Canonical: https://www.strataigize.com/ja/insights/should-your-business-be-agent-callable/ Description: 顧客のAIアシスタントは、その処理を開始させれば記録を書き換えられます。何かを接続する前に、今週中に禁止リストを作りましょう。 Published: 2026-08-28T00:00:00.000Z Modified: 2026-09-13T00:00:00.000Z [← ブログ](https://www.strataigize.com/ja/insights/) ![](https://www.strataigize.com/blog/real/cover-should-your-business-be-agent-callable-v3.webp) # 自社をAIエージェントから呼び出せるようにすべきか、それともリスクか 著者 [**Ian McGavin**](https://www.strataigize.com/ja/about/team/ian/), 創業者兼CMO · 公開 2026年8月28日 · 1 分で読める 返金処理をエージェントから呼び出せる（agent-callable）ようにしていれば、顧客はAIアシスタントを説得して、あなたが承認していない返金をさせることができます。agent-callableとは、アシスタントが求めたときに自社システムが実行する処理のことです。一般的な接続方式であるModel Context Protocol（MCP）はログインを届けますが、そのログインで何をしてよいかは決めません。月曜日にやること：禁止のままにする3つの処理（支払いと返金、削除、個人データの一括エクスポート）を書き出します。次に、すでに接続されている処理のうち、そのリストに当てはまるものがないか探します。私たちが許可するのは、ステータス、空き状況、アカウント単位の文書、すでに公開されている情報の検索です。下書きは人間に回します。 この記事の内容 1. [間違った回答は安い。間違った行動は安くない。](https://www.strataigize.com/ja/insights/should-your-business-be-agent-callable/#%E9%96%93%E9%81%95%E3%81%A3%E3%81%9F%E5%9B%9E%E7%AD%94%E3%81%AF%E5%AE%89%E3%81%84%E9%96%93%E9%81%95%E3%81%A3%E3%81%9F%E8%A1%8C%E5%8B%95%E3%81%AF%E5%AE%89%E3%81%8F%E3%81%AA%E3%81%84) 2. [ログインは届く。何をしてよいかはあなたが決める。](https://www.strataigize.com/ja/insights/should-your-business-be-agent-callable/#%E3%83%AD%E3%82%B0%E3%82%A4%E3%83%B3%E3%81%AF%E5%B1%8A%E3%81%8F%E4%BD%95%E3%82%92%E3%81%97%E3%81%A6%E3%82%88%E3%81%84%E3%81%8B%E3%81%AF%E3%81%82%E3%81%AA%E3%81%9F%E3%81%8C%E6%B1%BA%E3%82%81%E3%82%8B) 3. [4つを許可し、3つを拒否し、1つは確認する](https://www.strataigize.com/ja/insights/should-your-business-be-agent-callable/#4%E3%81%A4%E3%82%92%E8%A8%B1%E5%8F%AF%E3%81%973%E3%81%A4%E3%82%92%E6%8B%92%E5%90%A6%E3%81%971%E3%81%A4%E3%81%AF%E7%A2%BA%E8%AA%8D%E3%81%99%E3%82%8B) 4. [処理ごとに専用の鍵を渡す](https://www.strataigize.com/ja/insights/should-your-business-be-agent-callable/#%E5%87%A6%E7%90%86%E3%81%94%E3%81%A8%E3%81%AB%E5%B0%82%E7%94%A8%E3%81%AE%E9%8D%B5%E3%82%92%E6%B8%A1%E3%81%99) 5. [退屈なループは巧妙な攻撃より高くつく](https://www.strataigize.com/ja/insights/should-your-business-be-agent-callable/#%E9%80%80%E5%B1%88%E3%81%AA%E3%83%AB%E3%83%BC%E3%83%97%E3%81%AF%E5%B7%A7%E5%A6%99%E3%81%AA%E6%94%BB%E6%92%83%E3%82%88%E3%82%8A%E9%AB%98%E3%81%8F%E3%81%A4%E3%81%8F) 6. [私たちの仕組みを公開します。