副作用と不可逆性 — 取り消せる操作と、取り消せない操作
チャット AI とエージェントの違いは、賢さではありません。やったことを取り消せるかどうかです。
巻き戻しボタンがある世界と、ない世界
チャット AI には、いつでも巻き戻せる前提があります。どれほどでたらめな回答（ハルシネーション）が出ても、画面を閉じれば外の状態は何も変わりません。取り消しは、読む人の頭の中で完了します。 エージェントの側には、その前提がありません。ツールが呼ばれ、ファイルが書き換えられ、外部の API が叩かれた後では、画面を閉じても元に戻りません。
| チャット AI | AI エージェント | |
|---|---|---|
| できること | 画面に文字を出す | ツールを呼ぶ・ファイルを編集する・外部 API を叩く |
| 間違えたとき | 読み飛ばせば済む（可逆） | 実行された瞬間に現実が変わる（不可逆） |
| 危険の正体 | — | 人の目視確認を挟まずに、推論ミスが即座に実行へ変わる構造 |
副作用（Side Effect） は、関数の外にある状態（ファイル・データベース・通信相手・物理環境）を書き換える作用のことです。チャット AI は「副作用ゼロ」の読み取り専用の世界でした。エージェントは違います。Anthropic の解説記事『Building Effective Agents』は、エージェントを「人間から指示を受けたあと、自律的に計画し、独立して動く」ものと説明しています。新人にオフィスの合鍵（API キー）と裁断機（削除権限）を渡し、一人で本番のサーバー室に入れるようなもので、誤ったファイル全削除・誤った DROP TABLE・誤送金の API 呼び出しは、実行された瞬間に取り消せなくなります。
AI が危ないと言われる第一の理由は、知能の未熟さではなく、人の目視確認を挟まないまま推論ミスが不可逆な実行へ変換される構造にあります。実際に起きる暴走の型と 4 層の防壁は、fix の「AI エージェントの暴走を防ぐ」 にまとめています。どの製品がどこまで自動で手を動かすかは、RenkeiMap の AI ツール一覧 に出典つきで置いてあります。
調査記録で確かめる
副作用が起きたときにどうなるかは、失敗の扱い・誤りの扱い・記録の 3 列に出ます。
比較項目:
| システム | 業務安定性 | |
|---|---|---|
| 壊れ方（止まるか・間違えて進むか） | 失敗したときの扱い | |
| Agentforce（エージェントフォース） | 有害と判定された生成物は表示前に遮る ベンダー公表 自分の手に負えない用件に当たったときは、人の担当者に引き継ぐと公式に説明されている。 これは会話の相手をする場面についての説明で、処理そのものが失敗したときに止まるのか続けるのかを述べたものではない。後者を説明した記述は、開いた範囲では見つからなかった。 生成された内容は表示前に検査され、有害と判定されたものは利用者に見せる前に自動で遮られる、と公式に説明されている。 検査の対象として挙がっているのは、憎悪表現・偏り・嫌がらせなど方針に反する兆候。答えの内容が業務上正しいかどうかを判定する仕組みではない。 | 外部から呼び出して使う場合、応答は 120 秒で打ち切られ、打ち切られたときはエラーが返る。同時に処理できるのは 1 件だけで、重ねて送ると別のエラーが返る。 返ってくるエラーの種類ごとに、何を確かめればよいかを並べた案内が開発者向けドキュメントにある（該当のエージェントの識別子が違う／認証の設定が違う／宛先が違う／送信データの形式が違う、など）。会話は「開始・やり取り・終了」の 3 段階で扱い、途中の文脈は開始した会話の中で保たれる。 |
