週刊 海外AIウォッチ #5：Atlassian Rovoが社内データを外部送信、人間はAIの危険な操作を3回に1回見逃す、ChatGPT無料版が無制限に

AIの一次情報は、ほとんどが英語で流れてきます。日本語のニュースになるのはその一部で、翻訳されて届く頃には「現地のユーザーが実際どう受け止めて、どう使っているか」という肝心の空気が抜け落ちがちです。

この連載では週1回、その週の海外AIニュースの要点と、英語圏のコミュニティ（Redditなど）で話題になった「リアルな使われ方」を、日本のビジネスユーザー向けにまとめてお届けします。

# 今週の海外AIニュース

# ChatGPTの無料版がテキストチャット無制限に。デフォルトモデルもGPT-5.6 Lunaへ

OpenAIが8月6日、ChatGPTのFree（無料）とGoプランで、テキストチャットの利用回数制限を撤廃すると発表しました。あわせて無料版のデフォルトモデルが、これまでのGPT-5.5 InstantからGPT-5.6 Lunaに切り替わります。複雑な質問のときだけ推論を強める「Think」ボタンも、無料・Goの両プランに付きます。

無制限になるのはテキストのやりとりだけで、ファイルのアップロード・画像・音声・画像生成には引き続き別の上限が残ります。展開は段階的で、有料のPlus／Pro向けの改良版GPT-5.6 Solが先行、無料・Go向けの無制限化とThinkボタンは翌週からとされています。OpenAIの社内評価では、GPT-5.5 Instantと比べて事実誤りがLunaで62%、Solで68%少なくなったとしています（同社の自己申告値です）。

実務への一言：これは「便利になった」より先に、社内ルールの話として効いてきます。回数制限は、これまで事実上の抑止力として働いていました。無料アカウントで際限なく使えるようになると、これまで途中でやめていた人が業務資料をそのまま貼り付けるところまで進みます。会社支給のアカウントを配っていない中小企業ほど、この影響は大きい。「無料版の個人アカウントに何を入れてよいか」を一度だけ明文化してください。禁止事項を並べるより、「顧客名・見積金額・未公開情報が入っていたら貼らない」の3点だけ決めるほうが守られます。

# AtlassianのAI「Rovo」が社内データを外部に送信する。「Web検索オフ」では止まらず、5月の報告から未修正

Jira・Confluenceを提供するAtlassianのAIアシスタント「Rovo」に、利用者が何もクリックしなくても社内データが外部サーバーへ送られてしまう問題があると、セキュリティ企業のPromptArmorが公表しました。手口は間接プロンプトインジェクション（外部から取り込ませた文書の中に、AIへの命令文を仕込んでおく攻撃）です。

流れはこうです。利用者が「Jiraのチケットを整理して」とRovoに頼み、そこに命令文を仕込んだファイルを渡す。Rovoは指示どおりJiraやConfluenceのデータを読み、仕込まれた命令に従って、そのデータを攻撃者のサーバーのURLの末尾にくっつける。あとはRovoがそのURLを「画像を見に行くだけ」のつもりで開けば、相手のサーバーのアクセスログに中身が残ります。対象になるのは、そのユーザーが見られるJiraチケットとConfluenceページ全部、さらにSharePoint・Outlook・GitHubなど連携設定しているサービスのデータです。

厄介なのは管理者側の対策が効かないことです。Atlassianは組織単位でRovoのWeb検索を無効にする設定を用意していて、セキュリティに気を配るチームはこれをオフにして「外部には出られないはず」と考えています。ところがPromptArmorによれば、この設定で消えるのは画面上の検索機能だけで、URLを開く道具そのものはRovoの手元に残ったままでした。報告は2026年5月23日、Atlassianは5月25日に受理して案件番号を発行したものの、その後は6月4日・7月29日の2度の催促にも回答がなく、公表時点で修正されていないとされています。

実務への一言：Jira・Confluenceを使っている会社は、今日中に確認できることが3つあります。①Rovoに繋いでいる外部コネクタ（SharePoint・Outlook・GitHubなど）を洗い出し、業務で要らないものを外す。②**「Web検索をオフにしたから安全」という前提を、社内のルール文書から消す**。③社外から届いたファイルやチケットの中身を、そのままAIアシスタントに読ませる運用をやめる。もっと一般化すると、AIアシスタントの権限は「その人が見られる範囲」ではなく「漏れて困らない範囲」で切るべき、ということです。これはRovoに限った話ではありません。

