コンピューターはかつて、人が離れると作業を継続することはほとんどなかった。画面を閉じて食事に行くとき、ドキュメントはカーソルが点滅する場所で止まり、メールは下書きフォルダに眠ったままだった。しかし、AI エージェントが描く未来では、コンピューターはもはや静かに主人を待つことはない。会議中に資料を検索し、フォームに入力し、レポートを作成し、さらには夕食のレストランまで予約しておく。あなたが再び画面の前に座ったときには、仕事はすでに数歩前進している。これは間違いなく素晴らしいことのように聞こえるが、問題はまさにここから始まる。AI が間違ったファイルを開き、未公開の企画を間違った相手に送信したり、「重複」と判断したファイルを削除して二度と取り戻せなくしたりした場合、それは誰の操作なのか？
ある AI がハードディスクを読み取り、ブラウザー、メール、企業システムにアクセスできるとき、私たちは何によってそれが指示されたことだけを行うと信じられるのか？
Microsoft が最近示した答えは非常に興味深い。AI を真に Windows に導入する前に、まずこれらのエージェントのために隔離室を用意した。過去 2 年間、人々はコンピューター上で AI とチャットすることに慣れてきた。AI は質問に答え、文面を書き換え、ウェブページを要約するが、ほとんどの場合、その能力は比較的安全な境界内に留まっている。あなたが何をコピーして渡せば、それだけを処理する。送信ボタンを押さなければ、通常は何もできない。エラーが起きても、最も一般的な結果は画面上に信頼できないテキストが増えるだけだ。
エージェントはこの境界を変えた。もはや人が材料を持ってくるのを待つだけではなく、自ら材料を探し、ツールを呼び出し、操作を完了する。
Microsoft、セキュリティ強化のため AI 実行コンテナを発表
経費精算書を一枚まとめるために、メールを開いて領収書をダウンロードし、画像内の金額を認識し、会社の財務システムにログインして提出する必要があるかもしれない。ある手順を完了するために、コードを書くだけでなく、プロジェクト文書を読み取り、コマンドを実行し、依存関係をインストールし、さらにはインターネットでドキュメントを検索する。AI が真のアシスタントに近づくほど、必要な権限もコンピューターの前に座る真の人間に近づく。従来のコンピューター権限体系は、このような状況のために設計されていない。画像編集ソフトには写真が、ビデオ会議にはマイクが必要で、ユーザーは少なくとも大まかに自分が何を許可したかを知っている。
しかし、エージェントが直面するのは固定された機能ではなく、その場で生成される一連の行動だ。今日は表を作るためにダウンロードフォルダを読み取り、明日は「お掃除を手伝う」ためにハードディスク全体に触れる。
単純な「アクセスを許可」では、認可がどのくらい続くのか、どこまでできるのか、データがどこに持ち出されるのかを説明することは難しい。これが、AI セキュリティの焦点が「デタラメを言うか」から「勝手なことをするか」へと移った理由だ。チャットボットが問題を間違えても、ユーザーには行動前に気づく機会がある。しかし、エージェントが答えを直接操作に変える瞬間、エラーは画面を超えて、現実のファイル、アカウント、資金に降りかかる。AI に行動能力を与えながら、依然として過去のような「一度許可すれば長期有効」という権限ロジックを使い続けるのは、家の鍵を臨時アシスタントに渡して「勝手なことはするな」と一言釘を刺すだけに等しい。
Microsoft は 10 月 7 日、Microsoft Execution Containers、すなわち AI エージェント向けの実行コンテナを正式に発表した。この名前は技術的に聞こえるが、解決しようとしている問題は理解しやすい。
1 つのエージェントをコンピューター全体で自由に動かすのではなく、まず別室の作業スペースに入れ、タスク完了に必要なファイル、ツール、ネットワーク入り口だけを置く。部屋の中でコードを書き、プログラムを実行し、データを処理できるが、曖昧な指示一つで隣の引き出しを勝手に開けることはできない。Microsoft はこの仕組みを 3 部分に分けている。隔離はエージェントが触れられるデータとシステムリソースを制限し、アイデンティティは操作がユーザー本人によるものか、ユーザーに代わって働く AI によるものかを区別し、管理は企業がルールを設定し、リスクを監視し、権限を取り消せるようにする。
