INSIGHT
いつものブラウザを、そのままAIの操作環境にするな
AIにその画面を操作させると、どのアカウントで何まで実行できるか説明できるか。
取引先サイトへの見積転記を、画面操作できるAIに任せようとしている。担当者は普段のブラウザを開いた。そこにはメール、顧客台帳、クラウドストレージ、経費精算、場合によっては決済画面まで、ログイン状態が残っている。
依頼は一つのサイトへの転記でも、ブラウザは一人分の仕事場をまとめて持っている。開いたタブ、履歴、ダウンロード、保存済みの入力、拡張機能、シングルサインオンが、依頼外の情報と操作へつながる。AIへ「見積だけ」と頼む文章は、ブラウザが持つ権限を技術的に狭めない。
閲覧範囲、認証状態、実行できる操作、確定前の確認が分からないまま、いつものブラウザをAIへ操作させてはいけない。
常用ブラウザには、依頼外の権限が残っている
ブラウザのセッションは、ログイン後もサービスが利用者を識別し、操作を続けられる状態である。Cookieなどで維持されることがあり、画面にパスワードが表示されていなくても、メールを読む、ファイルを開く、記録を変更する操作ができる。
さらに、シングルサインオンで別サービスへ移れる、パスワード管理機能が入力を補助する、クリップボードに直前の情報が残る、ダウンロードフォルダに別案件の資料がある、ブラウザ拡張がデータへアクセスする、といった経路がある。見えている一つのタブだけを、操作環境の全体だと考えない。
まず、常用ブラウザを使う案から、AIが到達できるものを列挙する。開いているサイトだけでなく、新しいタブから到達する社内サービス、保存済み認証、ローカルファイル、アップロード機能、外部送信、削除、購入・支払まで見る。依頼に不要な一つでも影響が大きければ、環境を分ける理由になる。
「操作履歴を残すから大丈夫」という説明も十分ではない。権限が広いままなら、記録は事後調査の助けにはなっても、依頼外の操作を防ぐ境界にはならない。先に到達範囲を狭め、残った操作を記録する。
作業用の環境とアカウントを切り分ける
画面操作を試すなら、日常業務のブラウザとは別のプロファイル、専用端末、仮想環境など、用途に合う分離方法を管理担当へ相談する。仮想環境は、作業用のコンピューター環境を別に用意する方法である。そこへ対象業務のためのアカウントだけを入れ、個人のメールや管理者アカウントに依存しない認証の構成を整える。利用者が専門的な隔離設定を一人で完成させる話ではない。
ただし、別プロファイルを作るだけで端末全体が隔離されるとは限らない。画面操作製品が別ウィンドウ、ファイル、クリップボードなどへ届く範囲は構成によって違う。管理者と確認し、プロファイルの分離だけでは足りない作業は専用端末や仮想環境へ移す。
AnthropicのComputer use toolに関する公式文書 は、画面・マウス・キーボードを使う機能について、専用の仮想環境やコンテナ、最小権限、機密情報へのアクセス制限、接続先ドメインの制限、現実に意味のある結果を伴う判断への人の確認を検討するよう説明している。また、Webページや画像中の指示へ従い、利用者の意図と異なる動作をする場合があることにも触れる。
これは特定の提供機能に関する文書であり、すべての画面操作製品が同じ保護機能を持つという保証ではない。分類や警告があることも、依頼外の操作を完全に防ぐ証明にはならない。自社が採用する製品、版、構成で、隔離と確認が実際に働くかを調べる。
作業環境では、接続できるドメインを対象サイトと必要な認証先へ絞る。見積入力だけなら、顧客台帳の読み取り専用画面と、取引先サイトの下書き保存まで、といった必要な経路を設計する。メール受信箱全体やクラウドストレージ全体を、資料受け渡しのために開放しない。
依頼内容を短く書くだけでは権限は狭まらない。専用環境、専用アカウント、接続先制限で、依頼外へ届かない構成にする。