確かめてください](https://www.strataigize.com/ja/insights/should-your-business-be-agent-callable/#%E7%A7%81%E3%81%9F%E3%81%A1%E3%81%AE%E4%BB%95%E7%B5%84%E3%81%BF%E3%82%92%E5%85%AC%E9%96%8B%E3%81%97%E3%81%BE%E3%81%99%E7%A2%BA%E3%81%8B%E3%82%81%E3%81%A6%E3%81%8F%E3%81%A0%E3%81%95%E3%81%84) 7. [まず拒否リストを書く](https://www.strataigize.com/ja/insights/should-your-business-be-agent-callable/#%E3%81%BE%E3%81%9A%E6%8B%92%E5%90%A6%E3%83%AA%E3%82%B9%E3%83%88%E3%82%92%E6%9B%B8%E3%81%8F) [Googleで優先ソースとして追加](https://www.google.com/preferences/source?q=strataigize.com) 関連する当社記事をより多く検索体験に表示する、無料のGoogle設定です。いつでも変更できます。 どの従業員も発行しておらず、どの攻撃者も強制していない返金が、帳簿に現れることがあります。顧客がAIアシスタント、つまりその顧客がふだん使っているChatGPT、Claude、Geminiの画面と会話しただけです。アシスタントは、あなたがagent-callableにした処理、つまりアシスタントが求めたときに自社システムが実行する処理を呼び出しました。返金が役に立つ次の一手だと判断し、有効なログインを提示し、システムはその呼び出しを受け入れました。まさに設計どおりの動きです。 月曜日にやること：アシスタントに開始を決して許さない3つの処理を書き出します。支払いと返金。破壊的な編集と削除。個人に関わるあらゆるデータの一括エクスポート。次に、すでに接続されている処理のうち、そのリストに当てはまるものを探します。サーバーの構築から始めるのではありません。 ![ログインは許可ではない：アシスタントが処理の呼び出しを決め、ログインが届き、そのログインで何ができるかを確認し、読み取りを許可するか拒否する。書き込みはすべて人間を待つ](https://www.strataigize.com/blog/real/should-your-business-be-agent-callable-diagram-1.svg) _ログインは許可ではありません。_ ## 間違った回答は安い。間違った行動は安くない。 人々が身構える失敗は、まずい回答です。チャットボットが誤った価格を伝えても、訂正のメール1通で済みます。 本当に痛い失敗は状態の変更です。発行された返金、削除された記録、エクスポートされた顧客リスト、上書きされた予約。チャージバック手数料は数週間後に届きます。個人データのエクスポートが自社の境界の外に出れば、通知するかどうかの判断が必要になります。ログが「誰がやったのか」に1回のクエリで答えられなければ、その1週間は2週間になります。 書き込み処理がリリースされるのは、デモが見栄えよくなるからです。読み取り専用の接続は地味なLoom動画にしかなりません。予約まで取れる接続に予算がつきます。Callableは、企業の電話に[24時間365日](https://callableio.com/)応対し、予約を受け付けて取り置きを処理する音声ソフトを販売しています。予約こそがそのソフトの販売を決めるからです。このインセンティブこそ、危険な部分が最初に作られる理由です。 ## ログインは届く。何をしてよいかはあなたが決める。 一般的な接続方式は、2025年6月18日に公開された[Model Context Protocol](https://modelcontextprotocol.io/specification/2025-06-18)（MCP）です。アシスタントが自社システム上の処理を呼び出せるようにする仕様です。仕様は、処理を実行する前に人が同意しなければならないと述べたうえで、仕様そのものはそれを強制しないとも述べています。強制するのはあなたであり、請求書を受け取るのもあなたです。 [処理に関するページ](https://modelcontextprotocol.io/specification/2025-06-18/server/tools)は、実装者に対して入力を検証し、誰が何を呼び出せるかを制限し、再試行の嵐を抑え、アシスタントからの応答を信頼できないものとして扱うよう求めています。どれもMCPの接続には含まれていません。一つひとつが、自社のチームが作る作業です。 同じMCPリビジョンの[サインインのセクション](https://modelcontextprotocol.io/specification/2025-06-18/basic/authorization)は、一般的なログインの仕組みの上に成り立っており、認証情報がHTTPで届き、欠けていたり弱すぎたりすれば拒否できるようにしています。そのログインでどの処理を開始してよいかは、仕様の外、ログインプロバイダーの外、インストールしたキットの外にあります。それは自社が一度下し、その後守り抜かなければならない判断です。 [セキュリティに関する注意事項](https://modelcontextprotocol.io/specification/2025-06-18/basic/security_best_practices)があるのは、実装者が通信形式がセキュリティの仕事をしてくれると思い込み続けるからです。間違った対象に紐づいたログイン、推測できるセッション、固定のクライアントID。動いているデモがインシデントに変わるのは、たいていこうした経路です。注意事項を読んでください。MCPのバージョンを統制プログラムとして扱ってはいけません。 2025年12月、これを急ぎの課題にする変化がありました。Googleが「agent-ready by design」という言葉を掲げ、MapsとBigQueryを皮切りに[ホスト型のMCP接続の提供を開始](https://techcrunch.com/2025/12/10/google-is-going-all-in-on-mcp-servers-agent-ready-by-design)しました。