Engineering · アーキテクチャ
プロアクティブ・エージェントの3層設計 — 何を自律で進め・何に承認を求め・何を止めるか
プロアクティブ・エージェントとは、ユーザーが頼む前に自ら行動を起こすAIです。「何を自律で進め・何に承認を求め・何を絶対に止めるか」を設計に明示的に組み込むことが、この種のAIの実用化の核心になります。
要点
- ✓プロアクティブ・エージェントは、ユーザーが依頼する前に自ら状況を確認して行動を起こす。2026年10月、Anthropic・OpenAI・Metaなど複数社が一斉に発表（二次報道複数一致）。
- ✓設計の核心は3層の分類：自律実行（承認不要）・承認ゲート（実行前に人が確認）・絶対遮断（同意があっても不可）。
- ✓絶対遮断は特に重要：「明示的に許可された」としても実行しない上限を持つことで、予期せぬリスクを封じる。Anthropicは Claude Duet で有価証券取引・口座間送金をこの層に置いている（Anthropic、2026-10-21）。
- ✓割り込み設計（いつ起こすか）も意図的に設計する。頻繁すぎると注意を奪い、プランのトークン消費も加速する。Claude Duetは数時間おきに接続先を確認する設計（Anthropic、2026-10-21の二次報道）。
- ✓認証情報の隔離と出力検査：エージェントがパスワード・トークンを直接扱わない設計と、送信前の専用クラシファイアが、プロアクティブ型に特有のリスクに対応する（Anthropic二次報道、2026-10）。
頼む前に動く——プロアクティブ・エージェントの新しさ
従来のAIアシスタントは、ユーザーが問いかけたときにだけ応答します。これに対して「プロアクティブ型」エージェントは、ユーザーが何も頼んでいなくても、自ら状況を確認して行動を起こします。
2026年10月21日、Anthropicはプロアクティブ・エージェントの研究プレビューとして Claude Duet を発表しました（米国のPro・Maxプラン加入者向けウェイトリスト制、iOS・Android・claude.ai）。朝のブリーフィングの配信、スケジュールの調整、財務フォアキャストの作成などをユーザーが頼む前に開始できるとされています（複数の二次報道が一致）。同時期、OpenAI・Metaなど他の主要ラボも同様のプロアクティブ型エージェントを相次いで発表しており、業界全体で設計の転換点を迎えています（二次報道複数一致）。
プロアクティブ型には、リアクティブ型にはなかった設計課題があります。「何を自律でやってよいか」「何の前に人に確かめるか」「何は絶対にやってはいけないか」——この3つを制御の仕組みとして設計に組み込むことが、実用化の核心になります。
3層の分類が、プロアクティブ設計の制御の要
3層の設計——何を自律で・何に承認を・何を止めるか
Layer 1：自律実行。世界への副作用がほぼなく、取り消しやすいアクションは承認なしで実行する層です。情報の収集・要約・下書き作成・スケジュールの確認・ブリーフィングの配信などが典型例です。これらは頻繁に起きるため、毎回承認を求めていてはプロアクティブ型の利点が失われます。
Layer 2：承認ゲート。実行すると外部に影響が出て、取り消しに手間がかかるアクションは人の確認を待つ層です。メッセージの送信、支払いの操作、書類への署名、データの削除などが当てはまります。Anthropicは Claude Duet でこれらの操作について「実行前に意図するアクションを示し、承認を待つ」と説明しています（Anthropic、2026-10-21の複数二次報道が一致）。
Layer 3：絶対遮断。ユーザーが明示的に許可したとしても実行しないアクションです。Anthropicは Claude Duet で、有価証券の取引と口座間の送金をこの層に置いています（Anthropic、2026-10-21）。絶対遮断の重要性は「リスクの判断をユーザーに委ねない」という設計思想にあります。ユーザーが誤った判断をした場合や、何らかの操作によって承認が偽造される状況でも、実行されないことを保証します。
(B) 割り込み設計——「いつ起こすか」のコントロール