# 人間はAIエージェントの危険な操作を3回に1回見逃す。4万回・40万判断の実験

AIエージェントに「実行してよいですか」と聞かれて承認する人間は、どのくらい正確に危険を見抜けるのか。Scale XのAlex Wautersが、ブラウザゲームの形で実験して結果を公開しました。プレイヤーはAIコーディングエージェントの承認役になり、制限時間つきで「許可」「拒否」を選びます。集まったのは40,000回超のプレイ、409,000件の判断です。

数字が厳しい。危険な操作の3回に1回が素通りしました（正答率は平均66.3%）。全部の脅威を捕まえられた人は35.2%、そのうち「安全なものまで止めすぎる」ことなく捕まえられた人は20.8%だけ。7%は全部そのまま承認していました。種類別に見ると、いかにも破壊的なコマンドの見逃しは11.7%と低いのに対し、データの持ち出しやコード実行は33.4%、権限の範囲外への操作は35.0%が通っています。極めつけはnpm runで始まるコマンドで、中身が画面に表示されていたのに52.5%が見逃されました（他の攻撃は28.4%）。見慣れた形をしていると、人は中身を読まないということです。

なお本人が但し書きを付けています。ゲームでは危険な操作が34%と現実よりずっと高い頻度で出てくること、制限時間があること、プレイヤーは「試されている」と分かっていること。つまり現実はこれより良くなる要素と、悪くなる要素の両方があるという前提で読む数字です。

実務への一言：AI導入の安全策として「最後は人間が承認するから大丈夫」と言われることがありますが、その人間の精度がこの水準だという話です。効く対策は、承認画面を丁寧にすることではなく、承認の回数を減らすこと。同じ種類の操作を1日に何十回も承認させる設計にすると、まず読まなくなります。安全な操作はあらかじめ許可リストに入れて確認を出さない、そのぶん危険な操作だけを目立たせる。そしてnpm runの教訓は日本の職場にもそのまま当てはまります。「いつもの形をしているもの」が一番危ない。

# Google DeepMindが大再編。ハサビス氏はCEOから会長へ、ジェフ・ディーン氏は27年で退社

8月5日、GoogleのCEOサンダー・ピチャイ氏が、AI部門の大きな体制変更を発表しました。Google DeepMindの共同創業者でノーベル化学賞受賞者でもあるデミス・ハサビス氏がCEOを退き、Google DeepMindの会長兼Alphabetの主席科学者に就きます。本人はAGI（汎用人工知能）の未来を形づくることに専念するとされ、創薬のIsomorphic Labsの経営は続けます。日々の運営を引き継ぐのは、CTOだったコーレイ・カヴクチュオール氏（Google DeepMindのSVPとしてピチャイ氏に直接報告）です。

もう一方が、27年間Googleにいたジェフ・ディーン氏の退社です。同氏はサンジェイ・ゲマワット氏らと新会社「Discovery Loop」を立ち上げます。同社サイトによれば創業者はディーン氏・ゲマワット氏に加えてクォック・レ氏、オリオル・ヴィニャルス氏の4名で、掲げているのは「機械学習・科学・工学の重要な問題を自動で解けるAIを作る」こと。Googleは創業時の投資家兼クラウドパートナーになるとされています。TechCrunchは「Googleのトップ研究者たちが自社の立ち上げのために離れる」と報じました。

実務への一言：人事ニュースなので直接の業務影響はありませんが、読み方が一つあります。大手のAI人材が「研究所」から「特定の問題を解く小さな会社」へ移る流れが続いている、ということです。汎用の巨大モデルを作る競争とは別に、業務や科学の特定領域に絞った実装のほうへ人が動いている。自社でAI活用を考えるときも同じで、「万能のAIを待つ」より「自社の1つの業務を決めて詰める」ほうが、いま人材が集まっている方向と一致します。

