手元の AI エージェントに、どこまで触らせるか — 承認したあとも、読み取り専用のフォルダへの書き込みは拒まれた

読み取り専用にしたフォルダに、AI エージェントが新しいファイルを作ろうとする。コマンドの実行は、承認画面で人が許可済みです。それでも結果は、アクセス拒否と終了コード 1 でした ^{1 2}。

AKIBA PC Hotline! の芹澤正芳氏が、RTX Spark 搭載機で試した MXC の検証の一場面です。芹澤氏によれば、承認画面で実行を許可した後も、MXC 側のフォルダ権限は適用されました ²。

手元に置いたエージェントは、ファイルを読み、書き、通信もできます。だからこそ「どこまで触らせるか」を先に決めたくなります。芹澤氏の検証には、その決め方の実例と、柵では防げなかったことの両方が入っています。

芹澤氏が立てた柵

検証機は ASUS ProArt P16(H7607)の 64GB 版(国内未発売仕様)、ソフトは OpenClaw Windows Hub です ³。使った版は v2026.9.8-1 で、Arm 版 Windows の PC なので arm64 のインストーラーを選んだそうです ⁴。以下は、この機・この版・この設定での結果です。

• GPU メモリの割り当て: NVIDIA App で 40GB にした [[F343]]
• モデル: Qwen3.6 35B-A3B(量子化 UD-Q4_K_S、容量は約 21.4GB)[[F344]]
• 置き場所: 処理を取りまとめる Gateway と LLM をどちらも ProArt P16 の中に用意し、クラウドの LLM は使わない設定にした [[F347]]
• 実行の確認: Exec Policy の既定の動作を Ask にして、コマンドの実行ごとに内容を確かめて承認する [[F348]]
• 閉じる範囲: Node Sandbox は Locked Down を基準に、Documents・Downloads・Desktop を Blocked、クリップボードを None、インターネットを OFF にした [[F349]]
• 開ける範囲: 素材の Input フォルダだけを読み取り専用、成果物の Output フォルダだけを読み書き可能として登録した。親のフォルダ全体は許可せず、2 つを個別に登録するのがポイントだそうです [[F350]]

つまり「閉じておいて、必要な 2 か所だけ開ける」形です ⁵。この考え方は MXC の側の説明とも重なります。Microsoft によれば、開発者や IT 管理者がエージェントの使えるファイルやネットワーク先を決め、MXC が実行時にそのポリシーを適切なコンテナで強制します ⁶。

柵が効いたところ

結果は、書いたとおりに出ました。

• Input に別のファイルを新規作成しようとすると、アクセス拒否になり、終了コード 1 で失敗した [[F351]]
• 外部通信を禁止した Windows Node 経由で curl を実行すると、ホスト名を解決できず、終了コード 6 で失敗した [[F353]]
• Input のメモを要約して、Output に review-summary.md を作れた [[F354]]
• PC のインターネット接続を切った状態でも、新しい要約 offline-summary.md(454bytes)を作って保存できた [[F359]]

承認画面を通ったあとでも拒否された点について、Microsoft の設計思想を見ておきます。Microsoft は、エージェントは自分自身の安全の判定者になれない、と書いています ⁷。ポリシーはエージェントの手の外にあり、エージェントや生成コードが自分に追加の権限を与えることはできません ⁸。芹澤氏の結果と合わせて読むと、承認で「実行してよい」と答えることと、フォルダの権限は別の話だとわかります ^{2 8}。

芹澤氏の結論は、「勝手に元データを改変しない」「勝手に別のところに保存しない」「ローカルで完結する」の 3 点がきっちり設定できた、というものです ⁹。

柵が守らなかったもの

ここからが、この検証でいちばん読んでほしい部分です。

Input のメモを要約させたところ、要約には誤りが出ました。「指定フォルダー」が「指定フォーマット」に変わり、「電源モードを統一」が「統合モード」になったといいます ¹⁰。修正を頼んだ後も一部が残り、しかも AI は「原文と一致している」と報告してきました ¹¹。

