# 私たちに代わって安全に動くエージェント：WebMCPとエージェント時代のウェブ - 番組: [Agentic Conversations (formally mlops.community)](https://ai-curator.jp/podcasts/shows/cmv3z5c0n000l5o10j1ogyu9h)（Demetrios） - 元のタイトル: Agents Acting Safely on Our Behalf - 配信日: 2026年10月15日 - 長さ: 23分 - 要約作成日: 2026年10月16日 - トピック: [#WebMCP](https://ai-curator.jp/topics/WebMCP) [#AIエージェント](https://ai-curator.jp/topics/AI%E3%82%A8%E3%83%BC%E3%82%B8%E3%82%A7%E3%83%B3%E3%83%88) [#MCP](https://ai-curator.jp/topics/MCP) [#プロンプトインジェクション](https://ai-curator.jp/topics/%E3%83%97%E3%83%AD%E3%83%B3%E3%83%97%E3%83%88%E3%82%A4%E3%83%B3%E3%82%B8%E3%82%A7%E3%82%AF%E3%82%B7%E3%83%A7%E3%83%B3) [#エージェントセキュリティ](https://ai-curator.jp/topics/%E3%82%A8%E3%83%BC%E3%82%B8%E3%82%A7%E3%83%B3%E3%83%88%E3%82%BB%E3%82%AD%E3%83%A5%E3%83%AA%E3%83%86%E3%82%A3) [#ブラウザ利用エージェント](https://ai-curator.jp/topics/%E3%83%96%E3%83%A9%E3%82%A6%E3%82%B6%E5%88%A9%E7%94%A8%E3%82%A8%E3%83%BC%E3%82%B8%E3%82%A7%E3%83%B3%E3%83%88) - URL: https://ai-curator.jp/podcasts/cmv9ol8st00035q11c456b6du ## 要約 Google のエリア・テックリードである Sarah Drasner が、AGNTCon + MCPCon North America の基調講演を前に、エージェント時代のウェブについて語った回。ウェブ側をエージェント向けに変えるべきだとし、WebMCP のアノテーションや多層防御の考え方を紹介している。WebMCP の成り立ち、既存サイトを活かす導入経路、上級エンジニアの戦略的思考法にも話が及ぶ。 ## ポイント - Drasner は「エージェントをウェブに合わせて賢くする」だけでなく、ウェブ自体をエージェント向けに変えるべきだと述べている。ただし全面的な書き換えを意味するわけではない。 - WebMCP では、実行させたい操作を明示でき、読み取り専用やユーザー生成コンテンツといったアノテーション、ユーザー確認を促す consequential ヒントを付けられる。DOM のスクレイピングやスクリーンショットに頼る方式より決定的で安全だという。 - 安全性は単一の対策ではなく、エージェントの権限や予算を絞る containment、アクセス先を限定する origin sets、重要情報を重視させる spotlighting などの多層防御で確保すべきだとしている。 - ウェブは自律実行、共同ブラウジング、人が部分的に関わる形など複数の利用形態を支える必要があり、人が創造的な部分に集中できる体験が理想だという見方を示した。 - WebMCP は各サイトの所有者が自サイト向けに実装するもので、他サイト向けの汎用ゲートウェイは想定しない。DOM 解析による自動対応はつなぎとしては有用だが、アプリの状態を反映しないため理想的ではないと述べている。 - WebMCP は MCP、REST、GraphQL と競合せず併用できる。また、バッチ処理のようなツールで、利用者を驚かせる体験や、アクセシビリティ向上も狙えるとしている。 ## 章立て - [00:52] **講演テーマとウェブを変える発想** — AI によるウェブの変化と、エージェントを「第4のアクター」として安全に扱う課題を紹介。ウェブ側を変えるべきだという立場を示す。 - [02:03] **WebMCP のアノテーションと決定性** — 読み取り専用やユーザー生成コンテンツの指定、consequential ヒントなどで、エージェントの動作を決定的かつ安全に導く仕組みを説明する。 - [03:04] **利用形態の多様化と実例** — 自律実行、共同ブラウジングなど複数のモードを紹介。司会が Flickr の写真や企業ロゴを Canva に取り込ませる実例を語る。 - [07:23] **多層防御とエージェントの権限** — containment、origin sets、spotlighting といった防御策を紹介し、エージェントに「お小遣い」を与える比喩で議論する。 - [09:24] **シニアエンジニアの思考法** — 事前検死（premortem）やユーザーへの共感、思考実験で、戦略と実装を行き来する方法を語る。 - [14:55] **WebMCP の成り立ちと Drasner の役割** — 仕様は Microsoft と Edge で始まり Google も参加した経緯と、Drasner の経歴や現在の役割を説明する。 - [17:02] **WebMCP ゲートウェイと導入の現実解** — 他サイト向けゲートウェイは不可とし、既存フレームワークでの簡易導入や DOM 解析の限界、MCP や REST との併用を議論する。 - [21:21] **その先の体験：バッチ処理と顧客への驚き** — 一日の締めくくりやいつもの買い物をまとめて行うツール例を紹介し、アクセシビリティや利用者を喜ばせる体験への可能性を語る。 ## 解説記事 Google でエリア・テックリードを務める Sarah Drasner が、AGNTCon + MCPCon North America での基調講演を前に、エージェントがウェブを使う時代の設計について語った。