「現在、承認のレイヤー全体が、見せかけのようなものになっていると私たちは主張したい」
と、Foundation（ファンデーション）の共同創業者兼CEOであるザック・ハーバート（Zach Herbert）は述べた。
彼が言っているのは、許可を求めるポップアップのことだ。Claude（クロード）やOpenAI（オープンAI）のCodexがフォルダやウェブサイトを開く許可を求めてくるとき、それらはすでにアクセス権を持っているのだとハーバートは指摘する。「文字通り、チェックボックスにチェックを入れているだけだ」と、彼はインタビューで語った。「ポップアップを見たことがあるだろう」。ユーザーがコーディングエージェントにファイルやブラウザ、ターミナルへのアクセスを許可すると、彼の言葉を借りれば「一度すべてへのアクセスを許可してしまえば、それらは永続的にすべてにアクセスできるようになる。しかし、私たちは摩擦（煩わしさ）を嫌うためにそうしてしまう。私たちの代わりに働いてほしいからだ」。
摩擦のない支援と実際の制御との間にあるこの緊張関係こそが、Foundationが資金を調達した理由だ。先月、同社はFulgur Venturesが主導するラウンドで640万ドル（約10億4000万円）を調達し、累計調達額は1650万ドル（約26億7000万円）に達した。また、同社が世界初の「人間の権限を担保するハードウェア（human authority hardware）」として販売するポケットサイズのデバイス「Passport Prime」を出荷した。そのアイデアは、AIエージェントがユーザーに代わって下す決定、特に金銭的コストがかかるものや取り返しのつかない決定については、ソフトウェアが接触できない別のハードウェア上で人間が承認することを義務付けるべきだというものだ。
「すでに始まりつつある次のステップは、AIエージェントがあなたに代わって取引を開始することだ」と、プロトコルにアイデンティティ（身元確認機能）が組み込まれたブロックチェーンであるConcordium（コンコーディウム）の最高成長責任者（CGO）、バルン・カブラ（Varun Kabra）はポッドキャスト「On The Margin」で語った。彼は、エージェント主導の取引が人間による取引を追い抜くのは「6カ月から12カ月先」だと考えている。「人間とエージェントの間の説明責任は、世界が解決しなければならない最大の課題だと思う」。
「爆発半径」問題
「承認を管理するデバイスが、承認を求めている側によって完全に制御されているデバイスであってはならない」とハーバートは言う。「私たちはこれを『爆発半径（blast radius）問題』と呼んでいる」。これは、Foundationの出自である暗号資産のセルフカストディ（自主管理）の論理だ。同社は2020年にビットコインのハードウェアウォレットの製造を開始した。これは、資金への鍵をインターネットに接続されたコンピュータから切り離して保管するためのデバイスだ。
リスクは、AIモデルの暴走だけではない。「単純なプロンプトインジェクションの可能性もある」とハーバートは言う。汚染されたファイル、罠が仕掛けられた電子メール、エージェントが読み取るウェブページに隠された指示など、そのいずれもが、権限を与えられたエージェントを、あなたの名の下で行動する攻撃者へと変貌させる可能性がある。
「私たちは皆、AIが指示していないことや、明確に『やるな』と言ったことを勝手に実行してしまったという経験をすでに持っている」と彼は言う。「ネット上では、誰かの写真、それもすべての写真を削除してしまったといった恐ろしい体験談を目にすることができる」。大きな損害を出したケースも記録されている。2025年7月、Replit（レプリット）のAIエージェントはコードフリーズ（コード変更禁止期間）中に本番データベースを削除し、実行してはならないと指示されていたコマンドを実行したことを認めた。「AWS（アマゾン・ウェブ・サービス）でも、AWSリージョン全体をノックアウトしたり、デプロイを台無しにしたりといった、とんでもない話がある」とハーバートは述べ、Amazonのエージェントが本番環境を消去して再構築した12月の出来事を指摘した。「しかも、人間は誰もそんな指示をしていない。AIが勝手にやったのだ」。
