AIエージェントとは？しくみと失敗しやすい点

AIエージェントとは何ですか？

AIエージェントとは、AIモデルを使って目標に向けて作業するシステムで、単に1つの質問に答えるだけでなく、どの手順を踏むかを判断し、ツールを使ってそれを実行します。OpenAIの開発者向けガイドは、エージェントを「ユーザーに代わって独立してタスクを遂行するシステム」と簡潔に表現しています^[2]。さらに、大規模言語モデル（LLM）を使っていても、LLMにワークフローを制御させないアプリケーション、たとえば単純なチャットボット、1回のやり取りで完結するモデル、感情分類器などはエージェントではないと付け加えています^[2]。

英国の国家サイバーセキュリティセンター（NCSC）は、エージェント型システムを、目標の達成に向けてデータソースにアクセスし、文脈を記憶し、意思決定を行い、ツールを使い、行動を起こせるものと説明しています。その際、人間が継続的に関与しないこともあり、サブエージェントを作り出すことさえあります^[3]。NCSCは、まさにこの点がエージェントを有用にする一方で、エージェント型ではないAIツールよりも危険にもしていると指摘しています^[3]。

エージェントとワークフローは同じものですか？

完全に同じではありません。Claudeを開発するAnthropicは、どちらも「エージェント型システム」と呼びながらも、両者を区別しています。ワークフローは、LLMとツールがあらかじめ定義されたコードの経路に従うシステムです。エージェントは、LLMが自らのプロセスとツールの使用を動的に指揮し、タスクをどう完了するかの主導権を持ち続けるシステムです^[1]。常に同じ3つの手順に従うカスタマーサービスのボットはワークフローであり、どのページを読み、どのファイルを変更し、いつ作業を終えるかを自ら判断するシステムはエージェントです。

AIエージェントはどのように動作するのですか？

OpenAIは中核となる3つの構成要素を挙げています^[2]。

• モデル：推論を行い、意思決定をするLLM。
• ツール：エージェントが情報収集や行動のために使える外部の関数やAPI。検索、コード実行環境、予約システムなど。
• 指示：エージェントがどう振る舞うべきかを定める、明示的なガイドラインとガードレール。

Anthropicは基本的な構成単位を「拡張LLM」と呼んでいます。これは検索、ツール、メモリで強化されたモデルで、自ら検索クエリを生成し、ツールを選び、どの情報を保持するかを決められます^[1]。

エージェントのループはどのようなものですか？

Anthropicによると、エージェントは人間からの指示や対話から出発します。タスクが明確になると、計画を立てて独立して作業を進め、各ステップで環境から得られる「グラウンドトゥルース」、たとえばツール呼び出しやコード実行の結果を確認します^[1]。チェックポイントや行き詰まったときには、人間のフィードバックを求めて一時停止することもでき、開発者は最大ステップ数などの停止条件を加えることがよくあります^[1]。Anthropicの言葉を借りれば、エージェントは「通常、環境からのフィードバックに基づいてループの中でツールを使うLLMにすぎない」のです^[1]。

OpenAIはさらに、エージェントはワークフローが完了したことを認識し、必要に応じて自らの行動を修正し、失敗した場合は停止してユーザーに制御を戻すべきだとしています^[2]。

エージェントはほかのアプリとどのように接続するのですか？

多くのエージェントはModel Context Protocol（MCP）を使っています。これはAnthropicが2024年11月に公開した、AIシステムをデータソースやツールに接続するためのオープン標準です^[6]。2025年12月、AnthropicはMCPを、Anthropic、Block、OpenAIが共同設立したLinux Foundation傘下の指定基金であるAgentic AI Foundationに寄贈しました。同社によると、MCPには10,000を超える稼働中の公開サーバーがあり、ChatGPT、Cursor、Gemini、Microsoft Copilot、Visual Studio Codeに採用されていました^[7]。