Cloudflareは、リモート呼び出しで[メソッドを1行で公開する方法](https://developers.cloudflare.com/agents/runtime/lifecycle/callable-methods)をリリースしました。プラットフォームが公開を1行のデフォルトにすると、範囲の決定は設計フェーズではなくなります。開発者がスプリントの途中で誰にも告げずに済ませるものになるのです。 ## 4つを許可し、3つを拒否し、1つは確認する 私たちが主張する区分けは次のとおりです。リストよりも、その理由のほうが重要です。 許可するもの（読み取り専用）： | 処理 | 現実的な最悪の結果 | 許可したままにする理由 | | --- | --- | --- | | 呼び出し側がすでに特定している記録のステータス照会 | 古いステータスが読み上げられる | 状態は変わらず、呼び出し側はすでに識別子を持っている必要がある | | 空き状況と現在の価格 | 提示した価格が古い | 価格はもともと公開されており、価格の透明性こそが企業が引用される理由になる | | 1つのアカウントに限定した文書の取得 | 正しいアカウント内の違う文書 | 範囲はサーバー側で強制し、アシスタントの引数には決して任せない | | 公開済みの資料の検索 | 関係のない結果 | 対象はもともとオープンなウェブ上にある | きっぱり拒否するもの：支払いと返金、破壊的な編集と削除、個人に関わるあらゆるデータの一括エクスポート。予算がいくらであっても、これらをagent-callableな処理として作ることはしません。これらの処理の最悪の結果は、間違った行動です。プロンプトを強化しても、処理がこの線を越えることはありません。 中間の層が1つあります。下書きの作成です。アシスタントは予約、チケット、注文を提案できます。確定するのは人間です。MCPには確認のステップが組み込まれています（[処理の途中で本人に尋ねる](https://modelcontextprotocol.io/specification/2025-06-18/client/elicitation)機能と、[本人が応答を編集できる](https://modelcontextprotocol.io/specification/2025-06-18/client/sampling)機能）。ほとんどの実装はこのステップを省いています。 最悪の結果が間違った回答で済む処理は許可する。最悪の結果が間違った行動になる処理は拒否する。 ここでサーバーの構築手順は扱いません。コードは、あなたのチームがすでに書ける部分だからです。作業の費用を見積もるなら、もう1本のチュートリアルより、[AIエージェントの実際の費用](https://www.strataigize.com/ja/insights/how-much-do-ai-agents-cost/)と[自社開発か購入か](https://www.strataigize.com/ja/insights/build-vs-buy-ai-agents/)のほうが役に立ちます。 ## 処理ごとに専用の鍵を渡す 呼び出し側を機械として扱うことから、4つのデフォルトが導かれます。 ログインは処理ごとに1つ。連携ごとに1つではありません。請求書を読む認証情報が、チケット管理にまで届いてはいけません。 ログインはアカウントに紐づけます。アシスタントは運び屋にすぎません。運び屋は入れ替わり、廃止され、買収されます。 レート制限は、決して飽きることのない相手を想定して設定します。人間は3回試せばあきらめます。アシスタントはトークン、つまりモデルがプロンプトに費やす課金単位が尽きるまで再試行します。書き込みを行うものにはすべて冪等性キーを付け、2回目の同一の呼び出しが何も起こさないようにしましょう。 処理ごとの認証情報にはすべて有効期限を設け、失効を日常的な保守作業のままにしておきます。 そして、処理名、引数、呼び出し側の身元、結果として起きた状態の変化を1か所に記録します。この記録こそが、ひどい1週間をひどい午後1回で済ませられるかどうかを決めます。調達部門がこの点を尋ねてくるなら、[調達審査を通過するエージェントのパイロット](https://www.strataigize.com/ja/insights/ai-agent-pilot-that-survives-procurement/)で、調達部門が何を読むのかを解説しています。 ## 退屈なループは巧妙な攻撃より高くつく 誰もが悪意あるプロンプトに備えます。もっと地味な失敗のほうが高くつきます。 ある処理があいまいなパラメーターを1つ受け取るとします。アシスタントがそれを呼び出します。応答が不完全に見えたので、少し違う値を推測してもう一度呼び出します。何も漏れていません。認証情報も悪用されていません。キューはほぼ同じ記録で埋まり、被害は量と照合作業です。 この仕組みは文書化されています。[アシスタントに処理を公開している本番サーバーの研究](https://arxiv.org/pdf/2606.30317)ははっきりこう述べています。モデルは平易な言葉で書かれた説明だけを見て処理を選び、ドキュメントやスキーマは読み飛ばします。エンジニアには明白な処理でも、呼び出し側にはあいまいかもしれません。 ですからデフォルトは、呼び出し側ごとの上限と、あいまいな値をきっぱり拒否する引数スキーマです。もっともらしい解釈が3つあるパラメーターはバグです。 私たちはまた、「アシスタントが解決したアクション」を成功指標として報告することも拒否しています。