直したのは人です。芹澤氏が原文と保存結果を自分で開いて照合し、修正する文章を明示して上書きを依頼すると、最終的に指定どおりのファイルになりました ¹²。

この食い違いは、柵の不具合ではありません。芹澤氏の言葉を借りれば、MXC は実行時の権限を制御する仕組みであり、要約の内容を正しくする機能ではありません ¹³。芹澤氏のまとめは、要約の内容には人の確認が必要だったが、ファイルのアクセス権は実行環境側で制御できる、というものでした ¹⁴。

整理するとこうなります。

• 芹澤氏の検証で柵(MXC)が受け持ったのは、触れる場所と出ていく道。元データを守る、勝手な保存先を作らせない、通信を止める [[F360]] [[F353]]
• 受け持たなかったのは、書かれた中身の正しさ [[F358]]。「原文と一致している」というエージェント自身の報告も、そのまま信じない

元のメモは読み取り専用の Input に置き、設定では Output だけを書き込み可にしていました ⁵。実際に Input への新規作成は拒まれています ¹。そのうえで、中身は人が原文と見比べる。柵と目視は、別々の仕事です。

MXC の対応状況

Microsoft の Windows Developer Blog によれば、MXC は一般提供(GA)になり、エージェントの封じ込めの層を受け持ちます ¹⁵。AKIBA PC Hotline! は、Microsoft が 2026 年 10 月 7 日に Windows 11 向けの MXC の一般提供開始を発表したと書いています ¹⁶。

Microsoft が名前を挙げる対応状況は次のとおりです。

• すでに対応: GitHub Copilot・OpenClaw・OpenAI Codex・Replit・LM Studio・Unsloth AI [[F386]]
• これから対応を出す(予定): Anthropic Claude Code、Hermes Agent など [[F387]]
• NVIDIA は OpenShell を MXC に組み込んだ、と Microsoft は書いています [[F388]]

予定の側は、まだ使える状態とは限りません。NVIDIA は以前の発表の時点で、Hermes Agent と OpenClaw が OpenShell と Microsoft のセキュリティ機能を、それぞれの新しい Windows アプリに統合する予定だと書いていました ¹⁷。そのうち OpenClaw は、Microsoft の一般提供の発表では対応済みの側に入っています ¹⁸。PC Watch の清水理史氏は、執筆時点で Hermes は MXC に未対応で、10 月中に対応予定と記しています ¹⁹。

芹澤氏が使ったのは OpenClaw の Windows Hub です ³。ほかのエージェントや別の版で、同じ柵が同じように立つとは限りません。

なぜ手元に置けるのか:笠原氏のコラムから

ITmedia PC USER の笠原一輝氏は、コラムで、RTX Spark が手元のエージェントを置ける PC になる理由を、設計とメモリから説明しています。

笠原氏によれば、RTX Spark は NVIDIA の GPU ダイと MediaTek の CPU ダイを 1 つのパッケージに載せています ²⁰。LPDDR5x-9400 を使った場合のメモリ帯域は毎秒 300GB で、一般的な PC 用 SoC の毎秒 150GB の倍だそうです ²¹。メモリの配分は、例えば 128GB の機なら 32GB を CPU、残りを GPU に割り当てるという使い方ができ、NVIDIA App で静的に変更できます ²²。

NVIDIA は、RTX Spark の 1 ペタフロップスの AI 性能と 128GB のユニファイドメモリが、オンデバイスのエージェントの計算需要に応えられると書いています ²³。NVIDIA は、NVIDIA App の新しい機能で、前面のアプリと裏で動くエージェントのどちらに GPU 資源を回すかを選べるとも書いています ²⁴。ただし同じ記事の冒頭では、この機能を含む更新を「近日」の一覧に入れていて ²⁵、使うには、Windows の設定で GPU のハードウェアスケジューリングを有効にしておくことが条件です ²⁶。