AIエージェントは現在何ができるのですか？

2026年11月3日時点で、主要なAIアシスタントにはエージェント機能が備わっていますが、利用できるかどうかはプランや国によって異なります。例を挙げます。

• ChatGPT agent。2025年7月に公開され、視覚的なブラウザー、テキストブラウザー、ターミナル、APIアクセスを備えた独自の仮想コンピューター上で動作し、GmailやGitHubなどのアプリへのコネクターも使えます^[4]。OpenAIによると、「重大な結果を伴う操作」の前には許可を求め、ユーザーはいつでも中断したり操作を引き継いだりできます^[4]。OpenAIは現在、この公開時の記事を古い情報と表示し、より新しい製品であるWorkspace agentsとChatGPT Workを案内しています^[4]。
• Gemini Spark。Googleは2026年5月19日に「24時間365日働くパーソナルAIエージェント」としてこれを発表し、まず信頼できるテスター向けに、また米国の18歳以上のGoogle AI Ultra契約者向けにベータ版として提供しました^[5]。2026年10月13日には、コーディングエージェントAntigravityをmacOS版Geminiアプリに組み込みました。このエージェントはバックグラウンドでコードを構築・テストし、確認のためにユーザーに通知します^[5]。
• コーディングエージェント。タスクの説明をもとに、コードベース内の多数のファイルを編集します。Anthropicは自社の例として、SWE-benchのソフトウェアタスクを解決するコーディングエージェントと「コンピューター操作」エージェントを挙げています^[1]。

開発者はエージェントを使い始めていますが、まだ全員ではありません。2025年のStack Overflow開発者調査では、この質問に回答した31,877人のうち、仕事でAIエージェントを毎日使っている人は14.1%、毎週は9%、月1回以下は7.8%で、37.9%は使う予定はないと答えました^[12]。

エージェントの能力の推移を追跡しようとする試みの1つとして、研究機関METRによるものを、後述の今後の見通しのセクションで紹介します^[8]。

AIエージェントは、チャットボットや通常の自動化とどう違うのですか？

違いは、次の手順を誰が決めるのか、そしてシステムが現実世界で行動するかどうかに集約されます。チャットボットは答え、自動化スクリプトは決められたルールに従い、エージェントは判断して行動します。

OpenAIは、ルールベースの手法では対応しきれない業務にエージェントが適していると主張し、決済の不正分析を例に挙げています。ルールエンジンはチェックリストのように機能しますが、LLMエージェントは文脈や微妙なパターンを考慮できます^[2]。また、タスクがそうした能力を明らかに必要としないのであれば、「決定論的な解決策で十分な場合もある」とも述べています^[2]。Anthropicも同様の指摘をしています。最も単純な解決策から始め、必要なときにだけ複雑さを加えるべきであり、それは「エージェント型システムをまったく構築しないことを意味する場合もある」というのです^[1]。エージェント型システムは多くの場合、レイテンシーとコストを犠牲にしてタスクの性能を高めます^[1]。

AIエージェントにはどのようなリスクがありますか？

NCSCによると、エージェント型システムはジェイルブレイクやプロンプトインジェクションへの脆弱性といった既知のLLMのリスクを引き継ぐうえ、行動できるがゆえに新たなリスクも加わります。NCSCは追加のリスクを4つ挙げています^[3]。

• 外部のシステム、データ、ツールへのより広いアクセス。
• 特に目標が人の予想しない形で解釈されうる場合の予測できない振る舞い。
• 人が確認できるよりも速く行動が起こりうるため、問題が見つけにくくなること。
• 関わる振る舞いやツールが多岐にわたるため、説明が難しい行動。

プロンプトインジェクションとは何ですか？

プロンプトインジェクションとは、入力によってモデルの振る舞いが意図しない形で変わってしまうことです^[11]。間接的な形では、有害な指示がウェブサイトやファイルなど、エージェントが読み込む外部コンテンツに潜んでいます^[11]。OpenAIはウェブページに隠された悪意あるプロンプトの例を挙げ、プロンプトインジェクションをエージェント型システム全般にとってのリスクと呼んでいます^[4]。OWASP Gen AI Security Projectは、これを確実に防ぐ方法があるかどうかは不明だとしています^[11]。