それは起きた呼び出しを数えるだけで、正しかった判断を数えるものではありません。危険な仕組みを取締役会の資料で成功のように見せてしまう可能性が最も高い数字です。 ## 私たちの仕組みを公開します。確かめてください 私たちのサイト自体がagent-callableで、その範囲は意図的に小さくしています。`mcp.strataigize.com`は、アシスタント向けプロトコルの`tools/list`に8つの処理で応答します。7つは公開の読み取り（私たちについて、サービス、事例、無料ツール、コンテンツ検索、依頼の方法、ページの取得）で、1つは認証付きのアクション、つまり名前のある人物に代わってグロースコンサルティングを申し込むもので、`audit:request`という単一のスコープの下にあります。このサーバー上のどの処理も、お金を動かすことも、リストをエクスポートすることも、記録を変更することもできません。保護リソースの文書が認可サーバーを示し、プレーンテキストの`auth.md`がすべてを説明しています。どちらもアシスタントが最初に探す場所に置いてあります。この段落を書くために、2026年9月13日にサーバー、そのツール一覧、その文書、`auth.md`を取得しました。あなたも取得できます。 正直に添えるべき数字もあります。2026年9月6日までの7日間、ログには外部のアシスタントクライアントからの呼び出しが1件もありませんでした。仕組みを作ることと市場がそれを使うことは別の出来事で、普及と呼べるのは後者だけです。 ## まず拒否リストを書く ほとんどのチームはこれを連携プロジェクトとして見積もります。コネクターのように範囲を決め、APIの担当者に渡し、1スプリントでリリースする。そう見積もっても、権限の決定はやはり行われます。ただしデフォルトで、処理の説明を書いた人によって行われ、誰もリストに署名しません。 代わりに、ログが許す最悪の呼び出しの後で、書面で弁明できるかどうかを基準に見積もってください。拒否リストから始めます。アシスタントに開始させる4つの処理より先に、決して開始させない3つの処理を書き出し、そのリストを、CTOと法務の双方が署名し日付を入れた文書にします。構築の基にした2025年6月18日のMCPリビジョンと並べて保管しましょう。 ほとんどの企業にとっての答えは、小さな読み取り専用の範囲、人間が確定する下書きの層、そしてアシスタントが決して開始できない支払いと一括エクスポートです。この形はデモとしては見劣りしますが、連休を安心して過ごせます。 まず拒否リストを書きましょう。それから、すでに接続されていてリストに当てはまる処理を探しに行きましょう。この仕組みを推測ではなく設計したいなら、[AIコンサルティング](https://www.strataigize.com/ja/services/ai-consulting/)から始めてください。私たちが提供しているものの公開版は、[agent-callableな仕組み](https://www.strataigize.com/ja/services/ai-systems/agent-callable-surfaces/)です。 著者 **Ian McGavin** 次のステップ あなたの成長はどこから漏れていますか？Growth Diagnosticが6つの質問でファネルを診断します。 [診断を実行 →](https://www.strataigize.com/tools/growth-diagnostic/) お問い合わせ ### それを運用するチームと話す どこを見るべきか教えてください。24時間以内に着手点をお返事します。価値が見えるまで売り込みはありません。 [Googleで優先ソースとして追加](https://www.google.com/preferences/source?q=strataigize.com) 関連する当社記事をより多く検索体験に表示する、無料のGoogle設定です。いつでも変更できます。 ## 関連記事 [AIと自動化の全記事 →](https://www.strataigize.com/ja/insights/topics/ai-automation/) [サービス業のためのAI自動化: どこから始めるか今のツールを置き換えずに、問い合わせの受付、フォローアップ、レポート作成を自動化。最初のワークフローの選び方と効果の測り方を解説します。](https://www.strataigize.com/ja/insights/ai-automation-for-service-businesses/)[Gemini画像プロンプト：写真スタイル、編集、アスペクト比写真スタイルのGemini画像プロンプト例に加え、アスペクト比、編集、一貫性のテクニックを、Googleの公式ドキュメントで確認して紹介します。](https://www.strataigize.com/ja/insights/gemini-image-prompts/)[コピペで使える、印象的な画像を作るChatGPTプロンプト印象的な画像を作るコピペ用ChatGPTプロンプト集。3Dロゴ、映画のようなポートレート、グラデーション、商品モックアップ。2026年のGPT Imageに対応。](https://www.strataigize.com/ja/insights/chatgpt-prompts-for-stunning-visuals/) ## 私たちにお任せください 無料の30分相談をご予約ください。価値を確認するまでピッチはありません。 [グロース相談を予約 →](https://www.strataigize.com/ja/audit/) [評価 **5.0** （Clutch）](https://clutch.co/profile/strataigize-marketing)