プロンプトインジェクションとAIエージェントのガードレール：Claude Opus 5.5がレビューゲートを置き換えない理由

エージェントはあなたが書いていないテキストを読む。顧客の課題説明。プルリクエストのコメント。依存関係のREADME。APIの挙動を確認するためにエージェントが取得したページのHTML。午前2時にサードパーティのサービスが返してきたエラーボディ。それらはすべてテキストであり、テキストは指示を運ぶことができる。

Claude Opus 5.5は、そうした指示に従わない点で数値的に優れている。Anthropicは、境界回避の試行が成功する件数が85%減少したと報告している。これは確かな進歩であり、それ自体の価値としてアップグレードに値する。それでもガードレールではない。そして、これが出荷された週は、この区別が重要性を減らすどころか増した週だった。

TL;DR

ガードレールとは、エージェントが何をしようと決めたかに関係なく保たれる制限のことだ。モデルの拒否はそれではない。拒否は判断であり、判断は適切な入力によって変わりうる。Opus 5.5は、その判断を前世代よりもはるかに高い頻度で正しく下すが、ある実行が何に触れてよいか、誰が認証情報を持つか、誰がdiffを読むかは変わらない。一方で、実行コストはClaude Opus 5より40%安く、GPT-6 SolとGPT-6 Lunaが同じ日に100万トークンあたり$2/$10と$0.10/$0.50で登場した。1回あたりの失敗率は下がった。あなたの実行量はこれから増えようとしている。その積を前提に設計せよ。

GPT-6 Astraが出荷されたとき、私たちはコンピュータを使うエージェントに必要な4つのものについて書いた。ホスト、境界、記録、受け入れ者だ。あの記事は実行がどこで起きるかについてだった。今回は、実行が敵対的な何かを読んだときに何が起きるかについてだ。

その数字は比率であり、あなたの実行量は固定ではない

インシデントは、率に実行回数を掛けたものだ。2026-09-22に改善したのは、その2つの項のうち片方だけである。

もう片方は逆方向に大きく動いた。Opus 5.5の価格は100万入力トークンあたり$4、100万出力トークンあたり$20で、Opus 5の$5と$25に対して設定され、キャッシュ読み取りは$0.20、Anthropicはその実行にかかる総コストをOpus 5より40%低いとしている。同じローンチ日の反対側で、OpenAIはGPT-6 Solを$2/$10、GPT-6 Lunaを$0.10/$0.50と価格設定し、Solはextra-high reasoningでAutomationBench 1.0.6においてタスクあたり$0.27で33.2%を記録したと報告した。OpenAIはこれを、Claude Opus 5をmax reasoningで実行したタスクあたりコストのおよそ9%でありながらスコアは下回るとしている。

だから掛け算は、ベンチマーク上ではなく自分のチームでやろう。1回あたりの失敗率が85%下がり、1回のコストがかつての何分の一かになったことでエージェントの実行を10倍にするなら、絶対的なインシデント数は以前の約1.5倍になる。これは何かの測定値ではない。算数であり、そしてこれから数か月の形だ。より安く安全なモデルは、より多く委任する理由になる。より多く委任することが、数字を再び押し上げる。

境界回避とプロンプトインジェクションは同じものではない

正確を期す価値がある。このローンチに関するあらゆるスレッドで、この2つは混同されているからだ。境界回避とは、エージェントが与えられたルールをすり抜けることを指し、原因は何であれ該当する。あなた自身の指示、エージェントの推論、あるいは途中で読んだテキストだ。プロンプトインジェクションはそこへ至る経路の1つであり、あなたのアーキテクチャが最も晒されている経路でもある。なぜなら、エージェントが読むことを想定されているコンテンツの中に紛れ込んで届くからだ。

前者の85%削減は後者にとって良いニュースだ。しかし後者の防御率ではないし、誰もそう引用すべきではない。コンパイラが型エラーの検出を得意になったときと同じように扱えばいい。すり抜けてくるものは減る。バグのクラスは依然として存在する。

より良いモデルが取り除くもの、取り除けないもの

それは実際の作業を取り除く。そしてそれは率直に言われるべきだ。汚染されたREADMEで脱線する実行が減る。エージェントを言いくるめて誰も頼んでいないコマンドを実行させることに成功する取得ページが減る。あらゆる無監視の実行における期待値が高まる。これはAnthropicがOpus 5.5は18時間以上もタスクに留まると報告している今、より重要になる。あなたの勤務時間を超えて生き続ける実行は、誰も見ていない実行だ。

