エージェントで加わるのは「外部入力」

従来の自動化でも、入力ミスや設定漏れで範囲を越えた操作は起きた（AWS S3 障害 2017、Atlassian の883サイト削除 2022）。違うのは、操作の選択に依頼文以外の文章が入り込むこと。

• 作り手が書いた指示（システムプロンプト・ツールの説明）や、取り込んだ資料・ツール結果の文章が、指示として扱われ、行動を左右する（OWASP AI Agent Security）
• 追いたいのは「何を実行したか」だけではない

エージェントは何を入力として取り込み、誰の権限で動き、その操作はどこで許可されたか

• この3つを操作ごとに結びつけて残せば、どの入力を調べ、どの権限・制御を見直すかが決まる

追うのは、外に現れた操作と、それを支えた権限。