| Antigravity（Google） | エージェントの行為の責任は利用者 ベンダー公表 計画を立ててから実行する使い方では、変更を加える前に必ず止まって承認を求めるか、一切止まらずに実行するかを、設定で選ぶ。既定として勧められているのは、止まって承認を求める側。 これは「人が見る前に変更が入るかどうか」の設定であって、実行が失敗したときに処理を止めるのか続けるのかを説明したものではない。後者を述べた記述は、開いた範囲では見つからなかった。なお、隔離を有効にしている場合は、コマンドを実行する直前に「隔離を外して実行する」という逃げ道が選択肢として出る。 規約は、エージェントが行った行為の責任は利用者にあると定め、本番環境で使う場合は、起こしうる被害を避けるために判断と監督を行うことを利用者の責任として挙げている。 | 会話を丸ごと複製して別案を試す枝分かれの仕組みがあり、試した結果がだめなら元の枝に戻れる。 枝分かれで複製されるのは会話だけで、手元のファイルは複製されないと公式に注意されている。ファイルまで分けたい場合は、版管理側で枝を分けるか、変更を退避しておくよう案内されている。会話の履歴は作業フォルダごとに区切られる。 |
| Claude Code | 照合できない命令は承認を求める側に倒れる ベンダー公表 隔離の壁に阻まれてコマンドが失敗したとき、失敗の中身が出力に足されてそのまま渡り、別のやり方（壁の外で実行し直す）を試すことがある。作業を止める側には倒れない。 止めたい場合は、その逃げ道を設定で閉じられる。閉じると、すべてのコマンドは壁の中で動くか、あらかじめ例外に挙げられているかのどちらかになる。壁の外での実行し直しは通常の承認の流れに戻るため、手動の設定では確認を求められる。 照合できなかったコマンドは、手動の設定では承認を求める側に倒れると明記されている。 原文の見出しは「Fail-closed matching」。ただしこれは権限の照合についての記述で、作業そのものが失敗したときの扱いではない。 | 入力のたびにコードの状態が自動で控えられ、あとから「コードだけ戻す」「会話だけ戻す」「両方戻す」を選べる。中断した作業も再開できる。 控えは 1 セッションにつき直近 100 件まで。セッションごと 30 日で消え、期間は設定で変えられる。戻せない範囲がはっきり書かれており、シェルコマンドが書き換えたファイル、サブエージェントが加えた編集、外部からの変更、リンクで結ばれたファイルは戻らない。 |
| Claude Cowork | 道具の実行が失敗すると、その結果に失敗した印と失敗の内容が残る。Claude への要求が失敗したときはやり直しが行われ、何回目かが記録される。 失敗したあとに、その先の作業を止めるのか続けるのかを説明した記述は、開いた範囲では見つからなかった。記録の項目としては、成功したかどうか・失敗の内容・試行回数までが公開されている。 | 道具を 1 つ動かすごとに、成功したか失敗したか、失敗したときのメッセージ、かかった時間が記録に残る。Claude への要求が失敗したときは何回目の試行かも残るので、やり直しが行われていることが分かる。 誰の判断で許可・拒否されたか（あらかじめの設定／その場の許可／利用者の中断／利用者の拒否など）も記録される。これらは組織向けの記録の書き出しの説明にある項目で、書き出し先は利用する側が用意する。作業を途中から再開する仕組みについては、開いた範囲では記述が見つからなかった。 |
| Cline（クライン） | ひとつずつ承認する設定なら操作のたびに止まり、自動承認にすると止まらずに進む。公式ドキュメントは、自動承認では気づく前に多くの変更が加わりうると書き、控えからの巻き戻しを前提にするよう案内している。 すべてを自動で承認する設定については、起こりうることとして「警告なしに大事なファイルを消す」「システム設定を変えるコマンドを実行する」「設定ファイルを上書きする」「パッケージを入れたり消したりする」「版管理に変更を確定して送信する」が公式に列挙されている。安全でない扱いにするコマンドは固定の一覧ではなく、モデルがコマンドごとに判定すると明記され、「これは例であって保証ではない」と書かれている。 | 作業の各段階で控えが取られ、「ファイルだけ元に戻す」「会話だけ元に戻す」「両方戻す」を選んで戻せる。前の指示を書き直して、そこから先の変更をまとめて取り消すこともできる。 承認が必要になったときと、自動で承認したコマンドが 30 秒を超えて動き続けているときは、基本ソフトの通知で知らせる設定がある。 |
