コーディングエージェントは普段リポジトリーの指示を守っていても、仕事に不要な権限を持ち得る。Mozilla AIが基盤の改善を求める理由は、文章の意図と技術的に強制された権限が別物だからだ。賢いモデルは判断を改善しても、誤判断時に残る境界を自動では作らない。
Mozillaの基盤論は、リポジトリーを調べ、ファイルを変え、コマンドとテストを実行し、プルリクエストを準備するエージェントを対象とする。委任は人の個別確認を観察・行動・修正の循環に圧縮する。完成量だけでなく、周囲が何を防ぎ、記録し、復旧できるかが問われる。
指示には役割があるが、実行境界ではない
指示は望む行動を述べ、モデルは解釈し、基盤は可能な操作を決める。この三責任を分ける必要がある。広くアクセスを与えてから自制を求めると、作業者を自分自身の主要制御にする逆転が起こる。
AGENTS.mdはビルド、テスト、慣例、安全情報をコードの近くに保つことで調整を助ける。報道時点のサイトは6万超のオープンソース案件での採用を報告した。共有・版管理された指示は製品間で運べ、入れ子のファイルは大規模リポジトリーのサービス別要件を示せる。
それでもモデルが関連ファイルを見つけ、重複を解決し、仕事へ適用し、長い実行中に保持しなければならない。不完全な記載、切れた文脈、入れ子の矛盾、広すぎる例外解釈はその連鎖を弱める。Markdown自体はシェル、通信、クラウド、パッケージ登録先、本番DBを制限しない。
「機能ブランチから公開しない」「認証変更は承認後」「このディレクトリーだけ読む」は意図を示す。ファイル境界、通信規則、承認サービスが該当制限を実行する。単純なファイル規則で表現できない文脈も必要であり、指示の価値を下げずに役割を分ける考えだ。
便利な自律性ほど普通の誤りの影響が増す
統合テストの修正が環境ファイル確認、サービス起動、依存導入、スナップショット再生成へ広がることがある。曖昧な仕事は意図した範囲を超える。悪意がなくても、破壊的な掃除を通常手順と思い、認証情報を使い捨てと考え、Issueや依存関係の文を信頼し得る。
処理対象データに敵対的な指示を置くプロンプト注入は、この問題を強める。自然言語の注意は役立つが、他の言語が信頼できるか判断するのは同じモデルだ。外部境界が判断失敗後の結果を狭める。
原文が参照するサンドボックス構成では、信頼するハーネスをモデル指示でコマンドが動く環境から分離する。承認、追跡、復旧、状態を実行コンテナー外に置き、組織の全認証情報・資源を自動継承せず作業できる。
文書更新にパッケージ公開キーは不要で、一サービスの修復に無関係なリポジトリー、テスト作成に本番DB権限も不要だ。これはプロンプトだけでなく、許される操作と届く資源という実行能力の判断である。ローカルPCもコード、ブラウザーセッション、クラウド認証、個人文書、署名鍵を持ち得る。管理者でなくても一つの過大権限は重大だ。
制御品質は隠れた実装ではなく製品の一部になる。基盤・安全チームは無限の権限なしに有益な委任を支える必要がある。提供者と個人開発者にも、モデルの点数で答えられないID、認証、承認、ログ、復旧の問いがある。
モデルの説明の外側で方針と認可を扱う
信頼する制御プレーンはアクセス、経路、予算、方針、運用状態を管理する。モデルが提案し別層が可否・方法を決める。実行ごとのIDで人や他の自動処理と区別し、指定ファイル、コマンド、サービス、通信先への仕事限定権限は蓄積せず失効させる。
原文のサンドボックス安全指針は隔離、外向き通信制限、認証分離、仲介アクセスを説明する。信頼プロキシが許可先だけへ認証情報を付ければ、実行側は再利用秘密を見ずに要求できる。生成コードが環境を表示しても長期本番キーを出す必要がなく、取消も各作業領域でなく仲介側で行える。