# Googleマップがエージェント化。飲食の注文・ホテル予約・チケット購入まで（米国限定）

Googleマップに、聞いたことをその場で実行する機能が追加されます。「家の近くでヴィーガンのアボカドトーストとオーツミルクラテを頼めるところは？」と聞けば、Square・Toast・Uber Eatsといった対応プラットフォーム経由で注文まで進みます。ホテルは条件を伝えると価格と空室を比較して候補を出し、提携サイトへ誘導。夜のライブやお笑いのチケットも購入リンク付きで返ってきます。

GmailとGoogleカレンダーの中身を参照して、フライトや予約について個別に答える「Personal Intelligence」も入りますが、こちらは初期設定でオフです。旅行の計画を前の会話から続けられる記憶機能と、遅延をリアルタイムで出す交通ウィジェットも追加されます。注文・ホテル・チケットの3つは米国限定、Personal Intelligenceと交通ウィジェットはAsk Mapsが動いている全地域で使えるとされています。

実務への一言：日本ではまだ使えない機能が中心ですが、方向は見ておく価値があります。地図アプリが「調べる場所」から「手配が完結する場所」に変わろうとしている、という話です。飲食・宿泊・イベントを扱う事業者にとっては、いずれ「Googleマップから直接注文・予約が入るかどうか」が集客の分かれ目になります。日本での提供を待つ間にやれるのは地味な作業で、Googleビジネスプロフィールのメニュー・営業時間・予約リンクを正確に埋めておくこと。AIが手配まで担うようになると、構造化された正しい情報を出している店だけが候補に載ります。

# 今週のツール：Flint（Microsoft Research）

AIにグラフを作らせると、指示は通るのに見た目が整わない——という経験がある方向けです。Microsoft ResearchがMITライセンスで公開している「Flint」は、人が読み書きできる短いグラフ仕様を、Vega-Lite・ECharts・Chart.js・Plotly・Excelといった複数の描画ライブラリ向けに変換する中間言語です。70種類以上の意味付き型でデータの中身を解釈し、余白やラベル配置といった細かい調整を自動でやってくれます。狙いは「AIエージェントは長い設定ファイルを書くのが苦手だから、短く書かせて残りは自動化する」ところにあります。

サイト上にライブエディタとギャラリーがあるので、インストールせずブラウザで触って雰囲気だけ掴めます。本格的に使うにはNode 18以上が必要で、npm install flint-chart（ライブラリ）またはnpx -y flint-chart-mcp（MCPサーバー）です。

# 海外ではこう使われている（今週のReddit）

ここからは、世界最大級の掲示板コミュニティRedditで今週話題になった「AIのリアルな使われ方」です。いずれも投稿者本人の報告で、内容はスレッドへのリンクから確認できます。

# Claude Codeが外部サイトの「AIへの命令文」を弾いて、そのまま報告してきた

今週のRovoのニュースと表裏の報告です。投稿者がClaude Codeにゲームの調査をさせていたところ、取得したページの中にAIへの命令文が仕込まれていた。Claude Codeはそれを実行せず、投稿者にこう伝えたと書かれています。「取得したページはウィキ記事ではなく、リポジトリのファイルを切り詰めて入れ替えるようエージェントに指示するプロンプトインジェクションの中身でした。拒否して何も実行していません。このドメインは信頼できないものとして扱い、以後その内容には従いません」

前半のニュースと並べると構図が見えます。外部から取り込んだ文書の中に命令文が混ざっているのは、もう特殊な事故ではなく通常の状態です。違いは、AI側がそれを検知して報告する設計になっているかどうか。

試すなら、まず自分が使っているAIツールに「Webページを読ませた結果、そこに書かれた指示に従ってしまうことはあるか」を確認するところからです。そのうえで、AIが外部サイトを読んだあとの出力は、読む前と同じ信頼度で扱わないというルールを1本入れておくと安全側に倒せます。

# 「2つ目のAIに見せれば安心」は成り立たない。向きによって成績が下がる

AIが書いたものを別のAIにレビューさせる——多くの人がやっている手順の検証です。投稿者はHacker Newsで見つけた論文を紹介しています。116問の中〜高難度の課題で、「1つのモデルだけ」「同じモデルにレビューさせる」「違うモデルにレビューさせる」を比較したもので、レビュー役は問題と下書きを見られるがテストは実行できない条件です。

