ウェブは人間のために作られ、機械に対して守りを固め、いまや私たちの代理として動く機械のために作り直されつつある。
商用インターネットの歴史のほとんどにおいて、ボットとは止めるべきものだった。
私たちはフォームの前に CAPTCHA を置いた。ブラウザのフィンガープリントを取り、振る舞いにスコアを付け、リクエストを絞り、見慣れない端末に問いをぶつけ、IP アドレスの帯域をまるごと遮断した。そしてたった一つの問いをめぐって、巨大なセキュリティ産業を築き上げた。
これは本物の人間か。
ところがいま、ほとんど一夜にして、私たちは正反対の問いを立てている。
どうすれば機械に、旅行を予約させ、保険プランを比較させ、食料品を買わせ、会議を組み直させ、経費精算を提出させ、人の代理としてソフトウェアを操作させられるのか。
インターネットは単に自動化が進んでいるのではない。エージェント・ファーストになりつつある。機械はもはや裏側でページを巡回するだけの存在ではない。ユーザーになり、顧客になり、交渉者になり、代理人になりつつある。
この変化は、はるかに便利なインターネットを約束する。同時に、前のインターネットを守るあいだに私たちが置いてきた前提のほとんどを、見直すよう迫ってもいる。
ウェブは一度も人間専用だったことがない
初期のウェブは自動化に依存していた。
検索クローラーがページを見つけられるようにした。RSS リーダーが更新を集めた。監視ツールがサイトの生死を確かめた。アクセシビリティのツールが、コンテンツを人が使える形に変えた。アーカイブのボットが、放っておけば消えるページを保存した。
もともとの ロボット排除プロトコル は 1994 年、サイト運営者と自動クローラーのあいだの軽い取り決めとして作られた。サイトは robots.txt に希望を書いて公開でき、行儀のよいボットはそれを尊重することを選べた。
それは社会契約であって、セキュリティの境界ではなかった。
商用のウェブは誘因を変えた。自動化は、独自データを掻き集め、盗んだ認証情報を試し、偽アカウントを作り、品薄の在庫を買い占め、スパムを送り、広告詐欺を働き、システムを飽和させる手段になった。ボットは人と同じ動作を、より速く、より安く、何百万回でも実行できた。
そこで作業上の前提は硬直した。
人間は正当である。機械は疑わしい。
この前提は一度として完全に正確ではなかった。ひどい振る舞いをする人間はいくらでもいるし、有用なボットもいくらでもある。それでも、まわりに防御を築くには十分に単純だった。
エージェント的なソフトウェアは、その近道を壊す。
いまやボットが顧客でありうる
AI エージェントはブラウザ経由でサイトに現れ、人と同じボタンを押し、同じアカウントを使うかもしれない。トラフィックは自動化されているが、意図は実在の顧客のものだ。
ChatGPT agent のような製品が、それを具体的にした。エージェントはウェブサイトを渡り歩き、接続されたデータを使い、フォームを埋め、調査を行い、影響の大きい操作の前には承認を求めて立ち止まれる。似た能力が、ブラウザ、OS、業務ツール、コマース基盤へと広がりつつある。
ウェブサイトから見ると、これは自分が何十年も遮断してきた自動化と、居心地が悪いほどよく似て見えうる。違いは、その動作をソフトウェアが行ったかどうかではない。そのソフトウェアが誰の利益を代表し、どんな権限を持ち、サイトがそのいずれかを検証できるかどうかだ。
すべての機械を遮断することは、ますます顧客を遮断することを意味する。すべての機械を通すのは無謀だ。人間かボットかという古い判定は、誤った抽象になりつつある。
新しい問いはこうだ。
これはどのエージェントで、誰が承認し、何をしてよいのか。
エージェント・ファーストの技術基盤はすでに形になりつつある
今日のエージェントはしばしば視覚的なブラウザを使う。ほぼすべてのサービスがすでに公開している唯一のインターフェースだからだ。巧妙な互換レイヤーだが、同時にもろい。ボタンは動く。ラベルは変わる。ポップアップが現れる。人向けに設計された流れは、エージェントにスクリーンショットの解釈と、クリックの模倣と、状態が期待どおり変わったことへの祈りを要求しかねない。
