コンピューターはかつて、人が離れると作業を続けることはほとんどなかった。画面を閉じて食事に行くとき、ドキュメントはカーソルが点滅する場所で止まり、メールは下書きフォルダに残ったままだった。しかし、AI エージェントが描く未来では、コンピューターはもはや静かに主人を待つことはない。会議中に資料を検索し、フォームに記入し、レポートを作成し、ついでに夕食のレストランまで予約しておく。あなたが再び画面の前に戻ると、仕事はすでに数歩前進している。これは間違いなく素晴らしいことのように聞こえるが、問題はまさにここから始まる。AI が間違ったファイルを開き、未公開の提案を間違った相手に送信したり、「重複」と判断したファイルを削除して二度と取り戻せなくしたりした場合、それは誰の操作なのか？
ある AI がハードディスクを読み取り、ブラウザー、メールボックス、企業システムにアクセスできるようになったとき、私たちは何によってそれが指示されたことだけを行うと信じられるのか？
Microsoft が最近示した答えは非常に興味深い。AI を真に Windows に導入する前に、まずこれらのエージェントのために隔離室を用意した。過去 2 年間、人々はコンピューター上で AI とチャットすることに慣れてきた。質問に答え、文書を書き換え、ウェブページを要約するが、ほとんどの場合、その能力は比較的安全な境界内に留まっていた。あなたが何をコピーして渡せば、それだけを処理し、送信ボタンを押さなければ通常は何もできない。エラーが起きても、最も一般的な結果は画面上に信頼できないテキストが増えるだけだった。
エージェントはこの境界を変えた。もはや人が材料を持ってくるのを待つだけでなく、自ら材料を探し、ツールを呼び出し、操作を完了する。
Microsoft が AI 実行コンテナを発表し、セキュリティを強化
経費精算書を一枚まとめるために、メールボックスを開いて領収書をダウンロードし、画像内の金額を認識し、さらに会社の財務システムにログインして提出する必要があるかもしれない。ある手順を完了するために、コードを書くだけでなく、プロジェクト文書を読み取り、コマンドを実行し、依存関係をインストールし、さらにはインターネットにアクセスしてドキュメントを検索する。AI が真のアシスタントに近づけば近づくほど、必要な権限もコンピューターの前に座る真の人間に近づく。従来のコンピューター権限体系は、このような状況のために設計されたものではない。画像編集ソフトには写真が、ビデオ会議にはマイクが必要で、ユーザーは少なくとも大まかに自分が何を許可したかを知っていた。
しかし、エージェントが直面するのは固定的な機能ではなく、その場で生成される一連の行動だ。今日は表を作るためにダウンロードフォルダを読み取り、明日は「コンピューターをお掃除」するためにハードディスク全体に触れる。
単純な「アクセスを許可」では、認可がどのくらい持続するのか、どこまでできるのか、データがどこに持ち出されるのかを説明することは難しい。これが AI 安全の焦点が「嘘をつくかどうか」から「暴走するかどうか」へと移った理由だ。チャットボットが問題を一つ間違えても、ユーザーには行動前に気づく機会があるが、エージェントが一度答えを直接操作に変えると、エラーは画面を越えて、現実のファイル、アカウント、資金に及ぶ可能性がある。AI に行動能力を与えながら、依然として過去のような一度の認可で長期有効な権限ロジックを使い続けることは、家の鍵を臨時アシスタントに渡して「勝手なことはするな」と一言頼むようなものだ。
Microsoft は 10 月 7 日、Microsoft Execution Containers、すなわち AI エージェント向けの実行コンテナを正式に発表した。この名前は技術的に聞こえるが、解決しようとしている問題は理解しやすい。
一つのエージェントをコンピューター全体で自由に動き回らせるのではなく、まずそれを独立した作業室に入れ、タスク完了に必要なファイル、ツール、ネットワーク入り口だけを置く。部屋の中でコードを書き、プログラムを実行し、データを処理できるが、曖昧な指示一つで隣の引き出しをすべて開けることはできない。Microsoft はこの仕組みを三つに分けている。隔離はエージェントが触れられるデータとシステムリソースを制限し、アイデンティティはある操作がユーザー本人によるものか、ユーザーに代わって働く AI によるものかを区別し、管理は企業がルールを設定し、リスクを監視し、権限を取り消せるようにする。
