Tabplog

/ を押すと、どこからでも検索を開けます。

Tabpleを始める
メニュー
Tabpleを始める
すべての記事

Tabpleお知らせ

Amazonは締め出し、Walmartは迎え入れた：AIエージェントを入れるか、止めるか

AmazonやNAVER、銀行は、ユーザーの代わりにWebで働くAIエージェントを締め出し、WalmartとShopifyはエージェント専用の窓口をつくりました。そのあいだに米国の控訴裁判所は「入ってきたのはユーザーだ」と判断しています。この2か月の動きをたどり、止めるか開くかより先に決めておきたい6つのことをまとめました。

Tabple更新 18分Read in English한국어로 읽기

この記事は韓国語の原文を日本語にしたものです。 不自然な訳に気づいたら、お知らせください

ユーザーの代わりにWebで働くAIエージェントという同じ客をめぐって、AmazonとWalmartは正反対に動きました。Amazonは9月、MetaのエージェントMuseを自社のストアから締め出しました。Walmartは10月21日、こうしたエージェントが買い物に入れる専用の窓口を開いています。同じ日にAnthropicは、ユーザーが席を外してもクラウド上の自分のコンピューターで働くClaude Duetを公開しました。サービスを運営する側は、この客を入れるか止めるかを決めなければなりません。この2か月で登場した4つのエージェントとサービスの反応、そのあいだに出た判決を順に見ていきます。

2か月で登場した4つのエージェント

8月11日にxAIがGrok Botをベータ版として公開しました。続いて9月8日にMetaがMuseを、9月29日にOpenAIがChatGPT Dotsを、10月21日にAnthropicがClaude Duetを発表しました。チャットボットは質問に答えれば終わりですが、この4つは目標を受け取ると、それを果たすまで長く働きます。ユーザーがノートパソコンを閉じても仕事を続け、メールやカレンダー、支払い手段をつないでおけば、予約や買い物、メッセージの送信まで代わりにこなします。MetaはMuseの紹介で、「ブラウザを開き、フォームに入力し、ユーザーに代わって交渉できる」と書いています。

4つがサービスに届く方法は、ほぼ同じです。まず、アプリが用意した接続を使います。コネクター、API、そしてエージェントがアプリの機能を呼び出すための公開規格であるMCP（Model Context Protocol）です。そうした接続がないところには、クラウドにある自分のブラウザで直接入ります。Anthropicのヘルプページには「コネクターがないサイトでは、Claude Duetはクラウド上の自分のブラウザを使う」とあります。xAIの文書も「コネクターがあればコネクターを、それ以外はコンピューターの操作で」としています。つまり、エージェントがどこから入ってくるかは、サービスがエージェント専用の窓口を用意したかどうかで決まります。窓口がなければ、エージェントは人向けの画面を、人と同じように押しながら入ってきます。

入るときに自分が誰かを名乗る方法は、まちまちです。公開文書で確かめられるのはOpenAIだけです。ChatGPTのクラウドブラウザは、リクエストごとにWeb Bot Authという暗号署名を付け、chatgpt.comが送ったエージェントであることを証明します。ただし、Dotsがこのブラウザを使うと書かれた文書はまだありません。Googleも自社のエージェントでこの署名を試していると明らかにしました。Anthropicは、Duetが「サイトがエージェント向けに定めたルールに従うよう努める」と述べただけです。xAIは、Grok Botが複数の顧客で共有する固定IPから出ていくと明かしていますが、その一覧は公開せず、アカウント担当者から受け取るよう案内しています。MetaはMuseがどう名乗るかを書いた文書を出していません。Amazonは、Museが「閲覧するときに自分が何者かを名乗らない」と述べています。

