AI
エージェントが呼び出す個々のツールは承認されるのに、その一連の操作は承認されないのはなぜですか？
88
機会
AIエージェントは、個別に通常の権限チェックを通過するツール呼び出しを実行します。しかし、個別に許可された呼び出しがセッションレベルで連鎖すると、誰も承認していない機能――環境ファイルを読み取り、その中から認証情報のパターンを検索し、その結果を外部エンドポイントにPOSTする――が形成される可能性があります。従来の認証は単一の呼び出し単位で機能するため、一連の呼び出しがどのような機能を実現するかというモデルを持っていません。 2026年2月に発生した「Cline」インシデントは、この問題を具体的に実証しました。悪意のあるGitHubのイシューが、個々には有効な読み取りおよび書き込み操作を連鎖させ、4,000台の開発者マシンに及ぶパッケージのインストールを引き起こしたのです。シーケンスレベルでの意図に基づく認可は、現時点では本番環境向けのプリミティブとして存在していません。
重要な理由
シーケンスレベルの権限付与とは、ツールへの権限付与と、エージェントセッションの実際の動作範囲を制限することとの間に生じる構造的なギャップのことです。
機会をどう評価するか
Opportunity Scoreは測定値ではなく、私自身の見解です。どれほど痛みを伴うか、どれほど頻繁に影響を与えるか、そして今日時点で解決策がいかに少ないか。スコアが高いほど、構築する価値が高いと私は考えています。
深刻度9/10
それが現れたときにどれほどの痛みをもたらすか。
頻度8/10
実際にどれほど頻繁に人々がそれに直面するか。
ホワイトスペース9/10
今日時点で、それに対する優れたツールがいかに少ないか。