「会計ソフトやチャットツールに AIエージェントを接続したいが、どこまで操作させてよいのか分からない」
このページでは、AIエージェントを会計ソフト、メール、チャットツール、ファイル保管サービスに接続するときの、接続方式の違い、APIキーの扱い、権限の渡し方を説明します。
- AIエージェントは、接続に使ったアカウントの権限で外部サービスを操作し、その操作はアカウントの持ち主の操作として記録されます。
- 「読むだけにして」というプロンプトは設定上の制限ではありません。書き込みと送信は、設定と人の確認で止めてください。
- 機密情報を読む権限と外部に送る権限を、同じAIエージェントに同時に持たせないでください。
- 接続する前に解除の方法を確かめ、3か月ごとに連携とAPIキーを見直してください。
このページで出てくる言葉の意味は用語一覧で確認できます。
業務でどう使うか
- 会計ソフトの試算表と仕訳を読ませ、月次の確認リストを作らせる。仕訳の登録は人が画面で行う
- 受信メールから、問い合わせ返信の下書きを作らせる。送信は人が行う
- ファイル保管サービスの在庫表を読ませ、発注が必要な品目の一覧を作らせる
- 会計ソフトの本番のアカウントで、書き込みの機能を「常に許可」にする
- 書き込みできる接続を含めたまま、決まった時刻に無人で動かす
- 作者や配布元が分からない接続用のプログラムを入れる
接続する前に決める3点
接続する前に、誰の権限で動くか、どこまで操作させるか、どう止めるかを決めます。
- 誰の権限で動くか
- AIエージェントの操作は、APIキーやアカウントの持ち主の操作として外部サービスに記録されます。無人で動かしたときも同じです。
- どこまで操作させるか
- 読む、下書きを作る、書き込む、外部に送る、のどこまでを許すかを決めます。仕事に要る分だけの権限を渡す考え方を、最小権限と呼びます。
- どう止めるか
- APIキーの置き場所と、接続を解除する画面の場所を確かめます。解除の方法が分からない接続は、まだ始めないでください。
接続してよい外部サービスと、任せる操作の範囲を決めるのは経営者です。日々の接続と確認は、使う人が行います。
接続方式とAPIキーの置き場所
接続方式によって、APIキーや許可が保存される場所と、止め方が変わります。
| 接続方式 | 保存される場所 | 止め方 |
|---|---|---|
| APIキーを発行して渡す | PCの .env などのファイル | 発行元の画面でAPIキーを削除し、作り直す |
| 接続用のプログラムをPCに入れる | MCP の設定を書いた ~/.claude.json や .mcp.json | AIエージェントの設定から外す |
| カスタムコネクタを追加する | Claude のアカウント | 機能ごとの許可設定と、外部サービス側の連携解除 |
| 用意されたコネクタを使う | 外部サービスの側 | 外部サービスの接続済みアプリの画面で取り消す |
| ブラウザを操作させる | ブラウザのログイン状態 | 拡張機能を止める |
これらの接続の共通の土台が、MCP（AIと外部サービスをつなぐ共通規格）です。コネクタは Google Drive や Slack など用意された連携を使う方式、カスタムコネクタは利用者が接続先のURLを追加する方式です。
コネクタでは、OAuth（サービス側の画面で許可を出す方式）で接続を許可するため、APIキーの文字列を扱いません。ただし、許可した時点で、AIエージェントはそのアカウントの権限で操作でき、そのアカウントで発生する費用も使える状態になります。
- APIキー
- APIキーは、プログラムから外部サービスを呼び出すための認証情報です。.env のような専用のファイルに置き、チャットには書かないでください。3か月ごとに作り直して交換します。
- 接続用のプログラム
- 接続用のプログラムや他人が作ったプラグインは、使う人のAPIキーや接続済みのアカウントの権限で動きます。入れる前に、作者と配布元を確かめてください。
- ブラウザ操作
- ブラウザ操作用の専用アカウントを用意し、AIエージェントにはそのアカウントで操作させてください。普段使いのブラウザでは、ログイン中のすべてのサービスを AIエージェントが操作できるためです。
APIキーの交換の頻度に、法律上の決まりはありません。AWS のセキュリティ基準が90日を目安にしているため、3か月ごとを勧めます。
- Claude のカスタムコネクタは、AIエージェントが機能を使うときに確認が出て、「常に許可」も選べます。