表。4つのエージェントの入り方・名乗り方・人に任せること。Grok Bot（xAI・8月11日）：コネクター、なければクラウド上のPCを直接操作／顧客どうしで共有する固定IP／ログイン・支払いと2段階認証。Muse（Meta・9月8日）：コネクター・API、なければクラウドのブラウザ／公開された文書なし／メール送信・購入の前に確認。Dots（OpenAI・9月29日）：つないだアプリ、なければクラウドのブラウザ、止められたらユーザーのPC／ChatGPTのブラウザはWeb Bot Authで署名、Dotsは文書にない／保存したログインを使う前に確認。Duet（Anthropic・10月21日）：コネクター・プラグイン6,000以上、なければクラウドのブラウザ／「サイトがエージェント向けに定めたルールに従うよう努める」／送信・支払い・署名・削除の前に承認。
各社の発表とヘルプページからまとめました。名乗り方は公開文書で確かめられる範囲だけを書いています。

止める側：誰なのか名乗ってから入れ

いちばん大きく扉を閉ざしたのはAmazonです。米国時間の9月20日夜から、MuseでAmazonに入ったユーザーは「許可されていないAIエージェントによるアクセスを続けることは、お客様が同意したAmazonの利用規約に反する」という案内を目にしました。Amazonは「ほかの事業者の商品をユーザーの代わりに買うという外部のアプリは、公然と動くべきだ」として、MuseのショッピングからAmazonを外すようMetaに求めました。Metaが事前に知らせなかったこと、Museが自分を名乗らないこと、ユーザーのログイン情報を保存しているように見えることも理由に挙げています。Metaは、Museのモデルはパスワードや支払い手段を見られず、ログイン情報はモデルに触れない保管場所に別に置いていると説明しました。

Amazonの利用規約には、エージェント向けの条項が別にあります。エージェントはすべてのリクエストのuser-agent文字列に「Agent/[エージェント名]」を入れて名乗らなければなりません。人のタイピングの速さやパターンをまねてもいけませんし、人かどうかを確かめるCAPTCHAを解いたり、すり抜けたりしてもいけません。Amazonは技術的な手段でエージェントを止められるとも書いています。サイトがロボットに立ち入ってほしくない場所を書いておくrobots.txtでは、ChatGPT-User・Claude-User・Perplexity-Userのように、ユーザーの依頼で動くエージェントがすべてアクセス禁止として指定されています。Amazon自身も、ほかのストアの商品を代わりに買うエージェント（Buy for Me）を運営しています。Amazonは、そのエージェントが相手のストアに名乗り、望まないストアは外れられるようにしていると強調しました。

止めているのはAmazonだけではありません。eBayは利用規約で、「代わりに買うエージェント、LLMで動くボット、人の確認なしに注文まで進む流れ」を、eBayが事前に許可しない限り禁じています。TechCrunchが10月初めに各社に尋ねたところ、Yelpはデータ利用料を払ったエージェントだけを受け入れると答えました。デルタ航空は、まだエージェント側との提携や連携はないと答えています。ユナイテッド航空は「ロボット、スパイダー、その他の自動装置」を禁じる規約の条項を根拠に挙げました。銀行はさらに強硬です。JPモルガンは、ユーザーのログイン情報で入ってくる外部エージェントを止めると述べました。オープンバンキングでデータを共有する道はそのまま残すとしています。FTの報道によると、シティは外部エージェントのログインをいっさい受け付けず、バンク・オブ・アメリカはエージェントが承認した支払いの責任を誰が負うかが決まるまで制限しています。チャールズ・シュワブは、許可のないエージェントを止めながら、お金は動かせず情報だけを見られる連携を別に準備しています。

勝手に動くエージェントを入れるわけにはいかない。そうしたエージェントは何千もあるかもしれない。

ジェイミー・ダイモン JPモルガンCEO、第3四半期決算発表（Banking Exchangeの報道）

韓国も同じ方向に動いています。Museはまだ韓国では提供されていませんが、NAVERは9月30日、ニューシスに「外部のAIエージェントによるNAVER内の商品検索とデータへのアクセスを許可していない。現時点でこの方針を変える予定はない」と明かしました。韓国経済TVは10月1日、クーパンが外部AIによるアプリ内の決済を止めており、カカオは「カカオトークギフト」に外部AIが勝手に連携することを認めないことにしたと報じました。記事に2社の直接のコメントはありません。ニューシスは、NAVERが外部エージェントを止めながら、自社のショッピングAIエージェントの機能は広げていると伝えています。

