュメント（自動承認） 確認したもの: 公式ドキュメント（自動承認・控えと巻き戻し・初めての方向け）と、公式サイトの料金・企業向けページを開いたが、製品の側が用意する試用のための隔離環境についての記述は無い。自動承認の説明には、まず使い捨ての企画や隔離した環境で試すよう利用者側の準備を勧める記述があり、企業向けの機能一覧には自社の閉じたネットワーク内への配置が挙がっている。 調査日 |
| Codex（OpenAI） | 手元で動かすとき、コマンドは既定で隔離された環境の中で実行される。読み取りだけ・作業場所への書き込みまで・制限なし、の 3 段階があり、既定は作業場所への書き込みまで。 隔離は基本ソフトの仕組みで行われ、macOS は標準の機能、Windows は標準の機能または WSL2、Linux と WSL2 は追加の部品を入れて実現する。クラウドで動かす場合は、仕事ごとに切り離された仮想環境で動く。 |
| CrewAI（クルーAI） | ― |
| Cursor | ― 編集部まとめ出典()
料金ページ（プラン比較） 確認したもの: 料金ページの機能比較、公式ドキュメントのトップとエージェント概要、エンタープライズ向けのプライバシー・コンプライアンスの各ページを開いたが、本番と分けて設定を試すための検証環境の提供に関する記載は無い。Enterprise には自動実行・ブラウザ・ネットワークの制御という項目があるが、これは実行時の制限であって別環境の提供ではない。 調査日 |
| Devin | 作業は利用者の端末ではなく、シェル・エディタ・ブラウザを備えたクラウド上の作業環境で行われ、そこで自分の変更を動かして確かめられます。外部ツールの接続設定を保存する前には、隔離された確認用の環境を立ち上げて接続を試す仕組みもあります。 本番と分けた検証用の契約や環境が別途売られているわけではなく、作業そのものが独立した環境で走る形です。 |
| GitHub Copilot | ― 編集部まとめ出典()
公式ドキュメント 責任ある利用（エージェント） 確認したもの: プランと価格の比較表、公式ドキュメントの入門・責任ある利用・企業向けアカウント・監査記録の各ページを開いたが、本番と分けて設定を試すための検証環境の提供に関する記載は無い。代わりに書かれているのは、クラウドで動くエージェントが触れる範囲の制限（そのプルリクエストの枝だけ、他のリポジトリには入れない、専用の環境に入れた秘密情報以外は使えない）で、これは実行時の制限であって別環境の提供ではない。 調査日 |
| Hermes Agent（ヘルメス・エージェント） | コンテナによる隔離が security の層の 1 つとして挙げられている ベンダー公表 |
| Kiro（AWS） | ブラウザから使う形では、作業ごとに隔離された環境が立ち上がり、必要なリポジトリだけを複製して作業し、終わると片付けられます。中には画面のない Chrome と操作用の道具が入っていて、直した画面をその場で確かめられます。 外に出られる宛先は設定で絞れます。本番と分けた検証用の契約が別に売られているわけではなく、作業そのものが毎回この隔離環境で走る形です。 |
| Manus（マヌス） | 作業はクラウド上の隔離された仮想環境で行われ、利用者はその中の画面を見たり、途中で自分で操作を代わったりできます。環境は作り直されることがあり、その際に中のファイルは失われますが、作業の進み具合と履歴は残ると説明されています。 本番と分けた検証用の契約が別に売られているわけではなく、作業そのものが毎回この隔離環境で走る形です。 |
| OpenClaw（オープンクロー） | 隔離した環境で実行する仕組みはありますが、既定では入っておらず、利用者が自分で有効にする形です。切ってある状態では、行き先を自動に任せた実行は常駐させている端末そのもので走ります。隔離環境を明示して指定した場合は、環境が用意されていなければ実行されずに落ちます。 危険度の高い道具（コマンド実行・ブラウザ操作・外部取得）は、信頼できる相手や明示した許可一覧に絞るよう勧められています。強い境界が要る場合は、OS の利用者や機器そのものを分けるよう求めています。 |
◎ 条件なしで当てはまる ○ 条件つき・一部 △ 限定・要申請・無いと明記 × 当てはまらないと明記 ？ 編集部がまだ確認していません ― 提供元が公開していない（編集部が調べた） — 記号は編集部の札から機械で付けています。物差しは項目ごとに違い、列の見出しがその項目の意味です。札の意味と根拠は各セルの要約を押すと出ます。
材料の調査日（最新）: 2026-09-05