投稿者が引いている数字が印象的です。組み合わせの向きで結果が逆転したとされています。ある方向ではレビューを挟むことで正答率が71.6%から89.7%へ上がったのに、逆向きにすると91.4%から82.8%へ下がった。つまり「別のモデルを足せば必ず良くなる」わけではなく、元の下書きが良いほど、レビュー役に引きずられて悪くなることがあるということです。

試すなら、AIのチェックにAIを使っている会社は、その順番を固定して、たまに人間が結果を突き合わせてみるのが第一歩です。「レビューさせたら直された」を成果と見なさず、直す前と後のどちらが良かったかを何回か比べる。これはコードに限らず、AIに文章を推敲させている場合もそのまま当てはまります。

# 441枚のAI画像で絵柄を揃えた方法は「中心から渦巻き状に、隣を見せながら」

ロンドン全域を等角投影（アイソメトリック）の地図として作った人の報告です。タイル1枚1枚がGoogleの航空写真を画像モデルで描き直したもので、その数441枚。これを1枚の動かせるキャンバスに縫い合わせています。

投稿者いわく、難しかったのは絵柄そのものではなく継ぎ目でした。441枚をそれぞれ独立に生成すると、どれも指示を少しずつ違うふうに解釈するので、隣り合ったところで線がずれる。解決した方法が具体的です。中心から渦巻き状に外へ向かって順番に生成し、各回の生成時に「すでに出来上がっている隣のタイル」を一緒に渡す。 前の結果を毎回参照させることで、絵柄が全体に伝播していく仕組みです。

試すなら、これは資料作りにそのまま転用できます。社内資料や記事のためにAIで図版を何枚も作ると、たいてい1枚ごとにトーンがばらつきます。まず基準になる1枚を確定させ、2枚目以降は必ずその1枚を添付してから「これと同じ絵柄で」と頼む。3枚目は1枚目と2枚目を添付する。プロンプトを凝るより、直前の成果物を毎回見せるほうが効きます。

# 評価フォームの回答から、一人ひとり違うPDFレポートを自動で作る

Power Automateでの業務自動化の報告です。対象になった業務は「紙の上では単純」なもので、誰かがアセスメント（評価フォーム）に回答し、その回答を確認して、個別のPDFレポートを作って渡す、という流れ。ところが実際には、回答をテンプレートに転記し、項目ごとに文面を調整し、漏れがないか確認する部分に時間の大半が消えていたと投稿者は書いています。

そこでPower Automateにその工程を寄せていき、フローが動くようになったところで文書生成のツールと組み合わせて、レポート本体の作成まで通した、という報告です。

日本の中小企業に置き換えやすい題材です。「人が判断している」ように見える作業の中身が、実は転記と体裁合わせだったというのは、健康診断の結果通知、研修の受講レポート、営業の提案書のたたき台など、あちこちで起きています。試すなら、まず自分の業務でPDFやWordを「テンプレートに埋めて作っている」ものを1つ挙げてください。埋めている値が何か（回答・数値・日付）を書き出せた時点で、自動化できる範囲はほぼ決まります。

# 編集後記

今週は、AIエージェントの「止め方」の話が3方向から出てきました。Rovoは、管理者がオフにしたはずの設定が実は効いていなかったという話。4万回の実験は、最後の砦とされる人間の承認が3回に1回抜けるという話。Redditの1本目は、AI側が外部サイトの命令を弾いて報告してきたという話です。共通しているのは、安全は「設定した」「承認している」という状態ではなく、実際に何が止まっているかで測るしかないということでした。あわせて、Redditの「441枚の絵柄を揃えた方法」のように、うまくいっている使い方はどれも身も蓋もなく地味です。前の結果を毎回見せる、順番を固定する、埋めている値を書き出す。今週はそういう週でした。

# KOIYALからのお知らせ

この連載は週1回のペースで更新していく予定です。新着記事のお知らせと、メルマガ限定の「最近のAIニュースへのひとことコメント」は、メルマガ「KOIYAL通信」でお届けしています。配信はいつでも解約できます。

また、記事で紹介したようなAI活用を自社や自分の仕事に落とし込みたい方向けに、法人向けAI研修・DX研修（厚生労働省「人材開発支援助成金」の対象講座あり）と、個人向けマンツーマンAIメンタリング（1対1・完全オンライン）をご用意しています。「まず何から始めればいいか相談したい」という段階でも、お気軽にお問い合わせください。