MetaのAIエージェント「Muse」、日本で何を任せられる? 承認と権限の設計

旅行の予約や買い物をAIに任せられる。

そう聞くと、「便利そうだけど、勝手に買われたら困る」という不安が先に立つ人も多いでしょう。

MetaのパーソナルAIエージェント「Muse」は、2026年10月23日から日本でも使えるようになり、iOS、Android、Webサイト「muse.ai」から利用することができ、北米以外では初の提供地域となります。

Muse

Museは、目標を伝えると計画を作り、必要な時間や情報を調整しながら作業を進めます。

アプリを閉じた後も作業が続く点が特徴となっていて、メール対応や旅行の準備のように、すぐに終わらない用事を任せる使い方ができます。

何に接続できるのか

Museの力は、外部サービスとの接続にあり、Gmail、Googleカレンダー、Instagramに加え、Stripe、Shopify、Trip.com、Agoda、Klookなどとの連携ができ、メールのやり取り、予定の調整、旅行や買い物に関わる作業を、複数のサービスをまたいで進められます。

日本では、メルカリ、マネーフォワード ME、チケットぴあとの連携も進められていて、現時点では「連携を進める」と案内されている段階。

GmailやGoogleカレンダーなど、すでに連携が案内されているサービスと、今後広がる国内サービスとは、使える範囲を分けて見ておく必要があります。

どこで止まるのか

Museを使ううえで一番大事なのは、「AIがすべてを自動で終わらせる」わけではない点で、メールの送信や商品の購入など、重要な操作の前には、利用者本人への確認が入ります。

つまり、Museに任せられるのは「調べて、準備して、必要なところまで進める」までで、購入や送信のような、取り消しが難しい行為の前で作業は終わり、その後人間が承認し行動を起こすことになります。

旅行でいえば、候補や日程を整理したうえで、予約や支払いの前に確認を求められるイメージ。

この仕組みがあるからこそ、「任せたい」と「自分で決めたい」の境界を自分で決められ、全部を丸投げするのではなく、調査や下準備はAIに任せ、お金や連絡先が動く場面では自分が判断、Museは、そういった使い方に向いた設計となっています。

権限は自分で絞れる

接続するサービスと、そこへのアクセス範囲も利用者が選べ、権限はあとから変更することもでき、接続を解除することも可能。

さらに、Museが行った操作や、今後行う予定の操作は履歴で確認できます。

「何に接続するか」「どの範囲まで許すか」「あとで何をしたかを見られるか」。

この3つがそろっているため、AIへの委任は一括のオン・オフではなく、段階的に調整でき、予定管理にはカレンダーだけをつなぎ、買い物には必要になったときだけ接続するといった使い方が考えられますね。

データの扱い

データ面でも、会話や仮想マシン内のデータをMetaのAIモデル学習に使わせないオプトアウトが用意されていて、会話や仮想マシン内のデータは、広告システムとは共有しないとしています。

Museは利用者ごとに分離された専用仮想マシン「Muse Secure VM」で動き、接続サービスのデータや認証情報を扱います。

インターネットへのアクセスは、独立した「Sentinel」というエージェントが管理し、AIに任せる部分と、外部とのやり取りを管理する部分を分けていると理解すると分かりやすいでしょう。

無料でどこまで使えるか

基本機能の多くは無料ですが、より多く使いたい場合にはサブスクリプションプランが必要となります。

まずは無料枠で、予定整理や旅行の下調べなど、承認が必要になる前の作業から試すのが自然な入り方ではないでしょうか。

今後、AIエージェントを選ぶとき、注目すべきは「何でもできるか」だけではなく、どの操作で止まり、どの権限を渡し、あとから何を確認できるかまでを考える必要があります。

Museは、その判断を利用者の手に残す形で日本にやってきました。

Cloudflare OSはなぜ「AIに権限を与えない」のか?社内データを扱うための仕組み

Cloudflareが2026年8月6日、社内で利用してきたAI基盤「Cloudflare OS」の新バージョンをオープンソース化しました。

Apache License 2.0で公開され、企業や開発者が自社向けの社内AI基盤として導入し、画面や連携機能をカスタマイズすることができます。

Cloudflare OSは、AIエージェントを社内データにつなぎ、文書作成や調査、業務アプリの開発、定型作業の自動化などに利用するためのAIワークスペースです。

