社員のPCで、AIエージェントがファイルを整理し、PDFから情報を抜き、アプリを操作する。WindowsのCopilot Actionsは、それを画面を見てクリックし、入力する形で行うエージェントです。情報システムの担当者が最初に知りたいのは、どこで動くのか、何に触れるのか、止められるのか、の3つだと思います。

前の記事では、エージェントの開発者がOSの仕組みで権限を決めるMicrosoft Execution Containersを書きました。この記事は、その対になる、Windowsの側がエージェントのために用意した場所、エージェントワークスペースの話です。確認日は2026年10月29日です。

結論を先に書きます。

  1. エージェントワークスペースは、エージェント専用のアカウントと、別のデスクトップでできた、分離された作業場所です。 エージェントがアクセスを求められるのは、利用者のプロフィールにある6つの既知のフォルダーと、すべてのアカウントが使える資源で、許可の設定に応じて読み書きします。それ以外は利用者の許可が要ります。分離しても、読み込む文書や画面の中身によるプロンプトインジェクションのリスクは残ります
  2. 2026年10月時点では、実験的な機能のままです。 Windows Insiderにのみ提供され、一般提供の発表は当社が確認した範囲では見つかりません。情シスが今決めるのは、使うかどうかではなく、どの状態で待つかです
  3. 情シスが決める設定は3つです。 機能そのものの可否、エージェントが使えるコネクタ、同意の期間とファイルの範囲。3つとも、作るのはMicrosoftで、決めるのは自社です

エージェントワークスペースとは何か

2025年10月16日に、Windows Securityを担当するDana Huang氏が「Securing AI agents on Windows」という記事を公開しました。エージェントワークスペースは、そこで示された4つの部品の1つです。

Windowsのエージェントワークスペースが持つ4つの守りの層を4段で示した図。デフォルトで無効、エージェント専用のアカウント、別のデスクトップと6つのフォルダー、機微な操作での利用者の承認の順

デフォルトで無効。 Copilot Actionsは、利用者が設定で有効にするまで動きません。Microsoftのサポートページの手順では、設定の場所は、システムのAIコンポーネントにある、実験的なエージェント機能です。2025年10月のブログは、その間にエージェントツールという階層を書いていて、ビルドによる表示の差は当社では未検証です。サポートページによると、この設定は端末の管理者アカウントでしか有効にできず、有効にすると端末のすべての利用者に適用されます。

エージェント専用のアカウント。 エージェントは、サインインしている人のアカウントではなく、別の標準アカウントで動きます。このアカウントは、利用者が機能を有効にしたときに初めて作られます。別のアカウントなので、人のアカウントとは別のポリシーを当てられ、ファイルや資源の共有も、同じ端末の他の利用者に対して行うのと同じ形でできます。

別のデスクトップと6つのフォルダー。 エージェントは、自分のWindowsセッションと自分のデスクトップで動きます。利用者のデスクトップの活動は、エージェントからは限られた範囲しか見えません。エージェントがアクセスを求められるのは、利用者のプロフィールのドキュメント、ダウンロード、デスクトップ、ミュージック、ピクチャ、ビデオの6つのフォルダーと、すべてのアカウントが使える資源です。プレビュービルド26100.7344以降では、フォルダーへのアクセスの要求に対して、デフォルトで毎回利用者に確認が出ます。それ以外に触るには、利用者の許可が要り、アクセス制御リストのようなWindowsの標準の仕組みが効果を持ちます。サポートページは、これをWindows Sandboxのような仮想マシンより軽い仕組みだと説明しています。

利用者の承認と、引き継ぎ。 機微な操作や重要な判断では、エージェントが追加の承認を求める場合があります。利用者は進み具合を見られて、いつでも作業を引き取れます。Windowsに統合されるエージェントは、信頼できる発行元の署名が要り、問題のあるエージェントは証明書の検証やウイルス対策で遮断できる仕組みです。

分離しても残るリスクがあります。Windowsのブログは、文書や画面の部品に仕込まれた悪意のある内容がエージェントの指示を上書きする、クロスプロンプトインジェクション（XPIA）を名指しし、データの持ち出しやマルウェアの導入につながりうると書いています。エージェントに読ませる文書と開かせる画面は、作業場所の分離とは別に決める項目です。

前の記事のMXCが、エージェントの開発者が自分の製品に組み込む封じ込めだったのに対して、エージェントワークスペースはWindowsがCopilot Actionsのために用意し、利用者の設定で有効にする側です。どちらも、エージェント自身に安全の決定権を持たせない、という考え方は同じです。