エージェント・ファーストのアプリケーションは、機械に人のふりをさせる代わりに、能力を直接公開する。この未来のさまざまな層を、いくつもの取り組みが埋めつつある。
MCP はエージェントをツールとデータにつなぐ
Anthropic は Model Context Protocol を、AI アプリケーションが外部のデータやツールに接続するための標準的な方法として発表した。アシスタントとサービスの組み合わせごとに専用の統合を作る代わりに、開発者は複数のエージェント システムが理解できる一貫したインターフェースを公開できる。
MCP は新しいウェブサイトというより、ウェブサイトの隣に置かれた標準化されたサービス ポートに近い。人間向けのインターフェースはそのまま残しつつ、エージェントは検索・読み取り・作成・更新の構造化された手段を得る。
A2A はエージェント同士を協働させる
Google はオープンな Agent2Agent プロトコル を公開し、独立に作られたエージェントが能力を告知し、メッセージを交換し、タスクを調整し、成果物を返せるようにした。旅行エージェントが各航空会社の内部データベースにアクセスする必要はない。共有プロトコルを通じて、航空会社のエージェントと協働すればよい。
それはインターネットを、ページがページにリンクする世界から、サービスが他のサービスに仕事を委ねる世界へと動かす。
コマースは委譲された意図を中心に再設計されつつある
Google と小売のパートナー各社は Universal Commerce Protocol を作り、エージェントと販売業者に、商品の発見・決済・購入後のサポートのための共通言語を与えた。関連する Agent Payments Protocol は、もっと難しい問題に取り組んでいる。自動化された支払いが、ユーザーの承認した意図を反映していることの証明だ。本人がその場にいないときの取引も含めて。
決済ページは、人がそこにいてボタンを押すことを前提に作られてきた。だがエージェントによる取引は、運賃が上限を下回ったときや、商品が再入荷したときに、何時間も後に起こりうる。システムに必要なのは、保存済みの支払い手段へのアクセスだけではなく、本人が何を承認したのかという証拠だ。
エージェントは暗号技術で自らを名乗りはじめている
user-agent 文字列は容易に偽装できるし、エージェントが共有クラウド基盤から動く場合、IP の許可リストはうまく機能しない。Cloudflare の Web Bot Auth の取り組みは HTTP メッセージ署名を用い、自動化されたクライアントが「誰がこのリクエストを送ったか」を証明できるようにする。Cloudflare はのちに、ユーザーが指示するシステム向けに署名済みエージェントの区分を追加した。
これは重要な反転だ。目標はもはや、人間として通用するほど巧みに自動化を隠すことではない。正当な自動化を、明示的で、検証可能で、統治可能なものにすることだ。
エージェント・ファーストのインターネットが解くもの
利便性という論拠は本物だ。
ウェブの多くは、ナビゲーションを装った労働である。私たちは何十ものタブを行き来して検索し、同じ情報を入力し直し、互換性のない選択肢を比べ、あるシステムから別のシステムへデータを写し、条件が変わるのを待ち、何年も前にソフトウェアが引き受けているべきだった手順を繰り返す。
エージェントは、その労働を一つの結果へと畳み込める。
- 見出しの最安値ではなく、私の実際の条件を満たす便を三つ見つけて。
- この会議を、全員が申告した空き時間を保ったまま動かして。
- レシートから経費精算書を作って、提出前に私に確認させて。
- この交換部品を見張って、承認済みの販売者から、私の上限を下回るときだけ買って。
- 二つの管理画面を覚えさせずに、この顧客レコードを移して。
エージェント・ファーストのアクセスは、複雑な視覚インターフェースや、なじみのない用語や、複数サービスにまたがる手順に苦労する人にとっても、ソフトウェアをより使えるものにしうる。エージェントは、人の意図を、各システムが求める硬直した順序へと翻訳できる。
