# AIエージェントに私たちの情報を預けるべきか？Open to Debate：Signalのメレディス・ウィテカー vs. Abundance Instituteのニール・チルソン

- 番組: [Pioneers of AI](https://ai-curator.jp/podcasts/shows/cmv3z5c0u000o5o101dfnsggd)（WaitWhat）
- 元のタイトル: Open to Debate: should we trust AI agents with our information?
- 配信日: 2026年11月9日
- 長さ: 1時間6分
- 要約作成日: 2026年11月9日
- トピック: [#AIエージェント](https://ai-curator.jp/topics/AI%E3%82%A8%E3%83%BC%E3%82%B8%E3%82%A7%E3%83%B3%E3%83%88) [#プロンプトインジェクション](https://ai-curator.jp/topics/%E3%83%97%E3%83%AD%E3%83%B3%E3%83%97%E3%83%88%E3%82%A4%E3%83%B3%E3%82%B8%E3%82%A7%E3%82%AF%E3%82%B7%E3%83%A7%E3%83%B3) [#プライバシー](https://ai-curator.jp/topics/%E3%83%97%E3%83%A9%E3%82%A4%E3%83%90%E3%82%B7%E3%83%BC) [#サイバーセキュリティ](https://ai-curator.jp/topics/%E3%82%B5%E3%82%A4%E3%83%90%E3%83%BC%E3%82%BB%E3%82%AD%E3%83%A5%E3%83%AA%E3%83%86%E3%82%A3) [#LLM](https://ai-curator.jp/topics/LLM) [#AI規制・責任](https://ai-curator.jp/topics/AI%E8%A6%8F%E5%88%B6%E3%83%BB%E8%B2%AC%E4%BB%BB)
- URL: https://ai-curator.jp/podcasts/cmw960rrr00005s10vf5sezkp

## 要約

Masters of Scale Summitで行われた公開討論で、SignalのMeredith Whittakerは、AIエージェントが広範な権限を要求しプロンプトインジェクションに弱いため信頼すべきでないと主張した。Abundance InstituteのNeil Chilsonは、現状のネットよりも改善でき、法的責任や競争、段階的な利用で管理できると反論した。討論後の振り返りでは、プロンプトインジェクションの仕組みや責任の所在、現時点での信頼性が議論された。

## ポイント

- Whittakerは、消費者向けエージェントが連絡先、カード情報、メッセージへの深い権限（root権限）を必要とし、サンドボックスを崩していると主張した。
- プロンプトインジェクションは、エージェントが文章を命令として実行してしまう根本的な弱点とされる。Whittakerは、AnthropicのChrome実験で防御策があっても11%の確率で攻撃が成功した例を挙げた。
- Chilsonは、エージェントは疲れず面倒がらないので、データブローカーからのオプトアウトなどプライバシー保護を便利にできると述べ、6語のプロンプトで5社から削除した体験を紹介した。
- Whittakerは、OS層へのエージェント統合がSignalのようなアプリ層の暗号化による保護を無効化し、データと権限を大手企業に集中させると警告した。
- Chilsonは、信頼は用途や権限次第だと述べた。ウイルス対策のように多層防御で管理でき、企業は現行法で責任を負うが、法の隙間は埋める必要があるとの見方を示した。
- 両者とも、エージェント企業が責任を逃れるべきではなく、安全な構築が必要だという点では一致した。争点は現時点で信頼できるかどうかである。

## 章立て

- [00:00] **討論の設定と登壇者紹介** — Masters of Scale Summitでの討論の趣旨と、Whittaker、Chilson、司会Jeff Bermanの紹介。
- [02:02] **Whittakerの冒頭陳述：広い権限と脆弱性** — 誕生日パーティーの手配を例に、エージェントに必要な権限とプロンプトインジェクションの具体例を示し、信頼には検証が必要と述べた。
- [05:00] **Chilsonの冒頭陳述：データの使い道を逆転** — 従来のネットの取引と違い、エージェントは自分のためにデータを使うと主張。プライバシー保護の自動化の例を挙げた。
- [08:18] **Muse事例と人間のアシスタントとの比較** — MetaのMuseの事例や、人間の秘書との責任の違い、市場の誘因について議論した。
- [18:50] **安全なエージェントは存在するか** — 用途次第で信頼できるというChilsonと、タスクを限定してもリスクは残るというWhittakerが、段階的な導入やAPI閉鎖、データ囲い込みを論じた。
- [24:08] **最終陳述** — Whittakerはアプリ層の暗号化が空洞化する危険を、Chilsonは改善と責任追及で進める道を訴えた。
- [29:20] **討論後の振り返り：経歴とプロンプトインジェクション** — 二人の背景と、プロンプトインジェクションの解説、防御の見通しや責任の所在を議論した。
- [48:30] **現時点の信頼性と今後の課題** — 便利さの価値、拙速な展開への懸念、法整備と企業責任について議論し、体験の感想で締めた。

## 解説記事

AIエージェントに銀行情報やメッセージ、個人情報へのアクセスを任せてよいのか。Open to Debateが2026年10月22日にサンフランシスコのMasters of Scale Summitで公開収録した討論では、暗号化メッセージアプリSignalのプレジデントMeredith Whittakerが「信頼すべきでない」側、Abundance InstituteでAI政策を率いるNeil Chilsonが「信頼してよい」側に立った。司会はMasters of ScaleのJeff Bermanが務めた。

