第7部 グラフのあと（2026年のいま） · 第18回 / 全20回 · 15分くらい
部品を選ぶ。スキル・MCP・借りられる仕組み
スキル、MCP、マネージドのエージェント。2026年には、仕組みの部品が次々に「借りられる」ようになりました。この回では、何をどの部品にするかの選び方と、部品を組み合わせたときに生まれる危ない組み合わせを見ます。
履修 0 / 20 回
この回を読み終えると、できるようになること
- スキル・MCP・借りる仕組みの役割の違いを説明できる
- 「危ない3つの組み合わせ」を説明し、自分の仕組みにそれがないかを点検できる
- 借りるか作るかを、自分の仕事の中心かどうかで判断できる
専門用語は、初めて出たところで括弧に短い説明を付けています。説明が長くなるものには ※番号を付け、ページの終わりの用語メモにまとめました。
13つの部品の役割
| 部品 | 役割 | 窓との関係 |
|---|---|---|
| スキル | 手順と知識をまとめた、必要なときに開く手順書 | ふだんは説明文だけ。呼ばれたら本文が入る（第7回） |
| MCP | 外のサービスやデータにつなぐ道具 | 定義は必要なときに読む。使った結果は入る（第6回） |
| 借りる仕組み | 作業場所・記録・再開・上限などを、まとめて用意してくれるサービス | サービス側で管理される |
2スキルは、誰が呼ぶかも決められる
スキルは、ふだんはAIが説明文を見て自分で呼びます。ただ、公開や送信のように、自分が頼んだときだけ動いてほしいスキルもあります。Claude Code では、スキルの設定に disable-model-invocation: true と書くと、AIが自分の判断で呼ばなくなり、自分がコマンドで呼んだときだけ動きます。
また、スキルの本文は判断のための手順にとどめ、変換や集計のような決まった処理は、スキルと一緒に置いたスクリプトに任せます。AIに毎回同じ計算を書かせるより、確実で、窓も使いません。
3危ない3つの組み合わせ
Simon Willison は、AIの道具について、次の3つがそろうと危ないと指摘し、「致命的な3点セット（lethal trifecta）」と呼んでいます。
- 自分の非公開のデータに触れられる（メール、ファイル、データベース）
- 信用できない内容を読む（他人からのメール、ウェブページ、外から来たファイル）
- 外に送れる（メールの送信、ウェブへの書き込み、外部へのリクエスト）
3つがそろうと、2の内容に仕込まれた指示（プロンプトインジェクション、第3回）で、1のデータを3の手段で外に送らされるおそれがあります。AIは、読んだ文章の中の指示に従ってしまうことがあるからです。OWASP※1も、AIのアプリの危険の1番目にプロンプトインジェクションを挙げています。
43つを1つの作業にそろえない
根本的な対策は、3つのうち少なくとも1つを、その作業から外すことです。
- メールを読んで要約する作業には、送信の道具を渡さない
- ウェブを調べる作業には、自分の非公開のファイルを読ませない
- どうしても3つが要る作業は、送る直前に人の確認を挟む
つなげる道具が増えるほど、この組み合わせは気づかないうちにそろいます。MCP でサービスをつなぐときは、「読むだけで足りるか」「その作業に送信は要るか」を毎回確かめます。
5借りるか、作るか
借りれば、作る手間と直す手間が減ります。その代わり、費用がかかり、サービス側の都合で中身が変わります。目安は次のとおりです。
- 自分の仕事の中心にあって、細かく変えたい部分は作る
- 中心ではなく、どこで作っても同じになる部分（作業場所、記録、再開の仕組み）は借りる
- 外に出せないデータを扱う部分は、手元で動く仕組みに残す
自分の環境では、個人の日記や考えのまとめを扱う処理は、外に出さないよう手元のAI（Ollama）で動かし、それ以外は借りられるものを借りる、と分けています。
6部品は増やすより、育てる
似たスキルが3つあるなら、1つにまとめます。使われていない部品は外します。部品の数ではなく、よく使う部品の質が、仕組み全体の質を決めると感じています。
外す前に、直近の会話の記録から、その部品が何回使われたかを数えると判断しやすくなります。0回なら、まず無効にして2週間ようすを見ます。（サービスの内容は2026年10月時点の情報で、変わることがあります）
誤解よくある思い違い
読むだけの道具なら、つないでも安全
読んだ内容に仕込まれた指示で、別の道具（送信など）を使わされることがあります。危ないのは道具1つではなく、組み合わせです。
スキルは、AIが必要なときに自動で呼んでくれるほうが便利
公開や送信のように、自分が頼んだときだけ動いてほしいスキルもあります。誰が呼ぶかを決めておきます。
演習手を動かして確かめる
演習1
次の作業のうち、「危ない3つの組み合わせ」がそろっているものはどれでしょうか。
- 受信メールを読んで、返信の下書きを作り、そのまま送信する
- 自分のメモを検索して、今日の予定と合わせて要約する
- ウェブで調べた内容を、自分のブログの下書きフォルダに保存する
答えを見る
1がそろっています。他人からのメール（信用できない内容）を読み、自分のメールボックス（非公開のデータ）に触れ、送信（外に送る）ができます。送信の前に人の確認を挟むか、下書きを作るところで止めます。
2は、外から来た内容も外に送る手段もないので、そろっていません。3は、信用できない内容（ウェブ）を読みますが、非公開のデータには触れず、外にも送らないので、そろっていません。ただし、下書きフォルダが自動で公開される作りなら、3つ目がそろいます。
頼み方そのまま使える頼み方の例
自分の仕組みで使っている部品を、「作ったもの・借りているもの・つないでいるもの」に分けて一覧にしてください。
そのうえで、1つの作業の中で次の3つがそろっているものに印を付けてください。
1. 非公開のデータに触れる
2. 信用できない内容（他人のメール、ウェブ、外から来たファイル）を読む
3. 外に送れる
印を付けたものについて、どれか1つを外す案か、人の確認を挟む案を出し、変更はせずに止まってください。用語メモ本文の ※番号の説明
- ※1OWASP ソフトウェアの安全性について、誰でも使える資料や道具を作っている非営利の団体。AIのアプリについても、よくある危険を順位付けした一覧を公開している。 本文へ戻る ↩
出典確かめた資料（2026年10月時点）
- Simon Willison「The lethal trifecta for AI agents」(2025) 非公開のデータ・信用できない内容・外に送る手段の3つがそろうと危ない、という指摘。
- OWASP「LLM01: Prompt Injection」 AIのアプリの危険の1番目としてのプロンプトインジェクション。
- Claude Code Docs「Extend Claude with skills」
disable-model-invocationで、自分が呼んだときだけ動くスキルにできる。