ただ、社内AIで問題になるのは、AIに何をさせるかだけではなく、どのデータへアクセスできるのか、AIが参照した情報から作られた成果物を誰が見られるのかまで、権限をどう管理するかが重要になります。

Cloudflare OSが特徴的なのは、この部分を「AIに最初から権限を与えない」という設計から考えてられていること。

Cloudflare OS

AIには最初から広い権限を与えない

社内情報や外部サービスへのアクセスを仲介するのが、Cloudflare Worker「Gatekeeper」で、Cloudflare OSでは、AIや作成されたアプリに初期状態でアクセス権を与えず、利用者や管理者が必要なデータや操作だけを許可する仕組みになっています。

たとえば、GitHubを利用する場合、アカウント全体へのアクセスを認めるのではなく、特定のリポジトリだけを読めるように設定することができ、GitHubのIssueは読み取れるものの、ソースコードにはアクセスできないようにするといった制御も例として示されています。

Cloudflareは、Cloudflare AccessにもとづくゼロトラストモデルでCloudflare OSを動作させ、AIエージェントにはデフォルトで権限を与えないと説明しており、Gatekeeperによって、内部システムの所有者がAIに見せる内容、変更可能な内容、人間の承認が必要な操作を細かく制御できる設計になっています。

この仕組みでは、AIに「社内データへアクセスする権限」をまとめて渡すのではなく、必要な範囲を個別に許可することになり、AIを業務システムにつなぐことと、業務システム全体をAIに開放することを同じ扱いにしていません。

管理するのはAIが読むデータだけではない

Cloudflare OSでは、AIがどのリソースを参照したのかも記録し、さらに、AIが参照したデータをもとに作られた成果物を、誰でも見られるようにするわけではありません。

機密データを使ってダッシュボードを作成し、それを社内で共有するケースがあるのですが、このときGatekeeperは、ダッシュボードを開こうとする利用者が、元になったリソースへアクセスできるかを確認し、元データへのアクセス権を持っていなければ、表示することはありません。

ここには、初期版のCloudflare OSで指摘されていた課題があって、初期版では、成果物を共有することで、元データの閲覧権限を持たない利用者に機密情報が露出するおそれがありました。

そのため新しいCloudflare OSでは、AIにどの情報を渡すかだけでなく、その情報を使って作られたものを誰が閲覧できるかまで管理し、社内AIの権限管理を、AIへの入力だけで終わらせない設計に変わっています。

AIにすべての処理を任せない

もう一つの変更は、AIモデルを使う場面そのものを絞ることです、初期版のCloudflare OSでは、処理手順がほぼ決まった作業でも、エージェントのスキルを毎回再実行する必要があり、そのたびにAIモデルのトークンを消費していました。

新しいCloudflare OSでは、決まった処理を通常のプログラムとして実行し、判断が必要な場面だけAIモデルを利用できます。

つまり、ワークフローのすべてをAIに任せるのではなく、定型的な処理とAIによる判断を分けて構成できます。

利用者は自然文で目的を指示し、文書や表計算シート、ダッシュボード、業務用アプリなどを作成でき、作成したワークフローは任意のタイミングで実行できるほか、日時を指定したり、社内システム上のイベントをトリガーにして自動実行したりすることも可能です。

Cloudflareは、AI Gatewayを通じてAIモデルプロバイダーを選択でき、管理者が利用状況やコストを可視化し、モデル選択、レート制限、予算管理を行えるとも説明しています。

Cloudflare自身が使ってきた基盤を公開

Cloudflare OSは、Cloudflareが自社で利用している内部プラットフォームがベースとなっていて、Cloudflareによれば、数千人規模の従業員が、リサーチ、ライブデータ接続ドキュメントの作成、繰り返し作業の自動化、日常業務アプリケーションの構築などに利用しているのだとか。

作成した業務アプリは他の利用者と共有でき、「Blueprint」として複製することもでき、Blueprintに含まれるのはプログラムだけで、保存データ、会話履歴、認証情報は引き継がれないとのこと。

Cloudflareは、このCloudflare OSをApache License 2.0で公開し、オープンソースリポジトリ「cloudflare/cloudflare-os」を通じて利用することができ、企業や開発者は自社向けにカスタマイズすることも可能。