  1. 2026年8月から10月までのタイムライン。4本の行のうち、エージェントの行（青い丸）だけが明るい。Grok Bot 8月11日、Muse 9月8日、Dots 9月29日、Duet 10月21日。止める側・裁判・開く側の行は薄く描かれている。

    8月11日から10月21日まで、2か月あまりのあいだに4つのエージェントが登場しました。

    どれもクラウドにある自分のコンピューターで、ユーザーの代わりに働きます。

  2. 同じタイムラインで、止める側（四角）と裁判・訴訟（ひし形）の行が明るくなった。止める側：AmazonがMuseを遮断 9月20日、NAVER・クーパン・カカオ 9月30日（報道）、米国の銀行 10月19日（報道）。裁判・訴訟：控訴裁が仮差し止めを取り消し 8月4日、再審理を退ける 9月10日、Amazonが訴状を修正 9月21日。

    そのあいだに、AmazonとNAVER、米国の銀行がエージェントに扉を閉ざしました。

    裁判ではAmazonとPerplexityの争いが続き、控訴裁はAmazonが得ていた仮差し止めを取り消しました。

  3. 同じタイムラインで、開く側（三角）の行まで明るくなった。ShopifyがWebMCPで決済 9月28日、Stripe Linkのエージェント約200 10月19日（報道）、WalmartのAgent Gateway 10月21日。

    同じ2か月のあいだに、ShopifyとWalmartはエージェントが入るための窓口を別につくりました。

    止める側と開く側が、同時に動いていました。

裁判所は「入ってきたのはユーザーだ」と判断しました

止める側が頼りにしていた武器の1つは揺らぎました。Amazonは2025年11月、Perplexityを相手に訴訟を起こしました。PerplexityのエージェントブラウザCometが人のふりをしてAmazonのアカウントに入っているとして、米国のコンピューター詐欺・濫用防止法（CFAA）とカリフォルニア州法に違反すると主張したのです。一審は2026年3月、Cometを止める仮差し止めを命じました。ところが8月4日、第9巡回区控訴裁判所がこの仮差し止めを取り消しました。法が罰するのはアクセスした「人」であり、Amazonのアカウントに入ったのはユーザーで、Cometはユーザーが使った道具だという判断です。判決文は「Amazonのコンピューターにアクセスするのは、アシスタントの助けを借りたユーザーだ」と書いています。Amazonによる再審理の申し立ても、9月10日に退けられました。

アシスタントが今どれほど進んでいても、法律上の人ではなく道具だ。

米国第9巡回区控訴裁判所、Amazon v. Perplexity（2026年8月4日）

判決文は線も引いています。「エージェントAIを治める新たな法体系を打ち立てるものではない」とし、この判断はこの事件の書面に示された技術にだけ当てはまると書きました。脚注では「Amazonが利用規約でアクセスを制限する道を妨げるものではない」としています。コンピューター詐欺の法律で止めるのは難しいものの、規約と技術的な遮断は依然としてサービス側に委ねられているということです。Amazonは9月21日に訴状を修正し、契約妨害の主張を加えました。CometのiOSアプリがユーザーのAmazonのログインCookieをPerplexityのクラウドに移し、そこにある仮想ブラウザがAmazonに直接接続したという主張です。訴状には「ユーザーの端末はAmazonのサーバーに触れてもいない」とあります。PerplexityはAmazonに限ってその機能を一時的に止めました。先に見た4つのエージェントもすべてクラウド上の自分のコンピューターで働くため、この争いがどう決着しても、これらのエージェントに影響します。

開く側：エージェント専用の窓口をつくった

Walmartは逆の道を選びました。10月21日に公開したAgent Gatewayは、承認されたエージェントがMCPでWalmartにつながり、商品を探して代わりに買えるようにする窓口です。ユーザーがあるエージェントで初めて買い物をすると、そのエージェント専用のプロフィールがつくられ、ユーザーがそれを承認して自分のアカウントに結びつけます。支払いは1件ごとに承認するか、決めておいた上限の範囲で任せられます。Walmartは、クレジットカードに家族カードを追加するのに近いと説明しています。エージェントは支払い情報を見られず、その仕事に必要な情報だけを受け取ります。エージェントが買い間違えても、いつもの返品ルールがそのまま適用されます。規約を守らないエージェントは締め出されます。WalmartはすでにMuseとの提携を発表しており、ChatGPT・Geminiとも連携しています。エージェントのプロフィールは11月に提供されます。

