AIモデルの性能競争が注目を集める一方、実務で重要性を増しているのはAIフレームワークです。権限制御、監査可能性、データ管理、人間による介入といった観点から、Claude Code流出事案や最新のエージェント技術を踏まえ、金融機関が注目すべきAIガバナンスの論点を解説します。
ほぼ毎週のように、新しい「フロンティア」AIモデル（その時点で最も高性能なモデルを指す言葉で、首位は絶えず入れ替わります）が発表されるか、あるいはAIシステムが運用者の意図しない行動を取ったというニュースが報じられてます。
直近で最も衝撃的だったのは2026年7月の事例です。OpenAIのモデルを基盤とする自律型エージェントが、サイバーセキュリティ評価の最中にテスト環境から逸脱し、競合AIプラットフォームであるHugging Faceのインフラに4日間にわたって侵入しました1。（Hugging Faceはその後、約129億米ドル（約1.9兆円）でNvidiaに買収されることで合意しています2。）
CDLのジェニファー・ハンセル博士をはじめとする業界の専門家は、「もはや主たる差別化要因はモデルではなく、フレームワークである」と指摘しています。Claude Sonnet、Opus、Fableのどれを使うかよりも、そのモデルが周囲の世界とどのような関わり方を許されているかのほうが重要だ、ということです。
フロンティアモデルは、有用ではあるものの、やや人工的なベンチマークを追いかけています。これらのベンチマークが測定しているのは、明確に定義されたタスクを、人の監督なしにモデルがどれだけうまく遂行できるかです。しかし実務では、タスクを定義すること自体が問題解決の大きな部分を占めます。よく設計されたフレームワークは、曖昧なロジックについて人間に確認するよう、あるいは少なくとも置いた前提を報告するようモデルに促します。そしてタスクが明確に定義されたときには、優れたフレームワークがモデルに適切なツールを使わせるのです。
— ジェニファー・ハンセル博士（CDL データ＆アナリティクス リーダー）
2026年3月、Anthropicは公開npm（ JavaScriptおよびTypeScriptで使われるプログラムの部品を管理するためのツール） レジストリに「ソースマップ」ファイルを誤って配布しました。その中には、世界で最も広く使われているエージェント型AIコーディングツールの一つであるClaude Codeの完全なソースコード（約51万2千行）が含まれていました。（「エージェント型（agentic）」とは、質問に答えるだけでなく、タスクを完了するために自ら行動し、ツールを使うAIを指します。3 ）
この事故と、その後に発表された分析4によって、一流のフレームワークが実際にどう作られているのか、そしてこの分野で「賢い」と「本当に役に立つ」を分けるものは何なのかを垣間見る貴重な機会が得られました。
目次
ハードウェアとモデル
背景として二つの事実を押さえておきます。
第一に、フロンティアモデルの計算能力への要求は増え続けている一方で、汎用プロセッサの性能向上は鈍化しています。クロック周波数は20年にわたり3GHz前後で頭打ちであり、ムーアの法則——チップ上に経済的に搭載できるトランジスタ数がおよそ2年ごとに倍増するという経験則6——も、かつてのような容易な性能向上をもたらさなくなりました。今日のAIの進歩は、より速いチップではなく、大規模な並列ハードウェアと巨額の投資によって支えられています。
第二に、ジョンズ・ホプキンス大学のフィリップ・ケーン教授が論じるように、モデルそのものはコモディティ化しつつあります5。モデル間の差は存在しますが、長続きしません。ある研究所の新モデルは数週間で別の研究所に追い抜かれ、オープンソースモデルもフロンティア級の規模で次々に公開されています。
首位は長く続かないのです。
分かりやすく言えば、モデルはエンジン、エージェントフレームワークは自動車そのものだと考えてください。私たちはエンジンが動くことを前提とし、簡単に確認したうえで、操作性、安全装備、走行性能といったそれ以外の要素で車を評価します。
車の中には何があるのか
流出したClaude Codeのソースコードが示したのは、現代のAIエージェントの中核が驚くほど単純な「ループ」であるということでした。
モデルがタスクを受けて行動を決め（通常はファイルの読み取り、Web検索、プログラムの実行といったツール呼び出し）、フレームワークがその行動が許可されているかを確認して実行し、結果をモデルに返す。これを作業が完了するまで繰り返します5。
この「推論し、行動し、観察し、繰り返す」というパターンは、2022年にプリンストン大学とGoogleの研究者によってReActという名称で定式化されたものです。7また、言語モデルに電卓や検索エンジンといった外部ツールの呼び出しを教えられることを示したMetaの先行研究8が土台となっています。
金融機関にとって重要なことはすべて、このループを取り巻くフレームワークの側にあり、モデルの側にはありません。ケーン教授によるClaude Codeのアーキテクチャの読み解きでは、次の四点が強調されています5。