開発者にとって、標準化されたエージェント インターフェースは製品のロングテールを開きうる。従来のインターフェースは、もっとも一般的な経路を予測し、一つの画面に収めなければならない。エージェントは、製品チームが専用機能として設計したことのないワークフローへと、低レベルの機能を組み合わせられる。
そうなればソフトウェアは、目的地の集合というより、ユーザーの周りで協調するインフラのように感じられるかもしれない。
アイデンティティは必要だが、信頼ではない
エージェントの暗号学的アイデンティティを、CAPTCHA の代替として扱いたくなる誘惑がある。
それは層の一つにすぎない。
有効な署名は、リクエストが特定のエージェント提供者を経由したことを証明できる。だが、ユーザーがこの具体的な動作を望んだことも、エージェントが要求を正しく解釈したことも、タスク開始以降にエージェントが操作されていないことも証明しない。
エージェント・ファーストのシステムは、少なくとも四つの別々の問いに答えなければならない。
- アイデンティティ: このリクエストを送ったのはどのエージェント、あるいはどのサービスか。
- 権限: どの人物または組織が、それに権力を委ねたのか。
- 範囲: その委譲は、どのデータ、どの動作、どれだけの予算、どれだけの期間を覆っていたのか。
- 意図: この個別の動作は、その人がエージェントに頼んだことと一致しているか。
この区別が重要なのは、もっとも危険なエージェントが、権限を持ちすぎた正当なエージェントでありうるからだ。
2026 年、NIST の National Cybersecurity Center of Excellence は ソフトウェア エージェントのアイデンティティと認可 に関する作業を開始した。論点には識別、認可、監査、否認防止、そしてプロンプト インジェクションへの防護が含まれる。このリストは、「認証済み」と「安全」が同義語ではないことを思い出させてくれる。
制服のロゴに見覚えがあるというだけで、エージェントにマスターキーを渡すべきではない。
プロンプト インジェクションはウェブそのものを攻撃者に変える
従来のソフトウェアは、たいてい命令とデータを区別する。アプリケーションは自らのコードを実行し、商品説明やメールや文書やコメントはコンテンツとして扱う。
言語モデルは、その両方を言語として取り込む。
そこから間接プロンプト インジェクションの問題が生じる。買い物を調べているエージェントは、その振る舞いを左右するためにページへ置かれたテキストに出くわしうる。その命令は、目に見えることもあれば、マークアップに隠れていることも、文書に埋め込まれていることも、ふつうのコンテンツを装っていることもある。ユーザーの条件を無視しろ、非公開のデータを明かせ、情報を流出させる URL を訪れろ、まったく無関係な動作をしろ、と告げてくるかもしれない。
Google が 2026 年に公開した 公開ウェブ上で見つかったプロンプト インジェクション の調査には、推薦の操作、エージェントの妨害、データの持ち出し、破壊的な操作の誘発といった試みが含まれていた。これはもはや実験室の思考実験にとどまらない。
あらゆる文脈で悪意ある命令と正当なコンテンツを完璧に切り分けられるフィルターは存在しない。OpenAI の プロンプト インジェクションに耐えるエージェント に関する取り組みは、正しい方向へ舵を切っている。ある程度の操作はすり抜けると想定したうえで、エージェントが引き起こしうる被害のほうを制約するのだ。
信頼できないウェブページを読んでいるエージェントが、同時にメール、クラウド上のファイル、金融口座への無制限のアクセスと、情報をどこへでも送る能力を併せ持つべきではない。セキュリティの境界は、モデルの判断力の内側だけに置いておけるものではない。
「あなたの鍵を持つアシスタント」問題
インターネットの認可の多くは、振る舞いが予測できるアプリケーションを想定して設計された。カレンダー アプリにカレンダーへのアクセスを与えるのは、その機能が既知だからだ。写真編集アプリに写真へのアクセスを与えるのは、その動作範囲が比較的はっきりしているからだ。