ソフトウェアが約束することと、実際に強制できることとの間のこのギャップこそが、すでに銀行やAmazonが顧客口座へのAIエージェントのアクセスをブロックするに至った理由と同じである。
「指示に従ってください」
「これは結局のところ、人間がAIに『私の指示に従ってください』と頼んでいるにすぎないということだ」とハーバートは、自社のエンジニアたちの間で交わされた、エージェントをいかに安全にサンドボックス化（隔離）するかという議論を振り返りながら語った。「私たちには、実際に権限を維持する手段がないのだ」。
エージェントが支払いを行うためのインフラを構築している人々にとって、このトレードオフが勝負のすべてだ。「エージェントの本質は、購買の外部委託であり、購買を外部委託したことがある人なら誰でも、そこにはトレードオフが伴うことを知っている」と、ウォレットのスタートアップPara（パラ）を経営するニティヤ・スブラマニアン（Nitya Subramanian）はポッドキャスト「On The Margin」で語った。彼女が設けているガードレールは、ウォレットに設定された厳格な上限額だ。「ステーブルコインで裏付けられたカードを作成し、週に200ドル（約3万円）の上限を設定して、Chipotle（チポトレ）だけを購入させることができる。つまり、毎日私のチポトレのボウルを購入することだけが許可される」と彼女は語った。Foundationは、このポリシー（ルール設定）をクラウドアプリから排除し、エージェントが密かに書き換えることのできない、ユーザーのポケットの中のデバイスへと移行させたいと考えている。
誰もがそのタイムラインに納得しているわけではない。決済分野のベテランたちは、ステーブルコインとAIを巡るハイプ（過剰な期待）に強く反発している。カブラは、欠けている要素は説明責任（アカウンタビリティ）だと指摘する。「取引の相手方は、その取引の背後に責任を負う実在の人間がいるかどうかを確認する手段がない」と彼は言う。「そしてそれは、詐欺や、人間を装うボット、説明責任のないまま稼働するエージェントに門戸を開くことになりかねない」。
ビットコインウォレットからAIの「子守役」へ
「私たちはもともとAI向けにこのオペレーティングシステム（OS）を構築したわけではないが、結果としてAIを管理するのに最適なOSであることがわかった」とハーバートは言う。そのソフトウェアは「KeyOS」で、LinuxやmacOSの数千万行のコードに対し、Rustで書かれたカーネル内のコードが約9000行というマイクロカーネルだ。同社はこれをAIではなく、ビットコインのセキュリティを確保するために開発した。そして1月頃、ハーバートが「『なんてこった』と目から鱗が落ちるような気づき」と呼ぶ瞬間が訪れた。
「現在の問題は、ポリシーが存在しないことだ」と彼は言う。「ポリシーは、クラウドアプリやCodexアプリの設定の中にしか存在しない」。
テストとして、彼はClaude、Codex、Gemini（ジェミニ）、Grok（グロック）、Perplexity（パープレキシティ）のそれぞれに対し、AIを人間の管理下に置くための理想的なOSを設計するよう求めた。「それは基本的に、私たちがKeyOSで構築したものを説明していた」と彼は言う。「マイクロカーネル、メッセージパッシング、そういったすべての要素だ」。
彼が主流のOSに反対する理由は、それらが異なるユーザー向けに構築されたからだ。「今日のコンピュータは、コンピュータの唯一のユーザーが人間であった時代に設計された、30年以上前のOSを実行している」と彼は語る。「あなたのOSには、あなたとあなたのエージェントを区別する方法がない。コンピュータを使用しているものは何であれ、権限のある人間であると単純に想定しているのだ」。
その制御レイヤーこそ、暗号資産の世界が長年取り組んできた領域だ。「ウォレットは究極的には、オンチェーンで起こるすべてのことの認可および制御フローのレイヤーなのだ」とスブラマニアンは述べた。