2026年10月時点の提供状況

ここは日付つきで書きます。

  • 2025年11月17日、Copilot ActionsがWindows InsiderにCopilot Labsの実験的な機能として配信され始めました。Copilotアプリのバージョン1.25112.74以降で、欧州経済領域を除く段階的な配信です
  • 2025年11月18日、Ignite 2025のWindows Developer Blogは、エージェントワークスペースをプライベートプレビュー、エージェントコネクタをパブリックプレビューと書いています
  • 2025年12月5日に更新されたMicrosoftのサポートページは、設定をプレビューと書き、一般提供の前により細かい制御を足す、エージェントアカウントの規則を段階的に厳しくする、と予告しています
  • 2026年6月2日のBuild 2026のWindows Developer Blogは、MXCやAgent 365の話が中心で、エージェントワークスペースには触れていません
  • 2026年10月29日時点で、一般提供の発表は当社が確認した範囲では見つかりませんでした

Microsoft EntraとMicrosoftアカウントのID対応は、2025年11月18日更新のWindows 11セキュリティブックで「近日」と書かれています。その後に提供されたかは、当社は確認できていません。今のエージェントアカウントは端末の中の標準アカウントです。Entraでアカウントを管理することを導入の条件にしている会社では、対応状況を確かめるまで本番の利用を見送ることを当社は勧めます。

情シスの3つの設定

実験的な段階でも、情シスが決めることはあります。何も決めないと、管理者権限を持つ社員が設定を有効にした端末から、エージェントが6つのフォルダーへのアクセスを求め、その社員の許可しだいで読み書きする状態が始まります。

情シスがWindowsのエージェントワークスペースについて決める3つの設定を順に並べた図。機能そのものの可否、エージェントが使えるコネクタ、同意の期間とファイルの範囲の順に、情シス、利用者、Microsoftの3つのレーンを進む

1. 機能そのものの可否。 実験的なエージェント機能の設定を、誰が、どの端末で有効にしてよいかを決めます。有効にできるのは端末の管理者アカウントだけなので、社員に端末の管理者権限を渡している会社では、社員が自分で有効にできます。Ignite 2025のブログ（2025年11月18日公開。管理ポリシーの部分は11月20日に更新）は、ポリシーのCSPとグループポリシーで、エージェントコネクタとエージェントワークスペースを端末単位で有効か無効にでき、Intuneからのパブリックプレビューで始まる、と書いています。ただし、2026年10月14日付のWindowsAIのPolicy CSPのページには、エージェントワークスペースそのものを指す名前の項目が見当たりませんでした。端末単位で止める正確なポリシー名は未確認です。当社の勧めは、業務での用途が決まるまで無効のままにし、検証用の端末だけを決めて有効にすることです。

2. エージェントが使えるコネクタ。 エージェントコネクタは、エージェントがアプリや設定を操作するための入り口で、エクスプローラーとシステム設定の2つがWindowsに組み込まれています。Policy CSPには、コネクタを利用者に任せる、強制的に有効にする、強制的に無効にするの3択のConfigureAgentConnectorsと、許可するMCPサーバーとホストの接続をJSONで列挙するAgentConnectorAccessPolicyがあります。どちらもWindows Insider Previewの項目で、対象のエディションはEnterprise、Education、IoT Enterpriseです。Proは含まれません。決めるのは、どのコネクタを許すかの一覧です。

3. 同意の期間と、ファイルの範囲。 エージェントが機微な資源に触るとき、Windowsは最初の1回で利用者に同意を求めます。このポリシーが扱う同意の判断が有効な期間はAgentConsentDurationで決められ、デフォルトは720時間、つまり30日です。1時間から8,760時間の間で設定できます。操作ごとの追加の承認や、次に書くファイルの設定との関係は、公式資料では確認できていません。ファイルの範囲は、設定のAIコンポーネントにあるエージェントの一覧で、6つの既知のフォルダーへのアクセスの方針をエージェントごとに決めます。選択肢は、常に許可、毎回確認、許可しないの3つで、デフォルトは毎回確認です。任意のフォルダーを個別に指定する画面ではありません。この個別の設定は、プレビュービルド26100.7344以降です。アプリについては、すべての利用者向けにインストールしたアプリはエージェントも使えるので、使わせたくないアプリは特定の利用者向けにインストールする、とサポートページにあります。

3つのうち、1は今日の設定画面で決められます。2と3のCSPのポリシーはInsider Previewで、Proは対象に含まれません。Proの設定画面でどこまで制御できるかは、別に確かめる項目です。従業員数十人の会社でWindows 11 Proが中心なら、今ポリシーで決められるのは1に近い範囲だけです。それでも、2と3について何を許すかを文書で決めておけば、一般提供のときに仕様を確かめ直して、設定と動作の検証を進めやすくなります。CSPのページは、開発中の設定は変わりうると明記しています。

