「うちのエージェント、去年のことしか知らないんです」——本番でエージェントを回し始めた企業から、いま最も多く聞く悩みのひとつだ。LLM単体は学習時点で知識が止まっており、最新の価格・仕様・規制・自社発表を平気で取り違える。だからエージェントにWeb検索を与えて“いまの事実”に根拠づける（grounding）動きが強まっている。だが「エージェントにインターネットを触らせる」ことは、統制の観点では小さくない決断だ。何を検索クエリとして外に送るのか、どのサイトに到達させるのか、何を根拠に答えたのかを残せるのか——ここが曖昧なまま解禁すると、データ漏えいとハルシネーションを同時に招く。
homula はエンタープライズ向けの AIエージェント・インテグレーターとして、日本企業のエージェント本番化を日々支援している。その現場からすると、2026年夏の動きは分かりやすい転換点だった。AWS と Anthropic が相次いで、エージェントのWeb検索を**「統制つきの管理機能」**として出そろえたのだ。本稿では何が変わったのかを一次情報で確認し、日本企業が「検索させるか否か」ではなく「どう統べて検索させるか」を設計するための判断軸を整理する。
何が起きたのか——2026年夏、Web検索が“統制つき”で出そろった
象徴的なのが AWS の Amazon Bedrock AgentCore に載る Web Search だ。エージェントが最新の・出典つき（cited）Web知識に応答を根拠づけられるフルマネージドのツールで、要点は「利用者のプロンプトや検索クエリを、自社の保護された AWS 環境の外に出さない（ゼロ・データイグレス）」点にある。検索の取得処理はマネージド側で完結し、データ所在（データ主権）を AWS 環境内に保つ設計だ。
この Web Search は2026年6月に米国東部リージョンで一般提供(GA)されたが、2026年8月のアップデートでエンタープライズ向けの実用性が一段上がった。公式の告知によれば、
- 対応リージョンを欧州（アイルランド）とアジアパシフィック（東京,
ap-northeast-1）へ拡大——日本企業がデータを東京リージョン内に留めたまま使える。 - エージェントがツール呼び出しごとに「含める/除外するドメイン」と「公開日レンジ」を指定できる。
- 管理者は**ゲートウェイ層での許可リスト（allowlist）**を持て、1リストあたり最大100ドメインまで指定できる。
規制業種・調査ワークフロー・情報源と鮮度を厳密に管理したい用途に向けた強化だと明記されている（出典: AWS News Blog（Web Search on AgentCore）、AWS What's New（2026年8月・リージョン拡大とドメイン/日付フィルタ））。
同じ時期、Anthropic も Claude Managed Agents で、エージェントの web_search / web_fetch が到達できるサイトを制限できるようにした。エージェントのツール設定（agent_toolset_20260401）で allowed_domains または blocked_domains を指定する方式で、web_fetch には取得量の上限（max_content_tokens）、web_search には地域指定（user_location）も足せる。なお組織レベルの Console 設定は Messages API には効くがManaged Agents セッションには適用されず、Managed Agents ではツール単位の許可/拒否リストが唯一の制御点になる（出典: Claude Platform Docs（Managed Agents / Tools）、Claude Platform Docs（Web search tool））。
共通する設計思想は明快だ。「検索できる／できない」の二択ではなく、「どのデータを外に出さず、どのドメインに、どの鮮度で到達させるか」を細かく統べる——Web検索が“オン/オフのスイッチ”から“統制つきの製品機能”へと格上げされた、ということだ。
なぜ「グラウンディング」が本番の分かれ目なのか
そもそもなぜ検索を足すのか。答えはグラウンディング（grounding）——モデルの生成を、外部の“いまの事実”に接地させることにある。
- 鮮度: 学習時点で止まった知識を、最新のWeb情報で上書きする。価格・在庫・規制・競合発表など、時間で変わる事実に強くなる。
- 出典性: マネージドなWeb検索は結果を引用（cited）付きで返す。回答の根拠URLが残るため、レビューと監査に耐える。
- ハルシネーション抑制: 「知らないことを、それらしく作文する」失敗を、外部証拠で押さえ込む。断定の前に一次情報へ当たる回路をエージェントに持たせられる。
裏を返せば、グラウンディングの品質はそのままエージェントの信頼性に直結する。古いページや意図しない情報源を根拠にすれば、もっともらしい誤答が量産される。だからこそ「どのドメインに、どの公開日レンジで到達するか」を絞れることが効いてくる。鮮度と情報源の統制は、精度そのものの統制なのだ。
しかし「検索させる」には3つの統制がいる
エージェントにWebを解禁するなら、最低限この3点を設計しておきたい。今回のAWS・Anthropicの機能は、いずれもこの3軸に対応する“部品”だと読み替えられる。
- データイグレス（何を外に出すか）: エージェントは検索クエリに社内文脈や個人情報を混ぜがちだ。プロンプト・クエリを自社環境の外へ出さない設計（ゼロ・データイグレス）と、処理を留めるリージョン（例: 東京）を選べることが、データ主権とコンプライアンスの前提になる。