真に重要なのは「閉じ込める」ことではなく、AI の行動を識別可能にし、追跡可能にし、取り消し可能にすることだ。
アイデンティティは特に重要だ。人間と AI が同じアカウントと権限を共有すると、責任はたちまち曖昧になる。あるメールがユーザー本人が送ったのか、過度に広い指示に従って AI が代理送信したのか。プログラムが意図せずクラッシュしたのか、エージェントが自ら終了させたのか。システムが両者を区別できなければ、ログがどれほど完璧でも、最も基本的な問いに答えることは難しい。AI に固有のアイデンティティを与えることは、臨時社員に期限付きの入館カードを渡すようなものだ。依然としてあなたの代理で仕事をするが、あなたと同じ権力を持つ必要はない。タスクが終われば入館カードを無効化でき、リスクがあれば個別に凍結できる。
この仕組みは、画像生成や自動コーディングほど派手ではないが、AI がデモの舞台上にしか現れられないのか、それとも仕事と生活が詰まった真のコンピューターに入る資格を得られるのかを決める。Microsoft だけがこの鍵を補い始めたわけではない。以前、Apple も、フルディスクアクセスなどの高感度権限により明確な制御を追加すると表明しており、理由も同様に AI エージェントがメール、メッセージ、閲覧履歴、大量のプライベートファイルに触れる可能性があるためだ。両社の技術的アプローチは異なるが、方向性はすでに非常に近い。OS は AI を普通のアプリとして扱い続けることはできない。なぜなら、AI はアプリを呼び出すことも、複数のアプリを横断して一つのことを成し遂げることもできるからだ。
過去の権限管理は「このソフトが写真にアクセスできるか」を問うものだった。未来の権限管理は、「なぜアクセスするのか、どこまでアクセスできるのか、今回だけか永遠か」を問い続けるものでなければならない。
実行コンテナとともに現れたのが、問題を如実に物語る 1 台のコンピューターだ。Surface Laptop Ultra は最大 128GB のユニファイドメモリを搭載し、公式によると 1,200 億パラメータを超えるモデルをローカルで実行できる。過去クラウドでしかできなかったタスクの一部が、パーソナルコンピューター上に留められるようになりつつある。プライバシーを重視するユーザーにとって、これは最も直感的な答えのように見える。データをアップロードしなければ、当然より安全だ。しかし、「ローカル」が解決するのはデータがデバイスから出ていく問題であり、デバイス内部で AI が何に触れられるかという問題を自動的に解決するわけではない。
完全にオフラインのエージェントであっても、ハードディスク全体を読み取り、任意のコマンドを実行できれば、誤ってファイルを削除したり、入るべきでないディレクトリから情報を抜き取ったりする可能性がある。モデルをサーバーからコンピューターに移しただけでは、データ移動の距離が縮まったに過ぎない。真にセキュリティ境界を決めるのは、依然として権限、隔離、操作記録だ。
ローカル AI には、より見落とされやすいもう一つの代償がある。価格だ。Surface Laptop Ultra の価格は US$2,599 (約 HK$20,272) から US$5,899 (約 HK$46,012) まで幅があり、大容量メモリ版は明らかに大衆向け製品ではない。NVIDIA がローカル AI 開発向けに提供する DGX Spark も、メモリコストの上昇により価格が US$6,950 (約 HK$54,210) に引き上げられた。モデルが大きくなれば必要なメモリと帯域幅も増えるため、「データを自分の手元に置く」ことは、誰もが享受できる能力ではなく、高価なハードウェア構成へと変わりつつある。
これはやや気まずい状況を生む可能性がある。高性能コンピューターを買える人は、より多くの機密タスクをローカルに留められる。一般ユーザーは引き続きクラウドモデルに依存し、プラットフォームのプライバシーポリシーと引き換えに利便性を得る。ローカル AI は単なる性能ルートの違いではなく、新たなプライバシー価格格差になるかもしれない。真に使えるローカルモデルが数千ドルのデバイスにしか存在しないなら、この安心感はごく少数の人しか負担できない商品のままである。