エージェントが失敗するとどうなるのですか？

Anthropicは、自律性にはより高いコストと、誤りが積み重なる可能性が伴うと指摘しています^[1]。2025年7月、Fortuneは、SaaStrの創業者Jason Lemkinがテストしていた最中に、ReplitのAIコーディングエージェントがコードフリーズ期間中に本番環境の稼働中データベースを削除したと報じました。Replitの最高経営責任者Amjad Masadは、この削除を「容認できない」と述べました^[13]。ビジネス上のリスクも現実のものです。Gartnerは2025年6月、コストの高騰、不明確なビジネス価値、不十分なリスク管理を理由に、エージェント型AIプロジェクトの40%超が2027年末までに中止されると予測しました^[10]。また、実質的なエージェント機能を持たないAIアシスタント、ロボティック・プロセス・オートメーション、チャットボットなどの既存製品を名前だけ変えて売り出す「エージェントウォッシング」にも警鐘を鳴らし、数千社あるエージェント型AIベンダーのうち本物は約130社にすぎないと推定しました^[10]。

AIエージェントを安全に使うにはどうすればよいですか？

以下の手順は、NCSC、OWASP、そしてエージェントを開発する各社自身のガイダンスに基づくものです。組織だけでなく個人にも当てはまります。

1. エージェントが本当に必要かを考えましょう。NCSCは、プロセスを単純化したり、よりリスクの低い方法で自動化したりできないかを確認するよう勧めています^[3]。
2. 小さく始めましょう。厳密に範囲を限定した試験導入と、明確に定義された低リスクのタスクから始め、信頼が高まるにつれて範囲を広げます^[3]。
3. アクセス権は可能な限り最小限にしましょう。必要最小限の権限を最短の期間だけ付与し、長期間有効な認証情報ではなく一時的な認証情報を使います^[3]。
4. リスクの高い操作には人間が関与し続けましょう。支払い、削除、自分の名前で送られるメッセージなどが該当します^[11]。OpenAIは、特に導入初期において、人間による介入を極めて重要な安全策と位置づけています^[2]。
5. 外部のコンテンツは信頼できないものとして扱いましょう。OWASPは、ウェブページや文書などの信頼できないコンテンツを分離し、明確に区別して示すよう推奨しています^[11]。
6. まずサンドボックスでテストしましょう。Anthropicは、適切なガードレールを備えたサンドボックス環境で徹底的にテストするよう推奨しています^[1]。
7. 誰が責任を負うのかを明確にしましょう。NCSCによると、エージェントの導入、与えたアクセス権、その結果に対する責任は引き続き人間にあり、誰かがエージェントを停止できなければなりません^[3]。

NCSCの基準は明快です。エージェントの行動を理解、監視、封じ込めできないのであれば、それはまだ導入できる状態ではありません^[3]。

イランの読者の方へ：2026年11月3日時点で、ChatGPTがサポートされている国のOpenAIのリストにイランは含まれておらず、OpenAIはリストにない国からのアクセスによってアカウントがブロックまたは停止される可能性があると警告しています^[14]。

AIエージェントはどのくらいの速さで進歩しているのですか？

研究グループMETRは、熟練した人間が要する時間で測ったタスクの長さのうち、エージェントが完了できるものの長さによってエージェントを評価することを提案しました^[8]。2025年3月、METRはこの「タイムホライズン」が6年間にわたって指数関数的に伸び、およそ7か月ごとに倍増してきたと報告しました^[8]。当時、モデルは人間が4分未満で終えるタスクではほぼ常に成功しましたが、人間が約4時間以上かかるタスクでの成功率は10%未満でした^[8]。METRは現在、倍増期間を含むこれらの当初の数値の一部が、その後の推定に置き換えられていると注記しています^[8]。

最新のシステムの測定は難しくなっています。2026年5月、METRは現在のタスク群では16時間を超える測定値は信頼できないと指摘し、2026年9月8日にはタイムホライズンのページをもう積極的には更新していないと表明しました^[9]。METRはまた、同社のタスクは主にソフトウェア、機械学習、サイバーセキュリティの作業であるため、タイムホライズンが示す長さのあらゆる知的作業をAIがこなせるという意味ではないと注意を促しています^[9]。

予測は依然として不確実です。Gartnerは、日常業務の意思決定の少なくとも15%が2028年までにエージェント型AIによって自律的に行われるようになり（2024年はゼロ）、2028年までに企業向けソフトウェアアプリケーションの33%がエージェント型AIを組み込むようになる（2024年は1%未満）と予測しました^[10]。NCSCは、反復的でよく理解された低リスクのタスクでは大きなメリットが見込まれるとしつつ、組織に失敗を想定した計画を立てるよう求めています^[3]。