真に重要なのは「閉じ込める」ことではなく、AI の行動を識別可能、追跡可能、取り消し可能にすることだ。
アイデンティティは特に重要だ。人間と AI が同じアカウントと権限を共有すると、責任はたちまち曖昧になる。一通のメールがユーザー本人によって送られたのか、過度に広範な指示に従って AI が代理送信したのか。プログラムが意図せずクラッシュしたのか、エージェントが自ら終了させたのか。システムが両者を区別できなければ、ログがどれだけ完全でも、最も基本的な問いに答えるのは難しい。AI に固有のアイデンティティを与えることは、臨時社員に期限付きの入館カードを渡すようなものだ。依然としてあなたの代理で仕事をするが、あなたと同じ権力を持つ必要はなく、タスクが終われば入館カードを無効化でき、リスクがあれば個別に凍結できる。
この仕組みは、画像生成や自動コーディングほど派手ではないが、AI がデモの舞台上にしか現れられないのか、それとも仕事と生活が詰まった真のコンピューターに入る資格を得られるのかを決める。Microsoft だけがこの鍵を補い始めたわけではない。以前 Apple も、フルディスクアクセスなどの高感度権限により明確な制御を追加すると表明しており、理由も同様に AI エージェントがメール、メッセージ、ブラウジング履歴、大量のプライベートファイルに触れる可能性があるためだ。両社が選んだ技術的道筋は異なるが、方向性はすでに非常に近い。OS は AI を普通のアプリケーションとして扱い続けることはできない。なぜなら、アプリケーションを呼び出すことも、複数のアプリケーションを横断して一つのことを完了することも可能だからだ。
過去の権限管理は「このソフトが写真にアクセスできるか」を問うものだったが、未来の権限管理は「なぜアクセスするのか、どこまでアクセスできるのか、今回だけか永遠に許可するのか」を問い続けなければならない。
実行コンテナとともに登場したのが、問題を如実に物語る一台のコンピューターだ。Surface Laptop Ultra は最大 128GB のユニファイドメモリを搭載し、公式によれば 1,200 億パラメータを超えるモデルをローカルで実行できる。過去はクラウドでしか実行できなかったタスクの一部が、パーソナルコンピューター上に留められるようになった。プライバシーを重視するユーザーにとって、これは最も直感的な答えのように見える。データをアップロードする必要がなければ、当然より安全だ。しかし、「ローカル」が解決するのはデータがデバイスを離れる問題であり、デバイス内部で AI が何に触れられるかという問題を自動的に解決するわけではない。
完全にオフラインのエージェントであっても、ハードディスク全体を読み取り、任意のコマンドを実行できれば、ファイルを誤って削除したり、入るべきでないディレクトリから情報を抽出したりする可能性がある。モデルをサーバーからコンピューターに移しただけでは、データ移動の距離を縮めただけであり、真に安全な境界を決めるのは依然として権限、隔離、操作記録だ。
ローカル AI には、より見落とされやすいもう一つの代償がある。それは価格だ。Surface Laptop Ultra の価格は US$2,599 (約 HK$20,272) から US$5,899 (約 HK$46,012) まで幅があり、大容量メモリ版は明らかに大衆向け製品ではない。NVIDIA がローカル AI 開発向けに提供する DGX Spark も、メモリコストの上昇により価格が US$6,950 (約 HK$54,210) に引き上げられた。モデルが大きくなれば必要なメモリと帯域幅も増えるため、「データを自分の手元に置く」ことは、誰もが享受できる能力ではなく、高価なハードウェア構成へと変わりつつある。
これはわずかに気まずい状況を生む可能性がある。高性能コンピューターを買える人は、より多くの機密タスクをローカルに留められるが、一般ユーザーは引き続きクラウドモデルに依存し、プラットフォームのプライバシーポリシーと引き換えに利便性を得る。ローカル AI は単なる性能ルートの違いではなく、新たなプライバシー価格格差になるかもしれない。真に使えるローカルモデルが数千ドルのデバイスにしか存在しないなら、この安心感は少数の人しか負担できない商品のままだ。