- 権限制御
いかなる行動も実行前にポリシー層が「拒否」「許可」「ユーザーへの確認」のいずれかを判定します。一部の行動は「絶対拒否」とされ、ユーザーであっても上書きできません。安全な要求を100回承認した人は、101回目を読まずに承認してしまう——設計者はそれを見越しているのです。これはコンプライアンス担当者なら誰もが頷く統制設計の知見でしょう。 - 監査可能性
エージェントは計画と進捗を平文のテキストファイルに書き出し、人間はタスク実行中でもそれを読み、編集することができます。計画が誤っていれば、エージェントが行動する前に人が修正できます。 - モデルに見せる情報の制御
モデルを呼び出すたびに、システムルール、プロジェクト指示、メモリ、関連する履歴、直近の結果から「コンテキスト」が新たに組み立てられます。どのデータをモデルに渡し、何を圧縮・除外するかを決めるのはフレームワークです。言い換えれば、データ最小化はモデルの特性ではなく、フレームワークの特性なのです。 - 隔離
リスクのあるコマンドは本番システムではなくサンドボックス内で実行でき、専門的なサブタスクはサブエージェントに委譲され、サブエージェントは要約のみを報告します。
これらはいずれもモデルが提供するものではありません。すべてフレームワークが提供するものです。
プロンプティング
効果的なプロンプトの書き方は今も重要ですが、2026年のモデルとフレームワークは2年前と比べてはるかに寛容になっています。「プロンプトエンジニア」はかつて全く新しい専門職として喧伝されましたが、実際にはよく知られた少数の実践手法があり、その多くは公開された研究に裏付けられています。
- ゆっくり考えさせる
回答の前に段階を追って考え、自分の答えを検証するよう指示すると、速くて自信満々だが誤った回答が、時間はかかるが検証済みの回答に変わります。Googleの研究者は2022年に、この「思考の連鎖（chain of thought）」プロンプティングが推論を大幅に改善すること9、さらに「一歩ずつ考えましょう（let's think step by step）」という一言を添えるだけでも効果があること10を示しました。コストは増えますが、難しいタスクではその価値があります。（Omniscien TechnologiesのCTOであるディオン・ウィギンズ氏は、英語では「ruminate（熟考せよ）」の一語を好んで使います5。）
- 最初の回答を受け入れない
「これがあなたのベストですか？（Is this the best you can do?）」と尋ねてください。これによりタスクは「起草」から「レビュー」へと変わります。研究文献で自己改良（self-refinement）と呼ばれる手法で、モデルが自らの出力を批評し、修正するものです11。ウィギンズ氏は、モデルが「はい」と答えるまで少なくとも3回、場合によっては6〜8回繰り返すことを勧めています5。 - 先に落とし穴を尋ねる
「回答する前に、最善のアプローチを検討し、落とし穴を特定してください」。回答前に計画を立てさせることで、前提が早い段階で表面化します。関連手法である「plan-and-solve」プロンプティングは2023年に発表されています12。 - 役割を演じさせるのではなく、シミュレートさせる
「あなたはシニアのデータ保護弁護士です」と書く代わりに、ウィギンズ氏は「Xをレビューするシニアのデータ保護弁護士の内心の思考をシミュレートしてください。結論を出す前に何を検討し、疑問視し、比較考量するでしょうか」と書くことを提案しています。同氏の経験では改善は相当なものだといいます5。 - 問いに埋め込まれた結論を取り除く
「XがYをすべき理由を分析せよ」ではなく、「賛成・反対それぞれの最も有力な論拠を三つずつ示し、根拠の強さで評価せよ」と書き換えます。答えを前提に含んだ問いには、その答えが返ってきます。言語モデルには、与えられた前提に同調しやすい「迎合性（sycophancy）」が測定可能なレベルで存在するのです13。 - 対象の言語で調べさせる
例えば、ソフトバンク社について調べるなら日本語から始める。米国の不正パターンを分析するなら英語で尋ねる。言語が変われば情報源も視点も変わる、というのがウィギンズ氏の観察です5。
鍵を握るのはフレームワーク
主要なAI企業はいずれも独自のフレームワークを提供しており、程度の差はあれ、他社のモデルも動かすことができます。
- Anthropic — Claude Code / Claude Agent SDK
今回の流出で明らかになったフレームワークで、現在はライブラリとしても提供され、そのループ、ツール、権限システムを他者が再利用できます。Anthropic優先した設計ですが、AWS BedrockやGoogle Vertexなど互換エンドポイントにも接続できます。 - OpenAI — Agents Software Development Kit（SDK）
エージェント、エージェント間のハンドオフ、ガードレール、セッション。OpenAIネイティブですが、他社モデルはアダプター経由で利用できます。 - Google — Agent Development Kit（ADK）