MXCとエージェントワークスペースの分担

前の記事と合わせて、役割を並べます。

Microsoft Execution Containersとエージェントワークスペースを左右に並べた図。MXCはエージェントの開発者が組み込み、ファイルとネットワークと画面をポリシーで決める。エージェントワークスペースはWindowsが用意し、利用者が有効にし、専用のアカウントと別のデスクトップで動かし、情シスは可否とコネクタと同意を決める

MXCは、エージェントの開発者が自分の製品に組み込む封じ込めで、2026年10月7日に一般提供になりました。触れるファイル、通信先、画面をJSONのポリシーで決めます。MXCもOSの分離の仕組みを使っていて、セッションコンテナーの方式は、別のWindowsアカウントと別のセッションで動かします。情シスにできることは、対応したエージェントを選ぶことと、WSLコンテナのようにIntuneで管理できる側を先に押さえることでした。

エージェントワークスペースは、WindowsがCopilot Actionsのために用意した場所で、利用者が設定で有効にし、専用のアカウントと別のデスクトップで動きます。実験的な段階です。情シスにできることは、可否とコネクタと同意の3つを決めることです。

2つは競合ではなく、提供のされ方と設定の仕方が違います。MXCはエージェントの開発者がポリシーを書き、エージェントワークスペースは利用者と情シスが設定で決めます。別の層だと言い切れる関係は、公式資料では確認できていません。どちらを使う場合でも、情シスの仕事は同じで、エージェントが触れてよい範囲を自社の言葉で決めて、設定に落とすことです。

注意点

当社の環境での動作検証は未実施です。 この記事は、Windowsのブログ、Microsoft Learn、Microsoftのサポートページの読み取りです。

実験的な機能で、Insider限定です。 Microsoftは、Copilot Actionsは間違えることがあり、複雑な画面では苦労する、利用者は作業をよく見ていてほしい、と書いています。業務のPCで本番の用途に使う段階ではありません。

Proは、紹介した3つのCSPのポリシーの対象外です。 Policy CSPの対象はEnterprise、Education、IoT Enterpriseです。Proの設定画面で使える制御は、別に確かめてください。

有効にすると端末の全員に適用されます。 1人の社員の検証のつもりで有効にすると、同じ端末の他の利用者にもエージェントアカウントとワークスペースが使える状態になります。検証用の端末を分けてください。

エージェントアカウントのプロファイルが端末に残ることがあります。 サポートページの既知の問題に、Endpoint Privilege Managementを使う企業で、末尾に「$」が付くエージェントアカウントの、Intuneが管理するプロファイルが端末の中に残る場合がある、とあります。修正は作業中と書かれています。

同意の期間のデフォルトは30日です。 AgentConsentDurationが扱う同意の判断は、デフォルトで30日間有効です。操作ごとの承認やファイルの設定との関係は未確認です。短くするか、そのままでよいかは、自社で決める項目です。

KOIYALの見解

Windowsのエージェントワークスペースは、まだ実験の段階です。それでも当社が今書くのは、情シスが決めることは、機能が一般提供になってから考え始めると遅いからです。可否、コネクタ、同意の3つは、設定の名前が変わっても、問いとしては変わりません。

インハウス経営（AIを活用し、自社で業務を改善し、自社で仕組みをつくる経営）を目指す会社のうち、社員のPCでエージェントを動かすことを検討する会社では、自社でできるようになっておくことが1つあります。エージェントが触れてよい範囲を、フォルダーとコネクタと期間の3つで文書に書くことです。この文書があれば、Copilot Actionsでも、MXCに対応した別のエージェントでも、同じ紙で判断できます。

決めるのは、Microsoftでも、エージェントの開発者でもなく、自社の業務とPCの使い方を知っている人です。実験的な機能の間に、検証用の端末を1台決めて、3つの設定を試しておく。それが、一般提供の日に慌てない準備だと当社は考えています。

次の行動

  1. 社員のPCのうち、Windows 11のエディションがProか、EnterpriseかEducationかを数える。Proだけなら、紹介したCSPのポリシーは使えない
  2. 検証用の端末を1台決め、実験的なエージェント機能を有効にして、6つのフォルダーに業務の資料が無い状態で試す
  3. 許すコネクタの一覧、同意の期間、エージェントごとの6つのフォルダーへの方針を、ポリシーが来る前に1枚の文書に書く

3つが書けたら、それを持って相談に来てください。AIコンサルティングの初回の打ち合わせでは、その文書を、MXCの対応表と並べて1つにまとめます。お問い合わせの本文に、PCの台数とエディション、いちばん触らせたくないフォルダーを1つ書いていただければ、初回の前に当社で3つの設定の案を用意します。

参考