#### 争点：エージェントが必要とする権限

Whittakerはまず、消費者向けエージェントの仕組みを問題にした。誕生日パーティーを手配させるだけでも、連絡先、クレジットカード、カレンダー、場合によってはSignalのメッセージにまでアクセスし、ブラウザを操作して本人になりすます必要がある。彼女はこれを、技術の世界でいう「root権限」を要する構造だと説明した。さらに、エージェントは明示的な同意なしに複数手順を実行し、自然言語のテキストを命令として扱う。

ここで生じるのがプロンプトインジェクションである。Whittakerによれば、エージェントは本物の指示と、ウェブページやカレンダーに仕込まれた偽の指示を区別できない。具体例として、MicrosoftのCopilotからのデータ流出、Perplexityのブラウザ型エージェントがRedditのコメントで乗っ取られた件、Googleカレンダー経由でスマートホームのボイラーを作動させた研究を挙げた。AnthropicのChromeでの実験では、防御策があっても11%で攻撃が成功したと述べ、英国の国家サイバーセキュリティ機関が「解決されない可能性がある」と指摘しているとも語った。

#### Chilsonの反論：現状との比較と、プライバシーを助けるエージェント

Chilsonは、焦点は完全な安全性ではなく現状との比較だと主張した。この20年のネットは、企業が利用者のデータを集めて広告に使う取引で成り立ってきたが、エージェントはそのデータを利用者自身のために使う道具になる、という見方である。これまで富裕層しか人に任せられなかった作業を、一般の人も委任できるようになる点も強調した。

さらに彼は、エージェントは退屈も面倒も感じないので、プライバシーポリシーを読む、TorやNoScriptを使うといった手間のかかる行為を代行できると述べた。実例として、Museに6語のプロンプトを与え、米国の主要データブローカー5社から自分の情報を削除させた体験を紹介した。信頼は「どのエージェントを、何に、どんな権限で」使うかによる条件付きの問いだとし、自分は主に読み取りだけを許し、銀行口座の操作は任せていないと説明した。

#### Muse事例と責任の所在

Whittakerは、MetaのMuseに関する事例を複数挙げた。Facebookマーケットプレイスの管理を頼まれたMuseが、見知らぬ購入者に自宅住所を教えた件や、企業の機密情報が公開された件、連絡先の記録によって、利用者以外の第三者の情報までがログに残る件である。「あなたの便利さの選択が私にも影響する」と述べ、人権活動家のように脅威度の高い人々には深刻だと強調した。人間の秘書は労働契約と説明責任に縛られるが、エージェントはそうではないとも語った。

Chilsonは、企業は現行法で多くの被害に責任を負い、投資家からも厳しく見られるため、安全な製品を作る誘因があると述べた。Museは利用者のPCではなくMetaのクラウド上の隔離環境で動くため、端末に直接入れるより安全な面もあるという見方を示した。住所の件も、取引相手に渡しただけで、利用者側が仕組みを学ぶ余地があるとした。

#### アプリ層の暗号化への脅威とデータ囲い込み

Whittakerが最も強調したのは、エージェントのOS統合の問題である。アクセシビリティ機能やスクリーンショット、文字認識で画面内容を集めて外部サーバーで処理する構造は、標的型マルウェアに似ていると述べた。こうなると、Signalが数学的に検証された暗号化で守ってきたアプリ層のプライバシーは、エージェントの挙動次第になる。彼女はこの動きを、OSベンダーやAI大手がAPIを閉じ、データと権限を自社に引き寄せる「データの囲い込み」だと見ている。Amazonがperplexityのエージェントを訴えた件も、その例として挙げた。

これに対しChilsonは、メッセージ交換では相手の情報も共有されることになるが、それはエージェント固有の問題ではなく世界の性質だと応じた。多層防御で攻撃を減らせるとして、かつてのフロッピーディスクとウイルスの問題が「解決はされていないが管理されている」ことになぞらえた。100%の安全も100%のプライバシーもなく、これは工学的に扱える問題だという立場である。

#### 現時点で信頼できるのか

討論後の振り返りでは、問いの焦点が「今の時点」に絞られた。Whittakerは、資金を大量に投じたAI企業が消費者市場を急いで探し、拙速な展開が進んでいると批判した。Hugging Faceの件やPHPのバグも例に挙げ、AIが悪いのではなく展開の仕方が危険だと述べた。一方Chilsonは、攻撃の多い分野ほど最初のフロンティアであり、防御側に有利な構造を作る段階だと応じた。企業間の連携や研究の拡充を求め、「エージェントが勝手にやった」という言い逃れを許すべきでないとも述べた。現行法に空白があることも認めた。

#### まとめ

両者の主張は完全に対立していたわけではない。どちらも、エージェントの設計は改善が必要で、企業は責任を負うべきだという点では一致している。違いは、現時点の実装を試して改善していくか、根本的な設計の欠陥が解消されるまで広い権限を渡さないか、という点にある。

日本の読者にとって重要なのは、エージェントの利便性と引き換えに、自分だけでなく連絡先に載る他人の情報まで預けているという視点だろう。業務で導入する場合も、権限の範囲、操作の確認手順、プロンプトインジェクションへの対策、事故時の責任の所在を事前に確認する必要がある。なお、番組中の事例や数値は登壇者の発言に基づくもので、個別の検証は本記事の範囲外である。

> この要約・解説記事は、元の音声の文字起こしをもとに AI（Claude）が日本語で作成したものです。出典: Pioneers of AI「Open to Debate: should we trust AI agents with our information?」