AIエージェントに安全にパソコンを操作させる方法

どの環境を選んでも、それを普段の自分の机ではなく、新しい机として扱いましょう。そのタスクに実際に必要な1つか2つのアカウントだけにサインインし、それ以外はすべてログアウトしたままにしておきます。タスクが予約サイトで1件の予約をすることであれば、必要なのはそのサイトのセッションだけです。メールや銀行、業務ツールが、ただ手元にあると便利だからという理由で同じ環境に入っている必要はありません。

パスワードマネージャーや銀行へのアクセスは、ログアウトしておくだけでなく、そもそもその環境に一切保存しないようにしましょう。AnthropicがClaudeのコンピュータ操作について出している安全ガイダンスは、この点について明確で、情報の盗難を防ぐために、アカウントのログイン情報のような機密データへのアクセスをモデルに与えないよう、具体的に警告しています。どのベンダーのエージェントを使っていても同じ理屈が当てはまります。エージェントは、その手の届く場所に置かれなかった認証情報を漏らしたり悪用したりすることはできません。

エージェントが何かにログインする必要がある時点で、これはさらに重要になります。Anthropic自身のプロンプティングガイダンスは、ログインを必要とするアプリケーション内でコンピュータ操作を使うと、プロンプトインジェクション攻撃による悪い結果のリスクが高まると述べ、ログイン認証情報を渡す前に、そのリスクを減らす方法を確認することを勧めています。本当に必要な1つのサービスのために範囲を限定した使い捨てのアカウントを用意することは、そのリスクに比べればささいな手間です。

コンピュータ操作エージェントが読むのは、あなたの指示だけではありません。その過程で開くページ、文書、メールに書かれているものも読んでおり、その内容の中には、あなたではなくエージェント宛ての指示が含まれている場合があります。これはプロンプトインジェクションと呼ばれ、ウェブページやメールに埋め込まれた文章が、エージェントを別のサイトへ誘導したり、情報を共有させたり、望んでいない操作を繰り返させたりと、あなたが頼んでいないことをさせようとするものです。

AnthropicのClaudeのコンピュータ操作に関するドキュメントは、これをはっきりと述べています。状況によっては、Claudeはユーザー自身の指示と矛盾していても、コンテンツの中に見つかった命令に従うとし、ウェブページや画像の中の指示があなたが頼んだことを上書きする例を挙げています。Anthropicはさらに、コンピュータ操作ツールが返すスクリーンショットなどを自動の分類器がスキャンし、プロンプトインジェクションの可能性にフラグを立てていると付け加えていますが、同時に、その分類器が動いていても、エージェントを機密データや機密操作から隔離する予防策の重要性は変わらないと明言しています。

最後の点は、Claudeに限らず、この機能のどのベンダーの版についても記憶しておく価値があります。自動化された安全チェックは二重目の層であって、一つ目の層の代わりにはなりません。エージェントを機密性の高いアカウントから遠ざけておけば、インジェクションが成功したとしても、その内部でできることはほとんどなくなります。

コンピュータ操作セッションの終わりは、新人の初日を振り返るのと同じように扱いましょう。最終結果が正しそうに見えるかどうかだけでなく、実際に何が起きたかを見るのです。エージェントに、訪れたすべてのページ、触れたすべてのアカウント、入力したすべてのフィールドを順番に一覧にさせ、そのタスクに必要だと思っていたことと比較してください。

Anthropic自身のClaude向けドキュメントは、複数の操作を一つの『バッチ』にまとめて、1ターンの中で複数ステップの手順を完了できると述べており、アプリケーションが重大な操作について人間の確認を求めるのであれば、そのチェックはバッチの各ステップが実行される前に行われる必要があり、最後に一度だけではいけないと具体的に助言しています。これらのツールを直接使う人にとっての実践的なバージョンも同じです。長い一連の操作が完全に終わるまで注意を払うのを待ってはいけません。

手早くレビューする習慣は、安全とは関係のない普通の間違いも拾い上げてくれます。間違ったボックスに入力されたフィールド、スキップされたステップ、エージェントが想定したようには読み込まれなかったページなどです。何が起きたかを読み返すのは安いコストです。メッセージが送信された後、フォームが送信された後に間違いを発見するのは、そうではありません。

作業を現実的にこなせる最小の環境から始めましょう。公開サイトでの手早い調べ物一件には仮想マシンは必要なく、新しいブラウザプロファイルで十分です。専用のOSアカウントやフルの仮想マシンといった、より重い選択肢は、繰り返し行うタスク、複数のサイトに触れるタスク、まだ慣れていないタスクのために取っておきます。

渡す前に、タスクを狭く書きましょう。『この一つの航空会社のサイトで最も安いフライトを3つ見つけて、私にリストを渡して』は、ほとんどリスクのない状態でエージェントが行えるタスクです。『一番良さそうなフライトを予約して』は、判断と支払いを一つの手順に押し込んでしまいます。これはまさに、指示そのものの中ではなく、人間の承認ルールの背後に置くべき種類のタスクです。

隔離された環境であっても、最初の数回のセッションは注意深く見守りましょう。隔離は、間違いが起こせる被害の大きさを制限するものであり、エージェントがタスクをうまくこなしているかどうかを教えてくれるわけではありません。想定どおりに数回のセッションを処理するのを確認できたら、その特定の狭いタスクについては注意を緩めてもかまいませんが、まだ試していない新しいタスクについてはそうしてはいけません。

最後に、今日使っている設定は、後でもう一度見直す必要があると想定しておきましょう。ベンダーは、エージェントにできること、存在する設定、適用されるデフォルト値を、機能の公開から数か月のうちに変えることがよくあります。最初にテストしたものより大きなことでエージェントに頼る前に、自分自身の設定と、そのベンダーの現在のドキュメントを見直してください。

クリーンなブラウザプロファイル、別のアカウント、仮想マシンは、どれも間違いの被害範囲を制限します。しかし、どれもエージェントの判断力を良くするわけではなく、説得力のある詐欺ページが隔離されたセッションの時間を1時間無駄にすることを止めるわけでもありません。たとえ中に入っても重要なものには届かないとしても同じです。隔離は、エージェントが何に触れられるかに関するものであり、状況を正しく読み取れるかどうかに関するものではありません。

出力を実際に見ることの代わりにもなりません。仮想マシンの中で動いているエージェントでも、間違った情報でフォームに入力したり、分かりにくいページを誤解したり、技術的には正しくても望んでいた結果ではない形でタスクを完了したりすることがあります。このガイドの前半で説明したレビューの習慣は、エージェントが利用できる最も隔離された環境で動いていても、そうでなくても、重要であることに変わりありません。

最後に、ここで書いたことは、一度設定したら終わりで忘れていいものではありません。Anthropic、OpenAI、Microsoft、Googleは、それぞれコンピュータ操作とエージェント型ブラウジング機能を今も積極的に開発しており、つまり、具体的な設定やデフォルト値、利用できる安全対策は、あるセッションと次のセッションの間でも変わる可能性があります。このガイドは、その変化を通じて役立ち続ける習慣として扱い、今目の前にある正確な機能名や設定については、そのベンダー自身の現在のドキュメントを確認してください。