Shopifyも扉を開きました。9月28日から、ユーザーのブラウザで働くエージェントがWebMCPという規格を使い、Shopifyのストアの決済内容を読んで変更し、注文まで済ませられます。画面を撮って読む代わりに、ストアが用意した決済ツール（get_checkout・update_checkout・complete_checkout）を呼び出す方式で、注文は購入者が承認して初めて確定します。決済の側も同じ方向です。StripeのLinkは、ユーザーの本当のカード番号の代わりに別のカード番号をエージェントに渡し、上限をユーザーが決められるようにしています。これを使うエージェントは約70から200前後に増え、MuseとGrok Botもその中に入っています。ただし、Stripeは取引件数や金額を明らかにしていません。VisaとMastercardは2025年10月、エージェント決済の本人確認に、先に見たWeb Bot Authの署名を使うと発表しました。

パーソナルエージェントを追い返すことは、その後ろにいる客を追い返すことだ。

Meta、TechCrunch（2026年10月6日）

開けば得をするとは限らない

では、扉を開けばそれで済むのでしょうか。Walmartが先に経験しています。WalmartはChatGPTの中でそのまま決済できるInstant Checkoutに約20万点の商品を載せましたが、チャットの中で購入に至った割合は、Walmartのサイトに移って買った場合の約3分の1にとどまりました。Walmartの幹部は、その体験が「満足できるものではなかった」と述べています。OpenAIもInstant Checkoutを縮小し、ストアが自ら扱う決済へ移し始めました。Walmartが今回、商品をチャット画面に載せる代わりにエージェントを自社の窓口に呼んだのも、この経験から来た選択だと私は見ています。商品を探す仕事はエージェントに開きつつ、決済と顧客との関係は自分の側に置く方向です。

セキュリティの問題も2つあります。1つは、エージェントがページに書かれた文章を命令と取り違えるプロンプトインジェクションです。OpenAIのセキュリティ責任者はこれを「まだ解決していない最前線のセキュリティ問題」と呼び、Anthropicも「プロンプトインジェクションと無縁のブラウザエージェントはない」と書いています。サービスにユーザーが書いた文章が載るなら、その文章がほかの人のエージェントを動かすかもしれません。もう1つは、エージェントになりすますボットです。ボット対策企業のDataDomeが6月に人気サイト21,491件を試したところ、エージェントを装ったボットが10サイト中7サイト以上をそのまま通り抜けました。名前だけを見て良いエージェントとして通すと、その名前を借りた悪いボットも一緒に入ってきます。

止めるか開くかより先に決めること

私の考えはこうです。エージェントか人かで分けても答えは出ません。裁判所の言うとおりエージェントの後ろには人がいますし、エージェントをまねるボットもいるからです。それより、エージェントがしようとしていることで分けるほうがうまくいきます。公開されたページを読むこと、アカウントに入って何かを変えること、支払いや削除のように取り消せないことは、それぞれリスクが違います。読むことはたいてい開いてかまいません。アカウントの中のことは誰のエージェントか分かるときだけ、取り消せないことは人が直接確かめるときだけ許可すればよいのです。Mastercardも加盟店向けの開発者ガイドで、似たたとえを使っています。「実店舗と同じで、誰でも入って見て回れるが、支払いには本人確認が必要だ」というものです。下の図は、同じエージェントが人向けの画面から入るときと、専用の窓口から入るときを比べたものです。