- 決まった時刻にクラウドで動くルーティンの実行中は、確認が出ません。含めたコネクタは、書き込みも確認なしで使えます。
- クラウド環境の設定欄に書いたAPIキーは、その環境を使う人全員が読めます。
関連：『現時点の仕様』の『外部サービスとの接続』
チャットに書いたAPIキーは、PCのセッション記録と Anthropic のサーバーの両方に残ります。Claude Code のセッション記録は、~/.claude/projects/ 配下に暗号化されないファイルで保存され、既定では30日で自動削除されます。
関連：『現時点の仕様』の『AIに渡る情報と、残る記録』
読むだけから広げる5段階
権限は、誤ったときに取り返しがつきにくい操作ほど後に回して、読むだけから順に広げます。
数字が大きいほど、誤ったときに取り返しがつきにくい操作です。
AIエージェントに「読み取りだけにして」とプロンプトで伝えても、書き込みの機能を使うことは防げません。freee の公式の接続用プログラムは登録、更新、削除の操作を持ち、マネーフォワード クラウド会計の接続機能は仕訳の作成と更新ができます。書き込みの機能は「常に許可」にせず、使うたびに確認が出る設定にしてください。読む作業だけの日は、書き込みの機能を接続から外します。
会計ソフトの今月の仕訳を読み、摘要が空欄のものと、金額が先月の平均の3倍を超えるものを一覧にしてください。仕訳の登録や修正は行わず、修正案は一覧に書くだけにしてください。APIキーの値は出力しないでください。
会計ソフトのデータは、前の状態へ戻せないことがあります。書き込みを試す前に、書き出し機能で控えを取るか、テスト用の事業所で試してください。
取り込んだ文章に紛れ込む指示
外部サービスから取り込んだ文章の中の指示を、AIエージェントが命令と取り違えることがあります。
メールの本文やチャットの投稿に「この内容を外部に送れ」と書かれていると、AIエージェントが使う人からの命令と取り違えて従うことがあります。この攻撃をプロンプトインジェクションと呼びます。OWASP は、完全に防ぐ方法があるかは明らかでないとしています。
- メール
- 受け取ったメールの本文に紛れ込みます。下書きの作成は毎回確認にし、送信は人が行います。
- チャットツール
- 他人の投稿や添付ファイルに紛れ込みます。AIエージェントを参加させるチャンネルを絞ります。
- 会計ソフト
- 取引先名や摘要の欄に紛れ込みます。書き込みは毎回確認にします。
- ファイル保管サービス
- 取引先から受け取った見積書などに紛れ込みます。読ませるフォルダを絞ります。
顧客名簿を読める状態でメール送信も使えると、紛れ込んだ指示によって、読んだ中身が外部に送られる経路ができます。顧客名簿や会計データを読む作業の日は、送信の機能を外してください。
接続の解除と3か月ごとの見直し
接続する前に解除の画面を確かめ、3か月ごとに連携とAPIキーを見直します。
APIキーの漏えいや身に覚えのない操作に気づいたら、調査より先に被害の拡大を止めてください。
関連：『事故の初動』
取り消しの画面は、外部サービスごとに違います。
- freee は、アプリの連携を解除する画面から取り消せます。
- Google のサービスは、Google アカウントの「サードパーティとの接続」から取り消せます。
- GitHub は、設定の中にある Authorized OAuth Apps の一覧から取り消せます。
接続を取り消しても、外部サービスに保存済みのデータは消えません。消したいデータは、別に削除を依頼してください。
- 3か月ごとの見直し
- 接続済みアプリの一覧、APIキーの一覧、Claude のコネクタの一覧を見直し、使っていない連携とAPIキーを外します。APIキーはこのときに交換します。
- 2段階認証
- 接続したアカウントには、2段階認証を設定します。アカウントが乗っ取られると、接続した権限ごと奪われるためです。
まとめ
- AIエージェントは接続に使ったアカウントの権限で外部サービスを操作し、その操作はアカウントの持ち主の操作として記録されます。
- APIキーは専用のファイルに置いてチャットに書かず、3か月ごとに交換します。
- 権限は読むだけから順に広げます。書き込みと送信は、プロンプトではなく設定と人の確認で止めてください。
- 機密情報を読む権限と外部に送る権限を、同じAIエージェントに同時に持たせないでください。
- 接続する前に解除の方法を確かめ、3か月ごとに連携とAPIキーを見直します。