| Codex（OpenAI） | 確認役を自動の別の判定に切り替えている場合は、許可されればそのまま進み、拒否されたときは「もっと安全な別の道を探す」か「止めて人に聞く」よう指示が返る。 壁の中で許される範囲の操作は、確認も判定も通らずそのまま進む。隔離した状態では動かせないコマンドは、通常の確認の流れに戻る。 | 開始・継続・再開の呼び出しが用意されている ベンダー公表 中断した対話は後から開き直して続けられ、外部から組み込む形でも同じように再開できる。取りかかる前後に版管理の目印を作って、あとから元に戻せるようにすることが公式に勧められている。 行き先（手元・作業用の複製・クラウド）を選び間違えたときは、実行を取り消して直前の指示を呼び戻せる。変更の見比べでは、直近のひと区切りだけを取り出して見ることもできる。 外部から組み込む形では、対話を開始・継続・再開する呼び出しが用意されている。 |
| CrewAI（クルーAI） | もっともらしいが事実と違う答えが出ることを公式に認めており、企業向けの機能として、出来上がりを参照資料と突き合わせて 0〜10 点で採点する検査役が用意されている。検査に落ちた仕事は、完了扱いにならずに失敗として扱われる。 この検査役は仕事ごとに付けて初めて働く。付けていない仕事の出来上がりが突き合わされることはない。点数の合格ラインは自分で決められ、公式には重要な内容なら 8〜10、一般的な内容なら 6〜7 が目安として示されている。1 回の検査で 1〜3 秒ほど余計にかかるとも書かれている。 | 検査に落ちると、その理由が担当のエージェントに差し戻され、直しては検査という往復が、通るか、決めた回数に達するまで繰り返される。 検査役には、自分で書いた検査の処理を渡す形と、言葉で条件を書いて言語モデルに判定させる形の 2 種類がある。往復の上限は仕事ごとに数値で指定する。人の入力を待たせる指定も、仕事の項目として用意されている。 |
| Cursor | 規約は、生成される提案に誤りや誤解を招く情報が含まれうること、その評価とそれに伴うリスクは利用者が負うことを明記しています。さらに、人の確認を経ずにコードの提案を自動実行する機能があり、それを有効にした場合はシステム停止・不具合・データ損失などのリスクをすべて利用者が引き受ける、と定めています。 自動実行が有効なときは画面にその旨が明示されると規約に書かれています。誤った方向へ進んだ場合に備えて、作業中に自動で作られる復元ポイントから戻す運用が案内されており、失敗したら処理を止めるという説明は見当たりません。 | 作業の途中に自動で復元ポイントが作られ、変更前の状態にファイルだけを戻せます。復元ポイントは利用者の端末に保存され、Git とは別の仕組みだと明記されています。 戻るのはファイルだけで、やり取りの履歴は残ります。恒久的なバージョン管理には Git を使うよう案内されています。 |
| Devin | 規約は、出力が不正確だったり用途に合わなかったりすることがあり、使う前に人の確認が要るかどうかを判断する責任は利用者にあると定めています。コードの点検結果についても、問題をすべて拾えるとは保証せず、利用者自身の確認・テスト・監査の代わりにはならないと明記しています。 レビュー機能の指摘も、確信度の高い「不具合」と、利用者が自分で調べて実際に問題かどうか確かめる「要調査」に分けて示されます。設定を入れれば、指摘や CI の失敗に人手を介さず自動で対応し続けます。 | プルリクエストの指摘や CI の失敗に対して、自動で修正案を出して直しに行く設定（Auto-Fix）が用意されています。既定では入っておらず、組織の管理者だけが有効にできます。 有効にすると、見つけた不具合の横に修正案が並び、差分の画面からそのまま適用できます。指摘が無い要約だけのコメントには反応しません。 |