下書きと確定を、画面上の操作で分ける
見積フォームへ入力することと、取引先へ送信することは別の操作である。ファイルを選ぶことと、アップロードを確定することも違う。AIが画面を操作できるなら、各段階の「確定」がどこにあるかを洗い出す。
人の確認画面には、送信先、顧客、金額、数量、添付ファイル、変更前後の値を表示する。AIが作った説明文だけを見せず、実際に確定される値を見せる。確認後に画面状態が変わった場合や、別ページへ移動した場合は、古い承認を使わない。
Cookieへの同意、利用規約への同意、購入、送金、権限付与、データ削除など、同意や高い影響を伴う操作は、作業ごとに人が内容を確認する。自動でクリックする対象を、ボタンの位置や色だけで決めない。画面の表示が変わった、ログインを求められた、予期しないファイル選択が開いた、といった条件では停止する。
操作後は、成功表示だけでなく、対象サービスの記録を確認する。下書きのままか、送信済みか、添付は正しいか、別の顧客情報を変更していないかを見る。ブラウザの録画やクリック履歴があっても、業務上の確定状態は正本のシステムで確かめる。
停止はブラウザを閉じるだけで終わらない
異常時にブラウザを閉じても、送信済みのフォーム、変更済みの共有設定、開始済みの処理は戻らない。停止手順には、AIの操作を止めること、作業用セッションを失効させること、待機中の処理を止めること、変更された可能性がある対象を確認することを含める。
何をしたか分からない場合は、対象時間、作業用アカウント、接続先、操作記録から調べる。必要に応じて取引先への連絡、誤送信の対応、権限変更を行う。利用者には、どの機能を止め、手作業へどう戻すかを伝える。
停止を判断する人と、環境を無効にできる人が違う場合は、連絡経路と時間外の担当を決める。管理者へ連絡がつくまでAIが動き続ける構成にしない。利用者が作業画面から中断でき、管理者が認証・環境を止められる二段階を用意する。
停止とは、画面を閉じることではない。実行権限を止め、送信・変更済みの対象を特定し、業務を手作業へ戻すことである。
再開は、専用環境の境界を実際に試してから
常用ブラウザをそのまま使う案は再開しない。再検討する対象は、業務のために分離した環境である。次の条件を実際の試験で確かめる。
- 対象サイト以外へ接続できず、個人・管理者のセッションや保存済み認証がない
- 作業用アカウントが必要なデータと操作だけに届く
- 送信、同意、変更、削除などで、実際の対象と値を人が確認できる
- 想定外の画面、認証要求、ファイル、接続先で処理が止まる
- 作業用アカウントと時間から操作を追い、正本の結果を確認できる
- 利用者と管理者が停止・認証失効を行い、手作業へ戻せる
業務責任者は、試験用の成功画面だけでなく、拒否と停止の記録を見る。システム管理者は環境と認証を、データ所有者は閲覧範囲を、確定権限の所有者は人が確認する操作を承認する。対象サイトや操作、提供機能の版が変われば、影響する条件を再試験する。
条件がそろわない作業は、人が常用ブラウザで行う。AIは転記候補の作成や差分表示までに限定できる。常用環境をAIへ渡さずとも、作業支援の価値は残せる。
操作を任せる前に、触れてよい範囲と止め方を管理担当と確かめる
普段のブラウザは、一つのWebサイトを見る窓ではない。ログイン状態、保存済み認証、社内外のサービス、ファイル、拡張機能を束ねた業務環境である。見積転記という一つの依頼のために、その全体をAIへ渡してはいけない。
操作を頼む前に、いまの画面でAIが読める情報と、送信・変更できる操作を管理担当と確かめる。自分は依頼に必要な作業と、触れてほしくない業務を伝える。管理担当には環境と権限の分離を確認してもらい、実行前に止める方法を一緒に試す。分からない間は普段のブラウザを渡さず、AIは転記候補の作成までに使う。