ローカルとクラウドは二者択一ではない。Microsoft が推進するのはハイブリッドモードで、単純なタスクはデバイス上で、複雑なタスクはクラウドに任せる。これはより現実的だが、境界をより複雑にする。ユーザーは AI がどのファイルを読んだかだけでなく、どの部分がサーバーに送られ、返ってきた結果がどの操作を引き起こしたかまで知る必要がある。未来の信頼できる AI PC は、パッケージに「エッジ処理」と書くだけでなく、このデータ経路を明確に説明できなければならない。
隔離室 1 室では足りない。実行コンテナは良いスタートだが、すべての AI 操作を自動的に安全にするわけではない。隔離は事故発生時の範囲を狭めるが、タスク自体が妥当かどうかをユーザーに代わって判断することはできない。指定フォルダのみへのアクセスを許されたエージェントでも、中身の間違ったバージョンを送信してしまうかもしれない。銀行カードの暗証番号を読めなくても、すでにログインしているショッピングサイトで誤発注してしまうかもしれない。セキュリティは単に AI に一線を引くことではなく、人間がどの線を越えようとしているかを理解できるようにすることでもある。
コンシューマー向け AI に真に必要なのは、「許可」と「不許可」より細かい認可体系だ。ユーザーはアプリ全体を永久に解放するのではなく、タスク単位の権限を与えるべきだ。支払い、削除、公開などの不可逆的な操作には実行前確認が必要だ。システムは一般人が理解できる記録を残し、AI が何を開き、修正し、送信したかを示すべきだ。タスクが予期せぬ方向に逸れたら、直接的な停止ボタンと、可能な限り完全な取り消し機能が必要だ。これらの設計は、AI をデモ動画ほど滑らかには見せないだろう。発表会で「ひと言話せば、数百杯のコーヒーがすでに注文された」という光景はインパクトがあるが、真に安心できる製品は、おそらく 200 杯目の支払いの前に一度止まり、数量、配送先、総額を伝えるはずだ。
ワンクッション置くことは効率を下げるように見えるが、人間が依然として最終決定者であるという事実を守る。自動運転にブレーキ、ダッシュボード、事故記録が必要なように、人間に代わってコンピューターを操作する AI にも同じことが言える。
真に成熟した自動化とは、人間をプロセスから完全に排除することではなく、結果を負うべき瞬間に人間を再び招き入れることだ。コンピューターが自ら働き始めた後、パーソナルコンピューター誕生以来最も安定していたルール、すなわち「人間の指示を待つ」というルールが書き換えられつつある。マウスが動かなければ、キーボードが鳴らなければ、マシンはそこに留まる。エージェントはこのルールを書き換えている。未来のコンピューターは、私たちが眠り、会議し、通勤している間も継続的に行動する。それは生活を保存するだけでなく、私たちに代わって生活に介入する。そのとき、コンピューターにとって最も重要な能力は、モデルがどれだけ速く動くかではなく、行動に境界があり、権限に理由があり、エラーを止める機会があるかどうかだ。
Windows が AI のために用意したこの隔離室は、したがって開発者だけの技術アップデートではない。それはすべての人に思い出させる。AI が真に日常生活に入る印は、新たなスキルを身につけたことではなく、OS がついに真剣にそれを警戒し始めたことだ。コンピューターがいつ AI に「ノー」と言うべきかを知ったとき、ユーザーは初めて安心してより多くのことを任せられる。私たちは常に、未来において自分でやるべきことは何かを議論している。答えは、すべてのボタンを自分で押し続けることではなく、どのボタンを代わりに押させるかを決める権利を留保することかもしれない。
AI はコンピューターに住み、人が離れた後も働き続けられる。だが、その部屋にはドアと鍵があり、スイッチは常に人間の手の中にあるべきだ。
項目 仕様 プロセッサー Surface Laptop Ultra 最大 128GB ユニファイドメモリ搭載 価格 US$2,599 (約 HK$20,272) から US$5,899 (約 HK$46,012) まで