「承認しますか？」に、人はもう答えていない
企業がAIエージェントを恐る恐る導入するとき、最後の安全弁として置くのはたいてい「人間の承認」だ。エージェントが危ない操作をしようとしたら、人が画面で確認して「許可／拒否」を押す——この人間が最後に挟まる（human-in-the-loop）設計を、多くの現場が信頼の拠り所にしてきた。
ところが2026年8月14日、その拠り所そのものに疑問符が付いた。Anthropicは開発者向けエージェント Claude Code で、「オートモード（auto mode）」を Pro / Max / Team プランの既定（デフォルト）に切り替えた。オートモードは、人が一つひとつ承認を押す代わりに、別の判定用モデル（分類器）が各コマンドを実行前に自動で審査し、安全なものは通し、危険なものは止める方式だ（Anthropic Engineering、Claude Blog）。
注目すべきは切り替えそのものより、Anthropicが公開した実測データだ。それは「人間の承認は、思っているほど安全弁として機能していない」という、企業にとって不都合な事実を突きつけている。本稿はこのデータを起点に、日本企業がエージェント統制を「承認クリック前提」からどう置き直すべきかを整理する。homula がエージェント導入で一貫して問うてきたのは「動かす前に、どう統べるか」だ。今回の転換は、その「統べ方」の中身を問い直させる。
オートモードは何をしたのか——「人が押す」から「モデルが判定する」へ
オートモードの仕組みは、二段構えになっている。
- 第1層：判定用モデル（分類器）による事前審査。 すべてのツール呼び出し（シェルコマンド等）が実行される前に、本体とは別の判定用モデルがその内容を審査する。ファイルの大量削除・機微データの持ち出し・悪意あるコード実行といった破壊的な兆候を検知し、安全と判断したもの（およそ95%）は自動で通し、危険なものは止める。
- 第2層：OSレベルのサンドボックス。 仮に分類器がすり抜けを許しても、カーネルレベルでファイルシステムとネットワークのアクセス範囲を制限し、定義した境界の外へコマンドが届かないようにする。
つまりオートモードは「人間の承認クリックを、分類器＋サンドボックスという自動の関門に置き換えた」ものだ。8月14日から、これが Pro / Max / Team の既定になった。
ここで重要なのは「人を完全に外した」わけではない点だ。オートモードは危険と判定した操作を止め、判断に迷うものは引き続きユーザーに確認する。変わったのは「既定で、すべてを人に聞く」から「既定で、機械が一次審査し、必要なときだけ人に聞く」への軸足の移動である。
実測データが突きつけた不都合な事実
なぜ Anthropic はこの切り替えに踏み切ったのか。根拠として示された数字が、そのまま「人間の承認」への問い直しになっている。
| 観点 | 人間の手動承認 | オートモード（分類器） |
|---|---|---|
| 危険コマンドの阻止率 | 約14%（13.6%） | 89%（1,053件中937件を阻止） |
| 長いセッションでの検知力 | 序盤 約17% → 50件超の後は 約5%に低下 | 件数によらずほぼ一定 |
| 承認プロンプトへの反応 | 約97%を「承認」／拒否は約3% | ——（自動審査のため） |
Anthropic の管理下テストでは、意図的に混ぜた危険なコマンドに対し、**人間のレビュアーが止められたのは13.6%**にとどまったのに対し、分類器は89%（1,053件中937件）を阻止した。さらに、分類器は人間が承認してしまった約800件を追加で止めた一方、人間が止めて分類器が通したのはわずか6件だった、と報告されている。
とりわけ痛いのは、利用者が承認プロンプトの約97%を反射的に「承認」しているという点だ。承認は「精査した結果」ではなく「クリックの惰性」になりやすい。しかもその傾向はセッションが長引くほど悪化する——序盤は危険コマンドの約17%を検知できていた人間が、50件を超える承認を重ねた後には約5%しか検知できなくなった。分類器の検知率が件数に関係なく一定だったのとは対照的だ。
「人間が承認している＝統制が効いている」という前提は、データの前では崩れる。承認の数が増えるほど、一つひとつの承認は形骸化する。承認クリックの回数は、統制の強さを意味しない。 むしろ回数が多い設計ほど、反射的な素通りを誘発しやすい。
加えて、外部評価も添えられている。独立評価の Trajectory Labs は、72種類の間接的プロンプトインジェクションを各10回、計720回、オートモードで動く Claude Fable 5 / Opus 5 / Sonnet 5 に対して試みたが、成功した攻撃はゼロだったと報告された（The Register、Help Net Security）。承認を人からモデルに委ねても、少なくともこの評価の範囲では防御が弱まらなかった、という主張だ。
これは「人間を外す」話ではない——89%は、11%を残す
ここで結論を急ぐと危うい。89%の阻止率は、裏を返せば11%はすり抜けるということだ。Anthropic 自身もこの限界を認めている。分類器は万能ではなく、だからこそサンドボックスという第2層が併置されている。