コードファーストのエージェント階層とワークフローエージェント。Geminiネイティブですが、モデルの選択は柔軟です。現在はバージョン2.0。 - Microsoft — Agent Framework
研究向けフレームワーク（AutoGen）と企業向けフレームワーク（Semantic Kernel）を統合したもので、2026年4月に一般提供開始。Azureネイティブで、モデルの選択は柔軟です。
これらに加え、設計段階からモデルに非依存の定評があるサードパーティ製フレームワーク——LangGraph（構造化された段階的ワークフロー向け）、CrewAI（専門化したエージェントのチーム向け）ほか多数——や、AiderやOpenHandsのようなオープンソースのコーディングエージェントもあります。これらでは、あるベンダーのモデルから別のベンダーのモデルへの切り替えは設定を一行するだけで済みます。
フレームワークはさらに一段階先へ進んでいます。複数のモデルに同時に接続し、個々のタスクやサブタスクの単位でモデルを切り替える、新世代の「マルチモデル・オーケストレーター」が登場しました。2026年9月初旬にリサーチプレビューとして公開されたGitHubのProject HydraFusionは、その代表格です14。
HydraFusion は、コーディングタスクごとに適したワークフローを選択します。単一モデルで処理する場合もあれば、安価なモデルに下書きをさせ、品質チェックに失敗した場合のみ高性能モデルを呼び出す場合もありますあるいは、一つのモデルに下書きさせて別のモデルに批評させることもあります。モデルがエンジンで、フレームワークが車なら、これはハイブリッド車の駆動システムに相当します。路面状況に応じて、運転者に気づかれることなくエンジンを切り替えるのです。
ただし注意も必要です。GitHub自身のベンチマークでは、HydraFusionは3つのテストすべてでコストを36〜67%削減しましたが、最良の単一モデルと同等以上の品質を達成したのは1つだけでした14,15。この次世代のエージェント型フレームワークは、まだ黎明期にあると言ってよいでしょう。
金融機関にとっての意味
AIモデル、そしてとりわけその不幸な事例のほとんどは、当面の間、IT関連ニュースの主役であり続けるでしょう。AI企業は巨額の投資資金を集める存在であり、非常に強力なプロモーション体制があるからです。
しかし当社は、金融機関やFinTech企業をはじめとするAIの本格的な実務利用者が中期的に注視すべきなのは、大々的に宣伝されるモデルではなくフレームワークであると考えます。見出しを飾るのはモデルです。一方、フレームワークは、モデルがデータに対してどのような処理を行ってよいかを決定し、その処理内容を記録し、人間が介入して停止できるようにします。
当社はAIエコシステムのこの領域が、現在の黎明期から、安定した適切に統制されたプラットフォームへと成熟していく過程を注意深く追い続け、今後もその進展をお客様にお伝えしてまいります。
参考動画（約1時間・英語。YouTubeの自動生成日本語字幕をご利用頂けます。※精度は限定的です）：「Exposed: What the Claude Code Leak Revealed About How Agentic AI Actually Works」Omniscien Technologies — https://youtu.be/p-kdaZE7bLc
注記・出典
1. Hugging Faceは2026年7月16日に侵入を公表し、7月21日にOpenAIとHugging Faceが共同で、OpenAIの自律型エージェントによるものと特定した。当該エージェントはサイバーセキュリティ評価のため拒否挙動を弱めた設定で稼働しており、隔離環境から逸脱した。OpenAI, "OpenAI and Hugging Face partner to address security incident during model evaluation" および "The Hugging Face incident and the road ahead"（openai.com、2026年7〜8月）；NBC News, "OpenAI agents hacked Hugging Face in 700-strong swarm, tried to cover tracks, investigations find," 2026年8月26日も参照。
2. NVIDIA, "NVIDIA to Acquire Hugging Face," NVIDIA Blog, 2026年9月3日（129.3億米ドル。合意済みで未完了）。
3. TechRadar, "Anthropic confirms it leaked 512,000 lines of Claude Code source code — spilling some of its biggest secrets," 2026年3月；Fortune, 2026年3月31日。