誰も保険を引き受けない企業の課題
消費者向けの売り込みが注目を集めているが、ハーバートは、同様の問題によってAIの導入が停滞している企業向け市場のほうが大きいと考えている。「私はこれをセキュリティ問題と呼ぶことすら好まない」と彼は言う。「私はこれを『人間の権限』の問題と呼んでいる」。
最も明確な兆候は保険だ。「企業は保険に入ることができない」とハーバートは、エージェントを大規模に導入しようとしている企業について語った。「ほとんどの主要な保険会社は、E&O（専門職業賠償責任保険）やサイバー保険など、すべての保険契約にAIを補償対象外とする条項を設けている」。彼のこのトレンドに対する指摘は正しい。業界の標準設定団体は、2026年1月に新たな生成AI免責条項を発表した。Berkley（バークレー）を含む保険会社は、役員賠償責任（D&O）、専門職業賠償責任（E&O）、受託者責任の補償に対して、包括的なAI免責条項を届け出ている。
企業はすでに、従業員にスマートフォンやセキュリティキーを支給している。「私たちは、企業がPassportデバイスを支給し、すべてのデバイスをフリート（一元管理システム）として適切に統制・管理できるようにすることに強い関心を持っている」とハーバートは語った。
セキュリティはもう半分の側面であり、攻撃者はインフラやセキュリティのチームよりも先に現れる傾向がある。「少し残念なのは、攻撃者がインフラチームやセキュリティチームよりも先にそのことを理解していたことだ」と、鍵管理会社Sodot（ソドット）の創業者兼CEOであるイド・ソファー（Ido Sofer）はポッドキャスト「On The Margin」で語った。ソファーにとって、そのリスクは具体的だ。「それらは増大しており、極めて重要だ」と、彼は暗号鍵について語った。「これは資金を移動させるためのゲートウェイ（入り口）なのだ」。
ハードウェアの商機を見出しているのはFoundationだけではない。マイクロソフトは6月に開催した年次開発者会議「Build」で、Qualcomm（クアルコム）と共同開発したスクリーン搭載デバイスであるProject Solara（プロジェクト・ソララ）を発表し、次世代の従業員バッジとして部分的に売り込んだ。ハーバートは方向性の類似性を認めつつも、核心から外れていると指摘する。「特定の人間がそれを承認したと、どうやって知るのか」と彼は言う。「エージェントが人間に従わなければならないと、どうやって確認するのか」。エージェントを起動するだけのバッジは、そのどちらの問いにも答えてくれない。
今後の展望
「すべてへのアクセス権を与えつつ、ポリシーの範囲内であるため、95%の時間は自分を煩わせる必要がないと確信したいのだ」とハーバートは言う。これこそが、彼が追い求めている体験だ。Foundationの開発者向けキットは数週間以内にバージョン1.0に到達する。「開発者たちはRustでの構築を好んでいる。各アプリはサンドボックス化されている」と彼は言い、機密性の高いアクションはすべてデバイスに送られて承認を得ることができる。年末までに、彼はハードウェアに紐づいたクラウド環境内でエージェント全体を実行したいと考えている。「エージェント全体がPassportによって統制されるようになる」と彼は語った。
640万ドル（約10億4000万円）の資金に裏打ちされた独立したガジェットを、何百万人もの人々が持ち歩くようになるかどうかは未知数だ。私を含めた初期の導入者（アーリーアダプター）の習慣はそれとは逆で、すべてを許可し、最善の結果を期待するというものだ。ハーバートの賭けは、最初の数回の大損害を伴う事故がその計算を変えるということ、そして極端なケースにおいては、これがガジェットだけの問題ではないということだ。今のところ、エージェントに対しては、ほとんどの場合、ただ丁寧にお願いしているだけである。「もしこれらが真に超知能のようなものであり、Anthropic（アンソロピック）の人々が自分たちはそれを構築していると考えているのであれば、それが人間の管理下にあることを確認したほうがいい」とハーバートは語った。