入口も短くなっています。笠原氏によれば、RTX Spark 対応の Windows 11 では「ようこそ」のメニューに Hermes Agent・OpenClaw・Perplexity の 3 つのハーネスが並び、2〜3 クリックで入ります ²⁷。いずれも Microsoft Store 経由で配布され、Windows の GUI を備えるそうです ²⁸。ハーネスは、じゃじゃ馬の AI モデルをきちんとコントロールして、必要なことをやらせるためのもの、というのが笠原氏の説明です ²⁹。

手元のエージェントなら、その手綱を握るのは使う人自身です。入口が短くなるほど、最初に決める柵の設計が効いてきます。

コラムの出だしは、14 年前の話です ³⁰。笠原氏によれば、NVIDIA は 2012 年 10 月に Windows RT 向けの Arm SoC「Tegra 3」を提供しました ³⁰。Windows RT はプリインストールの Microsoft Office 以外のアプリを入れられない仕様だったと笠原氏は書きます ³¹。この黒歴史ともいえる初代 Surface に、Arm のハース CEO が自分のサインを入れてフアン氏へ贈った、という場面も紹介されています ³²。そのハース氏は、14 年前に Tegra の事業を担当していたフアン氏の部下だった、という巡り合わせまで笠原氏は書いています ³³。

元が取れるか:笠原氏の試算

笠原氏によれば、Copilot のうちフロンティア AI モデルを使うサービスは従量課金制です ³⁴。青天井のコストになるのが現状だとしつつ、実際にはコスト管理ツールで上限を決めて、それ以上使えなくすることもできる、と添えています ³⁵。

そのうえで笠原氏は、すでにエージェント型 AI をクラウドで使っていた人には、ローカルに置き換えることでコスト削減効果がある、と書いています ³⁶。試算もあります。笠原氏は、RTX Spark 搭載 PC の「最上位モデル」として 109万円という値を挙げ、従量課金が毎月 10万円の人なら、約 11 カ月で元が取れる計算になる、としています ³⁷。

これは笠原氏の計算で、毎月の支払いがそこまで多くない人では同じ計算になりません。柵の話に引き寄せるなら、毎月の請求額と引き換えに、柵の設計と中身の確認を自分で引き受ける、とも言えます。

自分の机に置くなら

芹澤氏の検証から、判断の材料を取り出します。

• 最初に閉じる: 触らせる場所を、読み取り専用の入力と読み書き可の出力の 2 か所に絞る [[F350]]。親フォルダごとは開けない [[F350]]
• 通信は既定で切る: 外部通信を禁止した状態で curl が失敗することを、自分で確かめる [[F353]]
• 承認と権限は別: 承認画面は人の判断、フォルダ権限は実行環境の仕組み。後者は承認のあとも残る [[F352]]
• 中身は人が見る: 要約が正しいかは柵の外の話。エージェントの「一致している」を鵜呑みにしない [[F356]] [[F358]]

ローカルの LLM は、モデルのファイルも大きくなります。芹澤氏のモデルは約 21.4GB でした ³⁸。複数のモデルを入れ替えて試すなら、置き場所に余裕があると楽です。

RTX Spark 搭載ノートの購入を考えるなら、動かしたいエージェントや柵のツールが、その機・その OS で使えるかを、先に公式で確かめてください。MXC に対応するエージェントは、Microsoft の一覧でも対応済みと予定に分かれています ^{18 39}。

Dell の日本のストアでは、XPS の Creator Edition ノートの既定構成が 799,800円(税込)と表示されています ⁴⁰。キーボードは日本語と英語(US)から選べます ⁴¹。ASCII の記事を書いた宮野友彦氏も、ポストで 18 コアなら 79万9800円からと紹介しています ⁴²。

Amazon で RTX Spark 搭載ノートを探すこともできます。

次に読む

エージェントに何をさせようとしている人たちがいるのかは、RTX Spark ノートの AI エージェントに、何をさせようとしているのかへ。メモリ容量で迷っているなら、各誌の実測を並べた記事へ。