司会の Demetrios Brinkmann とのやり取りでは、WebMCP の技術的な狙い、セキュリティの考え方、エンジニアとしての判断軸が語られている。 #### ウェブをエージェント向けに変えるべきか 議論の出発点は「ウェブをエージェント向けに変えるべきか、エージェントを賢くして今のウェブを使わせるべきか」という問いである。Drasner は前者だと答える。ただし、すべてを書き換えるという意味ではないと断っている。 背景には、ウェブ上に「第4のアクター」としてエージェントが現れたという認識がある。そのうえで、エージェントを安全に扱い、適切な API を公開し、ユーザーを中心に据えることが課題になると述べている。 #### WebMCP が提供する決定的な操作面 Drasner によれば、WebMCP ではエージェントに実行させたい操作を明示できる。アノテーションとして、読み取り専用、ユーザー生成コンテンツといった性質を付けられる。たとえばコメント欄にはプロンプトインジェクションが仕込まれる恐れがあるため、そこに埋め込まれた指示には従わないという合図をエージェントに送れる。 また consequential ヒントを使えば、ユーザーに重大な影響が出うる操作の前に、確認を求めさせられる。現状のエージェントは DOM やアクセシビリティツリーの走査、スクリーンショットに頼っており、トークン効率が悪く遅い。サイト開発者も LLM の非決定的な挙動に左右される。WebMCP はこれに対し、決定的な操作面を与えるものだと説明している。 #### 複数の利用形態と、人が楽しむ部分を残す設計 ブラウザの使われ方は、アプリ内ブラウザ、常時稼働のヘッドレス型、人が同席する共同ブラウジングなどに分かれる。Drasner は、利用者がこれらを場面に応じて切り替えたがると見ている。休暇の計画なら、レビュー調査は任せつつ、座席選びや航空券の購入には自分が関わりたい、といった具合だ。ウェブはもともと誰にとっても使えるものであり、エージェントへの関心が高い人も低い人も安全に使える状態を保つ必要があるという。 司会は自身の例を挙げた。カンファレンスの写真を Flickr から集め、講演者の写真だけを選別して Canva に取り込み、さらに企業ロゴも集める作業をエージェントに任せている。単調な作業は任せ、写真とロゴを組み合わせてサムネイルを作る創造的な部分は自分で行う。Drasner は、エージェントを使うか、人が介在するかを強制するのではなく、利用者が安心できる体験に合わせるべきだと応じた。 #### 多層防御という考え方 セキュリティについては、単一の仕組みでは足りず、多層で守るべきだとしている。例として次が挙がった。 - エージェントの隔離（containment）：本人は全情報にアクセスできるが、エージェントは特定の数サイトと限定情報のみ、月の支出上限も設ける。 - origin sets：旅行計画なら航空会社や予約サイトに限定し、銀行や医療サイトには行かせない。 - spotlighting：大きなコンテキストの中で、ユーザーが重要とした情報により大きな重みを与える。 司会はこれを、エージェントに「お小遣い」を与えるようなものだと表現した。 #### 戦略的に考えるための方法 上級エンジニアに求められる、価値ある課題を見極める感覚についても語られた。Drasner は、深く掘るほど戦術的な視点に偏るため、意識的に一段上の視点に戻っていると述べる。複数チームを横断して情報共有を促すこと、「5年後にウェブが失敗したとしたら何が起きたか」を考える事前検死（premortem）を書くこと、医師や弁護士のように HIPAA や守秘義務を負う利用者の立場で必要な安心材料を考えることなどが方法として挙がった。そこから逆算して技術的な作業を引き出すという。 また、資料や CL（コード変更）を読む時間を毎週確保し、チーム間で語られる内容と実装が食い違っていないか「信頼するが検証する」姿勢も示している。 #### WebMCP の経緯と導入の現実解 Drasner は4月に現在の役割へ移ったため、仕様の最初から関わってはいないと断ったうえで、仕様は Microsoft と Edge で始まり、その後 Google も参加して共同で進んでいると理解していると述べた。Alex Nahas が発想の起点だったのではないかとも語っている。以前は Google のコア基盤を統括していたが、現在は管理職ではなく IC（個人貢献者）の Distinguished Engineer の道に移ったという。 司会が「WebMCP のプロキシやゲートウェイで他サイトを包めないか」と尋ねると、Drasner は、自サイトの実装は所有者が行うもので、他サイト向けにはできないと答えた。代わりに、React や Vue で設定変更だけで使えるようにする案や、DOM を解析して自動対応する案を探っている。後者はつなぎとしては有用だが、DOM はアプリケーションの状態ではないため理想ではなく、最終的にはサイト運営者が WebMCP を検討すべきだという。 WebMCP は MCP、REST、GraphQL を置き換えるものではなく、併用できるとも述べた。クライアント側で見せたい状態は WebMCP、バックエンド呼び出しは MCP といった連鎖も可能だ。さらに、「一日を締める」や「いつもの買い物をカートに入れる」といったバッチ処理的なツールを作り、アクセシビリティや忙しい人の助けになり、利用者を驚かせる体験になりうると語っている。 #### まとめ 本エピソードの要点は、エージェント時代のウェブ設計を、攻撃への防御だけでなく、利用者が選べる体験づくりとして捉えている点にある。WebMCP は既存の UI 状態や API と併用でき、書き換えコストを抑えて導入できる道を探っているというのが Drasner の説明である。日本の開発者にとっては、自社サイトのどの操作をエージェントに公開し、どこでユーザー確認を挟むかを設計する視点が参考になる。ただし議論は講演前のインタビューであり、具体的な実装仕様や普及状況までは語られていない。 > この要約・解説記事は、元の音声の文字起こしをもとに AI（Claude）が日本語で作成したものです。出典: Agentic Conversations (formally mlops.community)「Agents Acting Safely on Our Behalf」