先月、ある会社の情報システム部(以下、情シス)の方から研修後にこう聞かれました。「AIに作業を任せるのはいいとして、うちのシステムの鍵をAIに渡すんですか」。
その場でうまく答えられませんでした。正直に言うと、私自身がClaude Codeを手元で使うばかりで、会社としてAIエージェントを動かす土台のことを詰めて考えていなかったからです。
9月28日にAnthropicがNVIDIAとの連携を発表したのをきっかけに、この問いを調べ直しました。題材は Claude Managed Agents です。情報は10月8日時点のものです。
そもそも何を預けるサービスなのか
AIエージェントとは、指示を受けてファイルを読んだり、命令を実行したり、ウェブを調べたりを自分で繰り返して仕事を片づけるAIのことです。
これを会社で動かそうとすると、AIそのもの以外に用意するものが多い。作業させる場所、途中経過の記録、外部サービスにログインするための鍵、失敗したときのやり直し。Claude Managed Agents は、この周りの土台一式をAnthropicが用意して預かるサービスです。
公式ドキュメントでは、何分〜何時間もかかる長い作業や、頼んでおいて終わったら結果を受け取る仕事に向くと書かれています。定時実行もできます。
似た道具にAgent SDK(プログラマーが自分でエージェントを組み立てるための部品集)もあります。違いは、SDKが部品を渡して自分で組み立てる方式なのに対し、こちらは動かす場所ごと借りる方式だという点です。
例えるなら、指揮官と作業部屋と受付
指揮官(AIの判断と、作業の段取りを管理する部分)は、Anthropic側の本社にいます。
作業部屋(サンドボックス。外に影響が出ないよう区切った実行環境)では、実際にファイルを開いたり命令を打ったりします。ここには、外から持ち込んだ怪しい資料が紛れ込むことがあります。
受付(保管庫。英語ではvault)は、外部サービスの鍵を預かります。作業部屋の中のAIには鍵の現物を渡さず、外へ出ていく通信の瞬間に受付が鍵を差し込む。公式ドキュメントには、エージェントは秘密の値を見ることがないと明記されています。
冒頭の「鍵をAIに渡すのか」への答えは、渡さずに使わせる作りになっている、です。
ただし例外があります。鍵を使って別の通行証(一時的なログイン用の札)を受け取る方式では、その通行証はAIの手元に届きます。また、AIは鍵の権限でできることは何でもできるので、権限は必要な分だけに絞るよう公式は勧めています。
NVIDIA OpenShell 連携で何が増えたのか
9月28日の発表の中心は、作業部屋を自社の側に置けるようになった点と、その部屋の見張り役です。
セルフホスト(自社のサーバーで動かすこと)のサンドボックスを使うと、指揮官はAnthropic側に残したまま、ファイルの置き場所、命令の実行、外への通信を自社の環境で完結させられます。
ここは誤解しやすい点です。AIが読んだファイルの中身や命令の結果は、次の判断のためにAnthropic側へ送られます。 実行は社内に留まりますが、AIが見た内容まで社外に出ないわけではありません。
見張り役になるのがNVIDIAのOpenShellで、誰でも無料で使え、中身も公開されているソフトです(Apache 2.0ライセンス)。考え方は「ルールで許可したもの以外はすべて禁止」。ファイルの読み書き、通信先、データの持ち出しを1回ずつ判定し、許可も拒否もすべて記録に残します。これが監査ログ(誰が何をしたかを後から確かめるための記録)の役目を果たします。
もう1つ、policy prover という機能があります。書いたルールのもとでエージェントがどこまで届くのかを、数学的な証明で確かめる仕組みです。「このルールなら経理のフォルダには絶対に触れない」を、試しに動かす前に確認できるということです。
事例として、営業向けエージェントを動かすClayと、規制の厳しい業界向けのRogoの名前が挙がっています。
情シスが確認しておきたい残りの点
まずデータ保持。Claude Managed Agents は会話履歴や作業状態をサーバー側に保存する作りなので、ゼロデータ保持(送ったデータを保存しない契約オプション)やHIPAA(米国の医療情報保護の法律)の対象外です。必要ならセッション(1回分の作業のまとまり)やファイルを、プログラムから削除の命令を送って消せます。
次に、自社に部屋を置く構成では鍵の渡し方が一部選べません。環境変数(プログラムに設定値を渡す仕組みの1つ)として鍵を預ける方式が、10月8日時点ではセルフホストに未対応です。
それから、全体がまだパブリックベータ(誰でも申し込めるが試験提供の段階)です。仕様が途中で変わる前提で検証することになります。
手元のClaude Codeで同じ発想の設定をしたい人は、こちらが近い話です。
料金はトークンと稼働時間の2本立て
料金表を見ると、トークン(AIが文章を数える単位)の量に応じた料金に加えて、セッションが動いている時間1時間あたり0.08ドルがかかります。待機中は数えません。
公式の計算例では、Opus 5で1時間のコーディング作業(入力5万・出力1万5千トークン)が、トークン分0.625ドル、稼働時間分0.08ドルの計0.705ドルです。費用の大半はトークン側で、効くのはモデル選びのほうだとわかります。
調べてわかった答え
情シスの方への答えを今まとめるなら、こうなります。
鍵は原則AIに見せずに使わせる。作業部屋は自社に置けるが、AIが見た内容はAnthropic側に届く。部屋の中の動きはすべて記録が残り、ルールの抜けは事前に証明で確かめられる。ただしベータで、会話や作業の記録はAnthropic側に残る。
まずは社外秘を含まない定型作業で1本動かし、監査ログの見え方を情シスと一緒に確かめるのが無理のない入り方だと考えています。セキュリティの考え方は別記事にもまとめています。