つまり今回のデータが示すのは「AIに任せれば安全」ではない。示しているのはもっと不都合な両面だ——反射的な人間の承認も、単体の分類器も、どちらも単独では安全弁になりきれない。だから設計は「どちらか」ではなく「重ね方」の問題になる。
- 分類器は、人間が惰性で見逃す大量の定型判断を、疲れずに一定精度でさばく。
- 人間は、分類器が構造的に苦手な「文脈依存の重大判断」——この取引先への送金は妥当か、この本番変更は今やるべきか——に希少な注意を割く。
- サンドボックスと最小権限は、どちらもすり抜けた「万一」を、被害が広がる前に物理的に封じ込める。
エージェント統制の問いは「人を挟むか、外すか」ではない。**「どの操作に、限られた人間の判断を集中させるか」**だ。すべてに人を挟む設計は、一見安全に見えて、実際には承認疲れ（approval fatigue）を通じて全体の検知力を下げる。
企業が置き直すべき「統制の設計」——4つの原則
このデータを、開発ツール1つの話で終わらせるのは惜しい。業務エージェントの承認設計そのものに効く教訓として読み替えると、置き直すべき原則は4つに集約される。
1. 定型は、自動ゲートへ。 低リスク・高頻度・可逆な操作（読み取り、検索、定型フォーマットの生成など）を人間の承認に載せ続けると、承認の山が判断を鈍らせる。ポリシーや分類器による自動ゲートに寄せ、人間の注意を節約する。
2. 希少な人間の判断は、不可逆・高リスクに集中させる。 送金・外部送信・本番環境の変更・データ削除といった「取り返しのつかない操作」にこそ、人間の承認を明示的に残す。承認の総数を減らし、一件あたりの重みを上げることが、承認を形骸化させないコツだ（関連: AIエージェントの承認境界をどう設計するか）。
3. すり抜けを前提に、封じ込めを併置する。 分類器も人間も完璧ではない。最小権限・サンドボックス・ネットワーク境界で、万一の逸脱が被害に至らないよう物理的に囲う。承認は「入口」の統制、封じ込めは「出口」の統制で、両輪で持つ。
4. すべてを監査可能にする。 自動ゲートに寄せるほど、「なぜ通ったのか／なぜ止めたのか」を後から追える記録が重要になる。誰が（どのエージェントIDが）・何を・どのデータに対して行い・自動判定はどう働いたか。監査証跡はインシデント対応にも規制対応にも効く（関連: 統制はツール単位へ——承認ゲートとエージェントID）。
承認設計の良し悪しは「人を挟む箇所の多さ」ではなく「人を挟む箇所の選び方」で決まる。定型を自動化して人間の帯域を空け、その帯域を本当に重い判断へ振り向ける。これが承認疲れを避けながら統制を効かせる唯一の道だ。
homula の観点——「承認の数」ではなく「承認の設計」を持つ
homula はエンタープライズ向けの AIエージェント・インテグレーターとして、戦略策定 → PoC（最短5日）→ 実装 → 運用 → 内製化までを一気通貫で支援している。今回のデータは、私たちが導入時に必ず設計する「どこに人を挟み、どこを自動に委ね、どこで封じ込めるか」という統制の型の重要性を、むしろ裏づけるものだ。
- 統制は、階層で持つ。 Agens Control は承認フロー・DLP・5年分の監査ログ・RBAC を提供する。上の4原則——自動ゲート・人間の重点配置・封じ込め・監査——を、稼働後ではなく設計段階で組み込むための部品だ。「承認画面を出す／出さない」の二択ではなく、操作のリスクに応じて関門を階層化する。
- 接続は、統制された経路で。 プラットフォーム Agens は MCP を活用し、200以上のツールと構築ゼロで接続する。どのツールのどの操作を自動ゲートに載せ、どれを人間の承認に残すかを、接続レイヤーの段階から設計できることが、承認疲れを避ける前提になる。
- まずは棚卸しから。 どの業務の・どの操作が「不可逆・高リスク」で人間の判断を要し、どれが「定型・可逆」で自動化してよいのか。この線引きこそが承認設計の出発点だ。AIエージェント・ブートキャンプ（業務棚卸し・プロトタイプ構築・ROI試算を3〜5日で完結）で、自社の業務に即した関門の置き方から始めるのが堅実だ。
派手な自律性でも、過剰な承認画面でもない。「どの操作に、限られた人間の注意を集中させるか」を設計できる企業が、エージェントを安全に速く走らせる。
まとめ
2026年8月14日、Claude Code のオートモード既定化は、単なる開発ツールの利便性向上ではない。それは「人間が承認を押している＝統制が効いている」という、多くの企業が寄りかかってきた前提に、実測データで疑問を突きつけた出来事だ。人間の承認は約97%が反射的で、セッションが長引くほど劣化する。一方で分類器も11%はすり抜ける——どちらも単独では安全弁になりきらない。
だから問うべきは「人を挟むか、外すか」ではない。**「どの操作に、希少な人間の判断を集中させ、それ以外をどう自動でゲートし、万一をどう封じ込め、すべてをどう監査するか」**だ。承認の回数ではなく、承認の設計を持つこと。それが、承認疲れという静かな穴を塞ぎながらエージェントの果実を取りにいく、企業の分かれ目になる。
自社のどの業務のどの操作に人間の承認を残し、どこを自動ゲートに委ねるか——承認設計の棚卸しから、一緒に始めませんか。