同じ概念図。エージェントからサイトへの太い青の矢印に「専用の窓口（API・MCP）から」、サイトには名札の絵。下の表：名乗る名前 — エージェントの名前（Agent/名前）、確かめる手段 — Web Bot Authの署名、アカウントの権限 — エージェント専用のトークン・範囲・上限、支払い・削除 — 人が承認したあとだけ。いちばん下に「サイトにできること：許した分だけ開き、必要ならこのエージェントだけを切る」。
概念図「同じエージェント、違う入り口」。ユーザー → エージェント → サイト。エージェントからサイトへの点線の矢印に「人向けの画面から」、サイトにはマウスポインターが置かれたブラウザの絵。下の表：名乗る名前 — 普通のChromeブラウザ、確かめる手段 — データセンターのIPだけ、アカウントの権限 — ユーザーのパスワード・ログインCookie、支払い・削除 — エージェントがそのまま実行。いちばん下に「サイトにできること：推測するか、まとめて止めるか」。
仕切りを左へドラッグすると、専用の窓口から入った場合に切り替わります。下のチェックリストをもとに筆者が描いた概念図です。

  • 誰が来たのかを名乗らせます。 エージェントの名前をuser-agentに書かせ（Amazonの「Agent/名前」のように）、できればWeb Bot Authの署名を確かめます。CloudflareとAWS WAFはすでにこの署名を検証しています。標準はまだIETFの作業草案なので、変わる可能性があります。

  • 専用の窓口をつくります。 エージェントに任せられる仕事は、APIやMCPで開いておきます。窓口がなければエージェントは人向けの画面を押して入ってきて、そうしたエージェントは人と見分けにくくなります。

  • 権限はエージェントごとに狭く渡します。 ユーザーのパスワードやログインCookieを引き継がせず、エージェント専用のトークンやプロフィールを別に渡します。「読み取りだけ」「決めた金額の範囲だけ」のように範囲を決め、いつでも切れるようにします。

  • 取り消せないことは人に確かめます。 支払い・送金・削除・代わりに送るメッセージは、人が確認するようにします。先の4つのエージェントも、こうしたことはユーザーに尋ねるようにつくられています。英国の競争・市場庁（CMA）も、リスクの大きい行動には必ず確認を取るよう勧めています。

  • 記録を分けて残します。 エージェントがしたことは、人がしたことと区別して見えるようにします。買い間違えた品物をめぐって争いになれば、その記録が根拠になります。

  • ページが命令にならないようにします。 ユーザーが投稿した文章やレビュー、画面に見えないよう隠した文字は、エージェントには指示として読まれることがあります。ほかの人が書いた文章をそのまま載せるサービスほど、よく確かめてください。

こうした準備は、まったく新しいことでもありません。Googleのweb.devの記事「Build agent-friendly websites」は、本物のボタンとリンクを使い、入力欄ごとにラベルを付け、透明な覆いでボタンを隠さず、レイアウトが揺れないようにすることを勧めています。スクリーンリーダーを使う人のために、もともと守るべきことばかりです。著者たちも「エージェントのために勧めることは、すべて人にとってもより良いサイトにつながる」と書いています。

Tabpleはこう開いています

Tabpleも、エージェント専用の窓口を1つ用意しています。Claude、Cursor、Codexのようなツールが、MCPでTabpleのタスクとWikiを読み、変更できます。接続にはその用途専用の個人アクセストークンを使い、このトークンでは支払いやアカウントの設定には触れられません。読み取り専用で発行すれば、作成・変更・削除のツール10個がブロックされます。呼び出しは1分あたり30回、1時間あたり300回、1日あたり5,000回までです。トークンはいつでも無効にでき、無効にしたトークンではどのリクエストも通りません。接続方法はガイド『AIツールとTabpleを連携』にあります。

AmazonとWalmartは逆の方向に動きましたが、2社が望んだことは同じに見えます。入ってくるエージェントが誰のものかを知り、そのエージェントにどこまで許すかを決めることです。Amazonはそれを知る手段がないので止め、Walmartは知ることができる窓口を別につくりました。エージェントを止めれば、その後ろの客も一緒に帰っていきます。止めるか開くかを悩む前に、エージェントが名乗り、決められた分だけできる道をまずつくっておくほうがよさそうです。

参考資料（2026年10月22日時点）

Tabpleを始める
この記事の位置 明るい点がこの記事です。線は同じタグでつながった記事です。 カードにカーソルを合わせると、その記事への道筋が見えます。