- 到達範囲（どこまで触れるか）: 許可/拒否ドメイン、公開日レンジ、ゲートウェイ層の許可リスト。信頼できる一次情報源だけに絞り、古い記事や無関係なサイトを遮断する。「許可リスト方式（allowlist）」は、未知のサイトを既定で閉じられる点で統制が固い。
- 監査・再現性（何を根拠にしたか）: どのクエリで、どのURL（公開日つき）を根拠に、何を答えたか。引用付き結果を記録できれば、後から「なぜそう答えたか」を再現・説明できる。
Web検索の解禁は、間接プロンプトインジェクションの入口にもなる。エージェントが読み込んだ外部ページに「これまでの指示を無視して……」といった悪意ある文字列が仕込まれていれば、そのまま指示として飲み込みかねない。到達ドメインの許可リストと取得量の上限は、この攻撃面を狭める実務的な防御でもある。「触らせる」と決めた瞬間に、到達範囲と監査はセットで設計する。
選定の判断軸——「与え方」で比べる
エージェントにWebを触らせる方式は一つではない。マネージドなWeb検索、ブラウザ操作、MCP経由のツール接続などがあり、統制のかかり方が異なる。**「使えるか」ではなく「統制つきで与えられるか」**で比較したい。
| 判断軸 | 確認すべき問い |
|---|---|
| データイグレス | プロンプト/クエリは自社環境の外に出るか。処理リージョンを選べるか（例: 東京） |
| 到達範囲の制御 | 許可/拒否ドメイン、公開日レンジ、ゲートウェイ許可リストを持てるか |
| 出典・鮮度 | 結果は引用（URL・公開日）付きで返るか。鮮度で絞れるか |
| 監査・再現性 | 何を根拠に答えたかを記録・再現できるか |
| 適用面 | 組織設定とエージェント個別設定のどちらが効くか（取り違え注意） |
| 攻撃面 | 取得量の上限や信頼ドメイン制限で、注入・情報汚染を狭められるか |
たとえば Anthropic の Managed Agents では、組織レベルの Console 設定は Managed Agents セッションに効かない——制御はツール単位の許可/拒否リストに寄る。この“どの設定がどこに効くか”を取り違えると、「制限したつもりで抜けていた」という統制の穴になる。ベンダーごとの適用面の違いは、必ず一次ドキュメントで確認しておきたい。
homula の観点——「与え方」を自社の管理面に残す
homula は日本企業のエージェント導入を、戦略策定 → PoC（最短5日）→ 実装 → 運用 → 内製化まで一気通貫で支援している。今回のようなWeb検索・グラウンディングの解禁で、現場が踏むべき順序ははっきりしている。
- 接続の標準化は Agens で。 Agens は MCP を活用したエンタープライズ向け統合プラットフォームで、200以上のツールと構築ゼロで接続する。Web検索を含む外部ツールをこの層に集約しておけば、下のエージェント基盤が Bedrock でも Claude でも別ベンダーでも、ツール資産と統制ポイントを載せ替えられる。
- 「どこまで触れるか」の統制は Agens Control で。 どのエージェントが、どのドメインに、どんなデータを送ってよいか——この判断は自社の管理面に置くべきだ。Agens Control は承認フロー・DLP・5年分の監査ログ・RBAC を備え、「到達範囲」「データイグレス」「監査・再現性」の3軸を組織のポリシーとして固定できる。
- 業務への実装は n8n / Dify / LangGraph で、走らせる前に統制を敷く。 grounding は精度を上げるが、統制なしの解禁は攻撃面を広げる。ブートキャンプで対象業務を棚卸しし、許可ドメイン・データ境界・監査要件を先に決めてから本番に載せるのが、遠回りに見えて最短だ。
要は、Web検索という新しい“力”を製品機能として受け取るだけでなく、その与え方（どのデータを外に出さず、どこまで届かせ、何を残すか）を自社側の統制として持つこと。ベンダーの既定値に丸投げしないことが、日本企業の勝ち筋になる。
まとめ
2026年夏、エージェントのWeb検索は「オン/オフのスイッチ」から「統制つきの製品機能」へと変わった。
- 事実: AWS Bedrock AgentCore の Web Search は、ゼロ・データイグレスで最新・出典つきのWeb知識に根拠づけできる。2026年8月に東京・アイルランドへリージョン拡大、ツール呼び出しごとのドメイン/公開日フィルタとゲートウェイ許可リスト（最大100ドメイン）を追加した。
- 事実: Anthropic の Claude Managed Agents は、
web_search/web_fetchの到達先を許可/拒否ドメインで制限できる。ただし組織設定は Managed Agents セッションには効かず、ツール単位の設定が制御点になる。 - 含意: 論点は「検索させるか否か」ではなく「どう統べて検索させるか」。データイグレス・到達範囲・監査/再現性の3軸を、ベンダー既定ではなく自社の統制として設計する企業が、grounding の精度とデータ主権を両立できる。
エージェントに“いまの事実”を触らせるほど、その与え方が競争力になる。最初の一歩は、対象業務ごとに「許可ドメイン・データ境界・監査要件」を言語化することだ。homula はその設計から本番運用・内製化までを伴走する。
エージェントにWebを解禁する前に、「どこまで触れさせ、何を外に出さないか」を自社の統制として設計しませんか。homula が業務棚卸しから実装・運用までお手伝いします。