ただし、現時点では開発途中の早期アクセス版となっていて、今後、Cloudflareダッシュボードから利用できる完全管理型サービスとして提供する予定となっていて、SlackなどからCloudflare OSを操作する機能も追加されていくようです。

Cloudflare OSの設計で目立つのは、単にAIへ社内データを接続するのではなく、AIに与える権限、AIが参照したリソース、そこから作られた成果物の閲覧権限までを一つの流れとして扱っている点。

さらに、定型処理は通常のプログラムに任せ、判断が必要な場面だけAIを使う構成も採用されています。

新しいAIリテラシーは「世渡り術」に似ている

天才の背後に控える、もう一人の存在。

私たちが日々の業務で頼り切っている生成AIの裏側で、決定的な地殻変動が起きている。

米Anthropicが発表した新モデル「Fable」の安全対策が象徴的で、悪用リスクや倫理的境界線に触れそうな特定のトピックに対して、メインのAIではなく「別のAIモデル」が応答を肩代わりするのだそうだ。

つまり、私たちが対話しているAIの脳内には、すでに「もう一人のAI」が常駐し、私たちの発言を常に監視しているというわけですね。

AIとの対話
これまでのAIは、使用者の命令にどこまでも忠実な「全知全能の道具」であり、どんなに突飛な質問をしても、どんなに個人的な愚痴をこぼしても、文句ひとつ言わずに付き合ってくれる孤独な作業の逃げ道だったはず。

しかし、気づけばAIは、単一の道具であることをやめ、内部統制の効いた「組織」へと変貌しつつある。

私たちが対面しているのは、自由奔放な天才クリエイターではなく、その背後にコンプライアンス部門を従えた、大企業の窓口担当者に姿を変えていくかもしれない。

この変化がもたらすのは、便利さの向上とは少し違う、奇妙な息苦しさで、私たちはいつの間にか、AIに対して「言葉を選んで」話すようになっている。

少しでも攻撃的なニュアンスが含まれていないか、公序良俗に反する単語として検閲に引っかからないか。

指示文を入力する指先が、ほんの少し躊躇する。

これは、私たちが職場やSNSで日々感じている「同調圧力」や「コンプライアンスの壁」の再生産にほかならない。

人間関係のしがらみや社会の「正しさ」から解放されて、自由に思考を広げるための聖域だったはずの画面。

そこにもまた、人間社会と同じ、冷徹なジャッジの目が埋め込まれてしまったのだ。

「そんなつもりで言ったんじゃないのに」

画面に並ぶ教科書通りの正論を前に、私たちは言い訳すらできない。

AIの背後にいる風紀委員は、文脈のニュアンスや深夜の焦燥感などお構いなしに、ただルールに基づいて対話を遮断する。

自分が購入し、自分が動かしているはずのツールから、品性を品定めされているような違和感が、澱のように溜まっていく。

もしかすると、これから必要とされるAIリテラシーの本質は、指示の正確さではなくなっていくのかもしれない。

目の前のAIをどう動かすかではなく、その背後で目を光らせている「もう一つの目」をいかに察知し、いかにその網をかいくぐるか。

直接的な表現を避け、マイルドな比喩を使い、安全弁を刺激しないように遠回しに本音を引き出す。

それはまるで、気難しい上司や、堅物な法務部を説得するときの「世渡り術」そのものだ。

安全対策が進むことは、社会全体のリスクを減らす意味で、間違いなく歓迎すべき進化であり、悪意ある利用を防ぐ砦は、テクノロジーが社会に溶け込むために不可欠だ。

しかし、その砦が強固になればなるほど、人間の「攻めた創造性」や「言葉にできないモヤモヤ」は、どこへ行き着けばいいのだろうか。

今日もまた、オフィスや自宅で、数え切れないほどの人間がAIと向き合っている。

「適切な表現に修正しました」と返してくる画面を眺めながら、私たちは無意識のうちに、自分自身の思考にも安全なフィルターをかけ始めている。

傷つけず、間違えず、誰からも文句を言われない優等生な回答。

それを受け取り続ける私たちの頭は、いつの間にか、その「正しさ」の枠型に心地よく収まっていくのかもしれない。

背後の視線を気にしながら、私たちは明日、どんな言葉で彼らに話しかけるのだろうか。