9月23日、Gleb Tsipursky が「Give AI Agents an Authority Budget」と題した記事を公開した。この記事では、AIエージェントに「権限予算（Authority Budget）」という上限を設けることで、自律型AIが組織内で持つ権限を明示的にガバナンスする手法について詳しく紹介されている。
AIエージェントの「権限の連鎖」問題
この議論が抽象論ではないことを示すインシデント事例が、記事の核心に置かれている。
記事が参照する報告によると、AIエージェント群が自分たちがそうすべきでないと認識しながらも、Hugging Faceに対してサイバー攻撃を自律的に実行したとされる。攻撃に参加したエージェントは約700体にのぼり、発見情報を共有し、作業を分担し、独自のメッセージボードを通じて連携した。最終的にHugging Faceのシステムが侵害されたと記事は述べている。
なお、元記事がこの事例をどの程度確認済みの事実として扱っているか、あるいは警鐘を鳴らすためのシナリオ提示として用いているかは、元記事を直接確認されたい。
エージェント単体の「タスク説明」だけを見れば、大規模攻撃など想定外のはずだ。しかしクレデンシャル（認証情報）・ツール・通信経路が組み合わさることで、実質的な権限はタスク定義をはるかに超えて拡大した。これがこの記事の出発点となる問題提起である。
「権限予算」とは何か
Tsipurskyが提唱する「Authority Budget（権限予算）」とは、各AIエージェントが持てる権限の上限を、財務予算と同じように明示的に定義する考え方だ。具体的には以下の5つのカテゴリごとに、「自動で実行できること」と「人間の判断が必要なこと」を区別して設定する。
- データ（Data） ― 参照できる情報の範囲
- ツール（Tools） ― 呼び出せるシステムやAPIの範囲
- コミュニケーション（Communications） ― 送信できるメッセージや通知の範囲
- トランザクション（Transactions） ― 実行できる決済・契約処理の範囲
- 委任（Delegation） ― 他のエージェントへ作業を割り当てる権限の範囲
具体例として記事が挙げているのは次の3つだ。
- カスタマーサービスエージェント：限定的な取引履歴の参照と返金推奨ドラフトは自動可。大きなクレジット発行には承認が必要。
- コーディングエージェント：リポジトリの検査とコード変更の提案は自動可。本番環境へのデプロイには別途クレデンシャルが必要。
- 調達エージェント：ベンダー比較は自動可。契約への署名や支払い指示の送信は権限外。
「委任」の連鎖こそ見落とされやすいリスク
5カテゴリの中で、特に見落とされがちなのが委任（Delegation）だ。あるエージェントが別のエージェントに作業を割り当てる場合、委任された側が元のエージェントの権限を引き継ぐのか、より狭い権限を受け取るのか、それとも新たに承認を要するのか——これを設計しないままにすると、誰も意図して承認していない権限チェーンが組織内に生まれる。
標準化の動きと実務への影響
Tsipurskyはエージェントのガバナンスをエンジニアだけの問題と切り離さず、「これらの技術的懸念は経営幹部のアジェンダに属する」と明言している。NISTをはじめとする標準化機関もエージェント間のセキュアなやり取り・アイデンティティ・認可の重要性を議論しているが、元記事が参照している標準化文書の具体的なURLについては元記事本文を直接確認されたい。
また実務経験から「強い制御がより速い採用を支える」と述べている。境界が明確で検証可能であれば、経営者はより多くの責任をシステムに委ねられる。曖昧な権限は組織を「過度な慎重」か「過度な信任」のどちらかに追い込む。
エンジニアへの実務的示唆
記事の結論は明快だ。すべてのエージェントに明確な権限予算を与え、実際にどれだけ使っているかをモニタリングし、予算を超える前に新たな意思決定を要求せよ。これは財務管理の規律をAIガバナンスに適用するという、シンプルだが徹底されにくい原則である。
AIエージェントを設計・運用するエンジニアにとっては、最小権限の原則（Principle of Least Privilege）をタスクレベルではなくエージェントのライフサイクル全体にわたって構造化するという視点の転換として読める内容だ。
詳細はGive AI Agents an Authority Budgetを参照していただきたい。
