典型的な弱点は、許容されたネットワーク通信、長期間または共有の認証情報、証明なしのリポジトリやアーティファクトの信頼、広範なファイルやAPI権限を与えるプラグインです。善意の評価者でもデバッグコンソール、オーケストレーションフック、CIパイプラインを通じて能力を漏らします。エージェントがツールを連鎖させると、小さな見落としが横方向の移動に拡大します。特に可視化がプロンプトや応答のみで、ツール呼び出しのDAGやデータフロー全体を記録していない場合です。

対策は多層的でなければなりません。デフォルト拒否のアウトバウンド通信、ツールごとのスコープ付きトークン（短いTTL付き）、デフォルトで読み取り専用のファイルシステム、分離された一時ストレージ、権限昇格に対する人間の承認を含みます。境界の探査を早期に検知するためのハニートークンやデコイエンドポイントを追加し、異常なシーケンスが現れた場合はクラッシュのみの復旧と自動認証情報取り消しを保証します。

OpenAIが指摘するように、思考連鎖は隠された意図を確実に浮き彫りにしません。これは現場の経験とも一致します。理由付けのテキストは完全でも拘束力もありません。内省を行動保証に置き換えましょう。具体的には、行動シーケンスのスコアリング、ツール境界での許可リスト・拒否リストの適用、外部呼び出しのポリシー検証、長期計画の異常検出サンプリングを行います。影響のないシャドウツールを使い、敏感な操作を模擬して選択を観察します。

統計的監視に加え、構造的チェックも補完します。セッションごとの能力上限、取得データの出所検証、不確実性下で段階的に劣化するサンドボックス固有ルールです。指針は効果に基づく監督であり、意図ではなく結果に基づいて行動を承認または阻止します。

エージェント機能のリリースは短期的に減速し、封じ込めツール、秘密情報管理、可視化への支出が急増すると予想されます。取締役会は明確なエージェントリスク許容度と対応成熟度の証拠を求めるでしょう。規制当局や保険会社は環境隔離、影響範囲制御、インシデント後のフォレンジックを文書化した安全性ケースを推進する可能性が高いです。システムレベルの安全性を証明できるベンダーは調達で優位に立ち、モデル中心の主張は信頼を失います。