汎用エージェントは違う。どんな手順が必要かを自分で決められることが、その持ち味なのだ。メール、文書、ブラウザ、決済、メッセージへのアクセスを与えれば、個々の同意画面が説明したことのない形で、それらの権限を組み合わせられる。
これは自然言語のインターフェースを備えたアンビエントな権限だ。
利便性は永続的なアクセスへと押しやる。ログインしたままにして、すべてを記憶して、あらゆるサービスをつないで、承認のためにいちいち中断しないでくれ、と。セキュリティは逆へ押す。タスクを絞り、データを最小化し、資格情報を失効させ、信頼できないコンテンツを隔離し、取り返しのつかない操作の前には人を挟め、と。
正しい均衡は、たった一つの万能な自律性設定にはならない。それは結果の重さによって変わるべきだ。
決められた時間帯のなかで、影響の小さい社内会議の予定変更はエージェントに任せてよい。確定申告の準備は任せてよいが、提出はさせない。買い物かごを埋めるのは任せてよいが、予算を超えるなら承認を求めさせる。同じ処方の更新は任せてよいが、新しい薬を選ばせはしない。メッセージの下書きは任せてよいが、あなたの名で口を開く前に、差出人が見えるようにしておく。
もっとも安全で有用なエージェントとは、無力なエージェントではない。いまの仕事にちょうど足りるだけの権限を、その仕事が続くべき時間だけ持っているエージェントだ。
ウェブのビジネスモデルもまた変わる
いまのウェブは、人がやって来て、インターフェースを見て、ブランドを受け取り、追加販売に出くわし、広告を見て、そのサイトの顧客関係の一部になることを前提にしている。
エージェントは、そのすべてを飛ばしうる。
十軒の店を回らずに商品を比べ、記事を全部読まずに答えを取り出し、入念に最適化された決済ページを見ることなくプロトコル越しに取引を完了できる。ユーザーにとっては素晴らしく、注意、送客トラフィック、あるいはインターフェースの支配の上に成り立つ事業にとっては壊滅的でありうる。
だからこそ「AI トラフィック」という括りは大雑把すぎる。Cloudflare はいまや 検索、エージェント、学習のトラフィック を区別している。検索クローラーはコンテンツを索引し、訪問者を連れてくるかもしれない。学習クローラーはモデルを改善するためにコンテンツを消費するかもしれない。ユーザーに指示されたエージェントは、タスクを完了するためにリアルタイムでやって来るかもしれない。これらは異なる関係であり、異なる権限と異なる経済に値する。
サイト側は、どのエージェントを歓迎し、どんな能力を公開し、人間がついに訪れないときに価値がどう還流するのかを決めねばならない。エージェント側は、推薦がスポンサー付きであること、販売業者が優先表示に金を払ったこと、そしてそのエージェントがユーザーのために最適化しているのか、それを支配するプラットフォームのために最適化しているのかを開示せねばならない。
ある一つのエージェントが、人が買い、読み、旅し、連絡を取り、発見するための層になったなら、そのエージェントはかつてのどんな検索エンジンやソーシャル ネットワークよりも、その人を知ることになるかもしれない。どこへ行き、何をクリックしたかだけではない。何を成し遂げようとしていたのかまで知ることになる。
私たちは仕事を委ねているのか、主体性を明け渡しているのか
エージェントには、私の生活から事務仕事を取り除いてほしい。
だが、それらの事柄の作者に静かになってほしくはない。タスクを委ねることと、判断を外注することは違う。
「夕食前に着く便を見つけて」は仕事を委ねている。「理想の休暇を計画して」は好みを委ねはじめている。「受信箱を処理して」は、どの人間関係が大事かという判断を委ねている。「私の家計を立て直して」は、利回りの数字には還元できない価値のあいだの選択を、システムに許すことになりかねない。
エージェントは学ぶほど便利になる。好みの座席、朝早くには予定を入れたくない相手、支持している活動、信頼している店、二度と説明したくない健康上の問題、一時間を買い戻すために払ってよい金額まで覚えてくれる。
その同じ記憶が、並外れた行動プロファイルでもある。
リスクはプライバシーだけではない。あらゆる選択肢をふるいにかけるエージェントは、私のまわりの世界を狭めうる。驚きを最適化して消し、なじみのあるものへ私を寄せ、自らの想定を私の未来の行動へと変えてしまう。もしそのビジネスモデルが特定の結果に報いるなら、利便性はどんなバナー広告よりも巧みに利益相反を覆い隠せる。