ツール仲介は引数検証、危険パス拒否、流量制限、承認を担える。Mozillaのmcpd方針プラグインは認証、検証、流量制限、ログをエージェントとサーバー間へ置く。Model Context Protocolがファイル、DB、外部アプリを公開するため、各エージェントの正確な再現を信じず一貫制御できる。
承認には権限あるIDと、モデルが捏造できない外部状態も要る。単なる文脈内メッセージなら不信な資料が模倣できる。「トークンを節約」は助言だが強制予算は長引く循環でも上限になる。複数の子エージェントは一つのチャットを見守る人より早く費用を増やし、仕事・チーム・提供者・成果別上限が重要になる。
全段階の承認は不要だ。閲覧や一時ブランチでの変更は通常処理にでき、公開、配備、権限変更、顧客連絡は明示認可を求め得る。同じコマンドも隔離テストなら許し本番なら禁じ、文書向け通信だけ許可し未知先を拒否できる。低リスクを何度も止めれば委任を損ない、何も止めなければ重大判断をモデルに残す。
未完了の仕事でも監査と復旧が機能する必要がある
エージェントの説明は入力、権限、変更、再試行、拒否の完全記録ではない。監査は各操作を実行、方針版、ツール版、承認状態、ID、入力、結果へ独立して結び付けるべきだ。禁止操作を三回試してから許可経路へ進む場合と、最初から正しく進む場合は違う。
事故後に方針や認証が変わっても記録から当時を確認できる。反復介入、誤検知、範囲超過も分かり、権限や処理の改善に役立つ。会話や最終出力だけでは実行時の権限を再構築できない。
状態管理も重要だ。外部操作が完了して成功記録前に失敗することがある。全仕事の盲目的な再試行はPR、支払い指示、顧客メッセージを重複させる。完了、安全な再試行、照合が必要な操作を分ける必要があり、外部副作用は繰り返せるローカル読み取りと同じではない。
MozillaのOtari制御プレーンは統治を、複数提供者の経路選択、予算、アクセス、配備、障害切替へ結ぶ。経路は費用だけでなくプライバシー、遅延、能力も表す。散在するアプリコードから切り離せば、モデルや環境が変わっても方針、追跡、処理状態を残しやすい。
知識は知らせ、方針は制約し、監査は記録し、復旧は未完了を扱う。エージェントは組織が管理するシステムの交換可能な要素となり、組織ルールの唯一の保管場所ではなくなる。
開放的な所有には運用責任も伴う
検査可能な構成はロックインを減らし独自統合を支え、機微な部品を自分の環境に置ける。病院、銀行、公共機関、開発組織は異なる承認・保管条件を持ち、一つのホスト型既定値では足りない。ただし開放性は所有モデルで、安全の自動保証ではない。
自前運用には更新、権限点検、バックアップ、監視、試験済み復旧が要る。古い部品、寛容な既定、共有認証、不完全ログ、無制限通信は公開コードでも弱点だ。詳細追跡には専有コード、個人情報、プロンプト、結果が入り、責任特定に十分でも全機微入力を永久複製しない保管が必要になる。
規則が多ければよいわけではない。重複例外は隙間を作り、過剰制限は未承認ツールを招き、不透明な中央方針は統治問題になる。小さく試せる制御に責任者、理由、検証が要る。変更は審査、試験、版管理し、緊急例外は失効させて記録に残し、拒否理由と例外手順を示す。
基盤は有用なコードも保証しない。権限内でも実装を誤り要件を落とすことがある。人の審査とテスト、見える検査だけへの最適化を見抜く非公開・独立評価、敏感変更のコード責任者審査が必要だ。詳しい事故記録は経緯の証拠で、予防成功の証明ではない。
論点を試すのは、一時的な仕事限定権限、行動と権限の永続証拠、モデル変更でもそれを保つ移植性だ。日常の摩擦も重要になる。推論改善には価値があるが、信頼できる委任には推論失敗時にも消えない境界が必要だ。