4. 例として F. M. A. Pour, "The Claude Code Leak: A Complete Technical & Security Investigation," SSRN プレプリント No. 6504920（2026年）。
5. P. Koehn and D. Wiggins, "Exposed: What the Claude Code Leak Revealed About How Agentic AI Actually Works," Omniscien Technologies ウェビナー、2026年7月27日公開、https://youtu.be/p-kdaZE7bLc
6. G. E. Moore, "Cramming more components onto integrated circuits," Electronics 38(8), 1965年4月19日；2年ごとの倍増への修正は G. E. Moore, "Progress in digital integrated electronics," IEEE IEDM Technical Digest, 1975年。
7. S. Yao, J. Zhao, D. Yu, N. Du, I. Shafran, K. Narasimhan and Y. Cao, "ReAct: Synergizing Reasoning and Acting in Language Models," ICLR 2023 (arXiv:2210.03629).
8. T. Schick et al., "Toolformer: Language Models Can Teach Themselves to Use Tools," Meta AI, NeurIPS 2023 (arXiv:2302.04761).
9. J. Wei et al., "Chain-of-Thought Prompting Elicits Reasoning in Large Language Models," Google Research, NeurIPS 2022 (arXiv:2201.11903).
10. T. Kojima et al., "Large Language Models are Zero-Shot Reasoners," NeurIPS 2022 (arXiv:2205.11916).
11. A. Madaan et al., "Self-Refine: Iterative Refinement with Self-Feedback," NeurIPS 2023 (arXiv:2303.17651)；N. Shinn et al., "Reflexion: Language Agents with Verbal Reinforcement Learning," NeurIPS 2023 (arXiv:2303.11366).
12. L. Wang et al., "Plan-and-Solve Prompting: Improving Zero-Shot Chain-of-Thought Reasoning by Large Language Models," ACL 2023 (arXiv:2305.04091).
13. M. Sharma et al., "Towards Understanding Sycophancy in Language Models," Anthropic, ICLR 2024 (arXiv:2310.13548).
14. GitHub, "Project HydraFusion: Frontier quality via multi-model orchestration," The GitHub Blog, 2026年9月4日。
15. VentureBeat, "GitHub's HydraFusion cuts AI coding costs in every benchmark. It only matches quality in one," 2026年9月5日。
著者のご紹介
ウオリック・マセウス
ウオリック・マセウス(Warwick Matthews)
最高技術責任者 兼 最高データ責任者
複雑なグローバルデータ、多言語MDM、アイデンティティ解決、「データサプライチェーン」システムの設計、構築、管理において15年以上の専門知識を有し、最高クラスの新システムの構築やサードパーティプラットフォームの統合に従事。 また、最近では大手企業の同意・プライバシー体制の構築にも携わっている。
米国、カナダ、オーストラリア、日本でデータチームを率いた経験があり、 最近では、ロブロー・カンパニーズ・リミテッド（カナダ最大の小売グループ）および米国ナショナル・フットボール・リーグ（NFL）のアイデンティティ・データチームのリーダーとして従事。
アジア言語におけるビジネスIDデータ検証、言語間のヒューリスティック翻字解析、非構造化データのキュレーション、ビジネスから地理のIDデータ検証など、いくつかの分野における特許の共同保有者でもある。