| GitHub Copilot | 公式の「限界」の章が、存在しない問題を指摘してしまうこと、一見正しく見えても意味的・文法的に誤ったコードを出しうること、生成したコードに脆弱性が含まれうることを明記し、いずれも人が確認して試すよう求めています。止まるのではなく、誤ったまま先へ進みうる前提で書かれています。 端末側では危険なコマンドの実行前に許可を求める仕組みがあり、実行されたコマンドの最終的な責任は利用者にあると明記されています。 | 端末側の対話では、危ない可能性のあるコマンドを実行する前に許可を求めます。クラウドで動く方は、作った変更をプルリクエストとして出し、そこに付いた指摘を受けて自分で直しに戻ります。 クラウドで動く方が触れるのは、そのプルリクエストの枝だけです。既定の枝に直接反映することはできず、他のリポジトリにも入れません。各コミットの説明に、その作業の記録へのリンクが入ります。 |
| Hermes Agent（ヘルメス・エージェント） | 編集部がまだ確認していません | |
| Kiro（AWS） | まかせきりで動かす設定のときは、途中で判断がつかなくなると勝手に進めず「要対応」の状態に移り、利用者の入力を待ちます。この設定は既定では切ってあり、切っている間は一手ずつ一緒に進める形です。 作業は隔離された環境で行われ、成果はプルリクエストとして出てくるため、確認してから取り込む前提になっています。誤った内容のまま先へ進んだ場合にどう扱うかを述べた記述は、開いた範囲には見当たりません。 | まかせきりで動かす設定のとき、途中で判断がつかなくなると作業は「要対応」の状態に移り、利用者の入力を待って止まります。プルリクエストに書いた指摘には自動で対応して更新を積み、特定のやり取りだけ直させる指示も出せます。 進み具合は作業画面から追え、各段階の報告が出ます。 |
| Manus（マヌス） | 公式ヘルプは、自信ありげに見えても不正確・不完全な内容を出すことがあると認めたうえで、重要な判断に関わる話題では注意書きを出すものの、手伝いを断ったり会話を止めたりはしないと明記しています。つまり誤ったまま先へ進みうる形で、確かめるのは利用者の側とされています。 一方、混雑でシステム側が作業を打ち切ったときは止まり、続けるか、やめてクレジットの払い戻しを受けるかを利用者が選べます。 | 作業用の仮想環境との接続が長く切れたままになると、環境は自動で作り直されます。作業の進み具合と履歴は残りますが、その環境の中に置いてあったファイルは作り直しの際に失われると明記されています。混雑で作業が打ち切られたときは、続けるか、やめてクレジットの払い戻しを受けるかを選ぶ画面が出ます。 進み具合が失われた場合は、ヘルプ内の窓口へすぐ連絡するよう案内されています。 |
| OpenClaw（オープンクロー） | 公式ドキュメントは、この種の失敗の大半は珍しい攻撃ではなく「誰かが話しかけて、その通りに実行してしまった」ものだと述べ、モデルは操られうる前提で被害範囲を小さく設計するよう求めています。一方で、隔離環境を明示的に指定した実行は、その環境が用意されていなければ動かずに落ちる（安全側で止まる）と明記されています。 実行の許可を毎回求めるかどうかは設定で、個人用の構成では既定で許可を求めない側に倒してあり、それは意図した使い勝手であって欠陥ではないと書かれています。厳しくするかどうかは利用者が決める形です。 | 症状から順にたどる切り分けの手引きと、健全性の点検・設定の移行・修復手順をまとめて実行する点検コマンド（openclaw doctor）が用意されています。動作の記録はコマンドで取り出せ、会話ごとの記録も端末上のファイルとして残ります。 モデルの選択や、つながらないときの切り替えについても別途手引きがあります。自分で設置して動かす形なので、対処は利用者自身が行います。 |
◎ 条件なしで当てはまる ○ 条件つき・一部 △ 限定・要申請・無いと明記 × 当てはまらないと明記 ？ 編集部がまだ確認していません ― 提供元が公開していない（編集部が調べた） — 記号は編集部の札から機械で付けています。物差しは項目ごとに違い、列の見出しがその項目の意味です。札の意味と根拠は各セルの要約を押すと出ます。
材料の調査日（最新）: 2026-09-05