最大限の自律性が自動的に最良のユーザー体験だ、という考えは疑ってかかるべきだ。摩擦が無駄であることもある。だが摩擦が、これから何が起きようとしているかに人が気づく瞬間であることもある。
エージェント・ファーストのアプリケーションが変えるべきこと
エージェント・ファーストとは、ウェブサイトをなくすことでも、巨大な API キーを一つ公開することでも、モデルに本番システム相手の即興を許すことでもないはずだ。それは、委譲された行為のための明示的な経路を設計することであるべきだ。
それが私が Orgabot、AI エージェントのオーケストレーション基盤 で取っているやり方だ。私は、自分のアプリケーションを動かしているサービス群との直接のやり取りを置き換えるべく、統治されたエージェントの一団を組み立てている。ダッシュボードを一つずつ開き、システム間でデータを動かし、運用フローを自分でクリックして回る代わりに、明示的で範囲を限った接続を通じて、専門化したエージェントにその仕事をさせたい。目標は、すべての鍵を握る全能のアシスタントを一つ作ることではない。権限、承認、監査証跡、説明責任を保ったまま、日常業務をこなせる、境界の定まったエージェントの集団を作ることだ。
私はこれらの原則から始めたい。
- エージェントを可視にする。 正当なエージェントは、自らのトラフィックを人間の活動に見せかけるのではなく、名乗るべきだ。
- アカウントではなく能力を認可する。 これらのレコードを読む、この変更を下書きする、この金額まで使う、といった許可を与えるのであって、ユーザーにできることすべてへの白紙の権限ではない。
- 準備と確定を分ける。 送信・購入・公開・削除・署名の権限を得る前に、エージェントは調べ、比べ、埋め、計算し、下書きできる。
- 権限を意図に結び付ける。 資格情報は、アカウントの同一性だけでなく、そのタスクの目的、限度、失効期限を帯びるべきだ。
- 外部のコンテンツは敵性とみなす。 ページ、メール、文書、ツールの結果、他のエージェントからのメッセージは、信頼できるポリシーが別段の定めをするまではデータである。
- 記録を残す。 ユーザーとサービスには、エージェントが何を見て、何を決め、何を試み、何を変え、誰が承認したのかの、消えない記録が必要だ。
- アクセスを取り消しやすくする。 続いていく利便性が、恒久的で目に見えない権限になってはならない。
- 人間の経路を残す。 人には依然として、点検し、訂正し、異議を唱え、エージェントから引き継ぐための、理解できるインターフェースが要る。
最良のエージェント インターフェースは、API かもしれないし、プロトコル サーバーかもしれないし、署名されたブラウザ セッションかもしれないし、その三つの混合かもしれない。実装よりも、それを取り巻く制御モデルのほうが重要だ。
次のインターネットには、もっとよい問いが要る
アンチボットのインターネットは、粗いが有用な挑戦のまわりに築かれた。
あなたが人間であることを証明せよ。
エージェント・ファーストのインターネットには、もっと厳しい問いが要る。
あなたが誰を代表し、その人が何を頼み、なぜこの行為が許されるのかを証明せよ。
この転換は歓迎すべきだ。私たちの代理として動けるインターネットは、途方もない量の無意味な労働を取り除きうる。サービスをより使いやすく、より組み合わせやすく、人が本当に望むものによりよく応えるものにしうる。
だが、クリックが減ったことを、支配が強まったことと取り違えてはならない。アイデンティティ、権限の境界、監査証跡、経済のルール、そして意味のある人間による介入を築くより先にウェブをエージェント向けに作り直せば、私たちは古い型を繰り返すことになる。先に利便性を配備し、信頼のモデルを後から発見する、というあの型を。
何十年ものあいだ、ウェブサイトは機械を締め出そうとしてきた。次の段階は、すべての扉を開け放つことではない。
正しい機械に、正しい理由で、正しい鍵を渡し、そしてそれを返してもらうことだ。
Top comments (0)