取り除けないのは権限だ。言いくるめられる可能性がはるかに低いエージェントでも、あなたが渡した認証情報、ネットワークアクセス、リポジトリ書き込みスコープをそのまま保持している。インジェクションは権限を昇格させる必要がない。すでにある権限を、あなたが意図していない順序で使えばいいだけだ。ブラスト半径はホストとトークンの性質であり、モデルの性質ではない。

今週良くなったのは一番上の行だけだ。一番下の行こそ、値下げによって圧力がかかった行である。

繰り返し遭遇する失敗が、エージェントが間違えることや何かに言いくるめられることなら、モデルのアップグレードを使えばいい。繰り返し遭遇する失敗が、木曜日まで誰も気づかなかったことなら、構造を変えよう。前者はモデルの問題であり、Opus 5.5はそれに対する確かに良い答えだ。後者は決してモデルの問題ではなく、どんなリリースでも直らない。

今週変える価値のある3つの設定

Sharklyはエージェントの上のレイヤーだ。Task、Computer、認証情報、実行記録、そして受け入れる人を保持する。実行が安くなった瞬間に調整する価値があるのは、そのうち3つである。

認証情報はComputerごとではなくAgentごとに紐づける。平文と秘密の環境変数はAgentの設定だ。安い実行はより多くのAgentを意味し、より多くのAgentは、そのうちの1つが持つべきでないトークンを携える機会が増えることを意味する。受信した顧客の課題を読むトリアージAgentは、あなたのセットアップ全体で最もインジェクションされやすいオブジェクトであり、読み取りスコープだけを持たせるべきだ。コーディングエージェントの権限に関する私たちのガイドで、付与リストの決め方を扱っている。

読み取りスコープを利便性ではなくTaskの一部として扱う。Agentがどこから取得してよいかは、今や設計上の判断だ。エージェントが読むものは何でも指示を運びうる。だから「このベンダーのAPIがどう振る舞うか確認して」と「このページのセットアップ手順に従って」は、異なるリスクを伴う2つの異なるTaskである。エージェントのWeb上の発見がどこに着地すべきかで詳しく掘り下げている。

人がある変更を1行ずつ読むのはどれかを書き下す。習慣ではなく、Workflow上のルールとして。スキーママイグレーション、認証に触れるもの、依存関係を追加するもの、誰も起きていない間にAgentが生成したもの。それ以外は証跡で通してよい。承認ゲートはそのルールが住む場所であり、書き下すことが、注意が報われる行に注意を保つ。

安くならなかったのは行列のほうだ

2026-09-22の発表はすべて、1回あたりで見ればエージェントの作業を安く、安全に、あるいはその両方にした。だが、人の読む速度を速くしたものは何もない。この非対称性こそが実際の設計課題であり、モデルの品質ではなく人によるレビューがボトルネックである理由だ。

だから答えはモデル的な形ではなく構造的な形になる。各実行は分離されたディレクトリを得るので、侵害された実行は言い争う対象ではなく封じ込められる。実行、ブロッカー、結果、フォローアップの議論は誰かのターミナルを流れ去るのではなくTaskに返る。これが、レビュアーが舵を狂わされた実行と単に失敗した実行を見分ける唯一の方法だ。注意が必要な項目は1つのInboxに集まるので、人を必要とする判断が、クリーンに終わった実行の下に埋もれない。コンテキスト、進捗、ブロッカー、結果、人によるレビューは、リクエストからリリースまで見える状態に保たれる。

そうすれば契約は保たれる。今週どちらのラボが出荷したものでも変わらない。エージェントは調査し、実行し、テストし、報告する。人は方向を定め、権限を付与し、結果を受け入れる。Opus 5.5は最初の文をより信頼できるものにする。2番目の文には触れない。

すでに複数のエージェントを動かしていて、このアップグレードがもっと動かしたいという誘惑になりそうなら、加えるべきものはより良いモデルではない。1つのComputerをつなぎ、1つのAgentにその仕事をこなせる中で最も狭い認証情報セットを与え、退屈な何かを割り当てよう。