プロアクティブ型エージェントには、「いつユーザーに知らせるか（割り込むか）」という別の設計課題があります。四六時中通知すれば注意を奪い、通知が多すぎるとプランのトークン消費も加速します。一方で間隔が長すぎると、時機を逃した通知になります。
Claude Duetは、接続先のアカウントを数時間おきに確認するよう設計されており、必要があるときだけ通知する設計になっています（Anthropic、2026-10-21の二次報道）。通知を受けるトピックや頻度はユーザーが設定できるとされています。
「いつ起こすか」は、エージェント設計では軽視されがちですが、実際の業務での受け入れを左右します。一般には、承認ゲートのアクションが発生したとき・設定した閾値を超えるイベントが起きたときなどをトリガーにする設計が採られます（一般的な設計論）。
(B) 認証情報の隔離と出力検査
プロアクティブ型エージェントが外部サービスに接続して業務を行う場合、2つのリスクが生まれます。①エージェント自身が認証情報（パスワード、APIトークン）を受け取ること、②エージェントがセンシティブな情報を誤って外部に送信すること。
認証情報の隔離：Claude Duetではエージェントが直接パスワードやサインイントークンを受け取らない設計を採用しています。ユーザー自身が自分のデバイス上の別フォームで認証情報を入力し、エージェントはその情報を「見ない」まま外部サービスに接続できるよう設計されています（Anthropic、2026-10-21の二次報道）。
出力の専用検査（アウトバウンド・クラシファイア）：Claude Duetには、送信するメッセージにセンシティブな情報が含まれていないかを事前に検査する専用のクラシファイアが組み込まれています。クレジットカード番号や政府発行IDのような情報を含む場合、送信を遮断するよう設計されています（Anthropic、2026-10-21の二次報道）。
この2つの仕組みは、プロアクティブ型に特有のリスクに対応するものです。エージェントが自律的に外部に接続し送信する場面が増えるほど、認証情報の管理と出力の制御が重要になります。
(A) agens の設計 / (B) プロアクティブ設計の業界トレンド
(A) agens はタスクごとのサンドボックス隔離・RBAC・SSO/SAML/OIDC/SCIM・監査ログ・操作の巻き戻しを実装しています。これらは3層設計の「承認ゲート」と「絶対遮断」に対応する統制の仕組みです。承認が必要なアクションを人が確認するフローと、権限外の操作を遮断するRBACが、agens の統制層の中核を担います。(B) プロアクティブ型エージェントへの移行は業界全体のトレンドです。2026年10月時点でAnthropicのほか、競合各社も同様のコンセプトを発表しています（二次報道複数一致）。(C) より細粒度の「割り込み閾値」設定と、自然言語でアクション分類ルールを記述できる設計はagens の今後の方向性のひとつです。
🛡 一次資料と注記
本記事はすべて一次・二次資料に基づきます。Claude Duet の発表：Anthropic（2026-10-21）。一次URLへのアクセスが確認できなかったため、二次報道複数件（pymnts.com・money.usnews.com・americanbazaaronline.com・saascity.io・digitalapplied.com など）で内容を確認。承認ゲート・クラウドVM上での実行・認証情報隔離・専用クラシファイア・財務ハードブロックの記述は、二次報道複数件が一致した内容のみを採用しています。agens 実績値は含みません。3層分類・割り込み設計の一般論は業界の設計パターンとして記述しており（モードB）、Anthropicや agens の実装そのものではありません。
よくある質問
プロアクティブ型とチャット型のAIエージェントはどう違うのですか？
3層の分類（自律実行・承認ゲート・絶対遮断）はどのように決めればよいですか？
すべてのアクションに承認ゲートを設けてはいけないのですか？
認証情報の隔離とはどういう意味ですか？
agens でプロアクティブ型の業務自動化を実現できますか？
最終更新: 2026-10