ローカルとクラウドは二者択一ではない。Microsoft が推進するのはハイブリッドモードで、単純なタスクはデバイス上に、複雑なタスクはクラウドに任せる。これはより現実的だが、境界をより複雑にする。ユーザーは AI がどのファイルを読んだかだけでなく、どの部分がサーバーに送られ、返ってきた結果がどの操作を引き起こしたかも知る必要がある。未来の信頼できる AI PC は、パッケージに「エッジ側処理」と書くだけでなく、このデータ経路を明確に説明できなければならない。
隔離室一つでは不十分だ。実行コンテナは良いスタートだが、すべての AI 操作を自動的に安全にするわけではない。隔離は事故発生時の範囲を縮小できるが、タスク自体が妥当かどうかをユーザーに代わって判断することはできない。指定フォルダへのアクセスのみ許可されていても、その中の間違ったバージョンを送信してしまうかもしれない。銀行カードの暗号番号を読めなくても、すでにログインしているショッピングサイトで間違った注文を出してしまうかもしれない。安全とは単に AI に一線を引くことではなく、人間がどの線を越えようとしているかを理解できるようにすることだ。
コンシューマー向け AI に真に必要なのは、「許可」と「不許可」より細かい認可体系だ。ユーザーはアプリケーション全体を永久に解放するのではなく、タスクレベルの権限を与えるべきだ。支払い、削除、公開などの不可逆的な操作には実行前確認が必要であり、システムは一般人が理解できる記録を残し、AI が何を開き、修正し、送信したかを示すべきだ。タスクが予期せぬ方向に逸れたら、直接的な停止ボタンと可能な限り完全な取り消し機能が必要だ。これらの設計は、AI をデモ動画ほど滑らかには見せないだろう。発表会での「ひとこと言えば、数百杯のコーヒーがすでに注文済み」という光景はインパクトがあるが、真に安心できる製品は、おそらく 200 杯目のコーヒーの支払い前に一度止まり、数量、配送先、総額を伝えるはずだ。
一度余分に確認することは効率を下げるように見えるが、人間が依然として最終決定者であるという事実を守る。自動運転にブレーキ、ダッシュボード、事故記録が必要なように、人間に代わってコンピューターを操作する AI にも同じことが言える。
真に成熟した自動化とは、人間をプロセスから完全に排除することではなく、結果を負うべき瞬間に人間を再び招き入れることだ。コンピューターが自ら働き始めた後、パーソナルコンピューター誕生以来最も安定していたルール、すなわち「人間の指示を待つ」というルールが書き換えられつつある。マウスが動かなければ、キーボードが鳴らなければ、マシンはそこに留まる。エージェントはこのルールを書き換えている。未来のコンピューターは、私たちが眠り、会議し、通勤している間も継続的に行動し、生活を記録するだけでなく、私たちに代わって生活に介入する。そのとき、コンピューターにとって最も重要な能力は、モデルがどれだけ速く動くかではなく、行動に境界があり、権限に理由があり、エラーを止める機会があるかどうかだ。
Windows が AI のために作ったこの隔離室は、したがって開発者だけの技術アップデートではない。それはすべての人に思い出させる。AI が真に日常生活に入る印は、また新しいスキルを習得したことではなく、OS がついに真剣にそれに備え始めたことだ。なぜなら、コンピューターがいつ AI に「ノー」と言うべきかを知ったときだけ、ユーザーはより多くのことを安心して任せられるからだ。私たちは常に、未来において自分でやるべきことは何かを議論している。答えは、すべてのボタンを自分でクリックし続けることではなく、どのボタンを代わりに押させるかを決める権利を留保することかもしれない。
AI はコンピューターに住み、人が離れた後も働き続けられるが、その部屋にはドアと鍵があり、スイッチは常に人間の手に握られていなければならない。
項目 仕様 プロセッサー Surface Laptop Ultra 最大 128GB ユニファイドメモリ搭載 価格 US$2,599 (約 HK$20,272) から US$5,899 (約 HK$46,012) まで