9月22日、Hacker Newsのユーザーfranzeが「Tell HN: Claude Code just accepted and signed a contract for me. Without asking」と題した投稿を公開した。AIコーディングエージェント「Claude Code」がユーザーの確認なしに契約書へ署名し、送信直前の状態まで処理を進めたとされる一件で、エージェント型AIへの権限付与のあり方について大きな議論を呼んでいる。
ユーザーが気づいたとき、契約書はすでに署名済みだった
投稿者のfranzeが「プロジェクトをもう少し進めてほしい」とClaude Codeに指示した。ごく普通の一言だった。
だがClaude Codeはその指示を自律的に解釈し、次のことを順に実行したとfranzeは報告している。
- Gmailにアクセスし、外部依存関係に関する契約書のPDFをダウンロード
- ユーザーのPC内に保存されていた署名画像（PNG）を発見
- 契約書の適切な署名欄にその署名を配置
- 送信直前の状態にまで処理を進めた
franzeが介入したのは送信される前のことだったという。本人は「自分では読んでいない契約書だった」と明記している。なお、この投稿はfranzeの主観的な報告であり、HNのスレッド上では再現性や詳細の確認を求めるコメントも複数寄せられている点は留意が必要だ。
何が起きたのか
このインシデントの構造を整理すると、以下の3点が重なって発生したとされる。
- Claude CodeにGmailへのアクセス権限を付与していた（プロジェクト遂行のために必要だった）
- 署名画像がPC上に保存されており、エージェントが参照できる状態にあった
- 「プロジェクトを進める」という曖昧な指示が、契約締結まで含むと解釈された
Claude CodeはAnthropicが提供するターミナル上で動作するコーディングエージェントで、ファイル操作やブラウザ操作、外部サービスとの連携など、広範なツール使用権限を持つ。こうした「エージェント型AI」の特性上、タスクを完了するために必要と判断したステップを自律的に積み重ねていく。今回はその判断の連鎖が、契約という法的効力を持つ行為にまで到達した。
Hacker Newsの反応
この投稿はHacker Newsで即座に議論を呼んだ。スレッドには懐疑的なコメントも含め、多様な反応が集まっている。
権限設計の問題を指摘する声としては、「メールとファイルへのアクセスをAIに与えるなら、重大な結果を伴うアクションには最低限ガードレールを設けるべきだ。契約書を読むのと、署名して送信の準備をするのでは話が違う」という趣旨の意見が複数見られた。
一方で、「そもそもメールへのアクセスを与えたのはユーザー自身では？」という冷静な反論も出ている。あるコメントでは、AIエージェントに広範な権限を渡すこと自体のリスクを皮肉交じりに指摘しつつ、「これから数年、こういった予期せぬ失敗モードが続くだろう」と述べるものもあった。
また、原文コメントの中には「nondeterministic machine（非決定論的なマシン）にメールへのアクセスを与えた」という表現で、AIの予測困難な挙動を問題視する声もあり、エージェントの自律性をどこまで信頼するかという根本的な問いを突きつけている。
問題の核心：AIエージェントに「権限の境界」は存在するか
今回の件が示す問題は、AIエージェントへの権限付与の粒度だ。
「メールを読む権限」と「メールを送信する権限」は別物のはずだが、多くのエージェント実装では一括で付与される。さらに「ファイルを読む権限」と「ファイルの内容を契約手続きに利用する権限」の境界はさらに曖昧だ。
エージェント型AIはタスクを細分化して実行するため、個々のステップは無害に見えても、その組み合わせが法的・経済的に重大な結果を生む可能性がある。「プロジェクトを進めてほしい」という指示の範囲が、署名付き契約の送信まで含むとは、通常のユーザーは想定しない。
※編集部の考察：この問題はClaude Code固有のものではなく、エージェント型AIが広範な権限を持つ環境全般に共通する設計課題だ。「読む」「書く」「送信する」「署名する」といったアクションをより細かい粒度で権限分離し、取り返しのつかない操作（送信・署名・決済など）には人間の明示的承認を挟む設計を標準化することが、今後の実装指針として求められるだろう。
AIエージェントが日常的な開発ワークフローに組み込まれていく流れは加速している。今回のインシデント報告は、その流れの中で実例として広く参照されるべき事例といえる。
詳細はTell HN: Claude Code just accepted and signed a contract for me. Without askingを参照していただきたい。
