新しいAIを会議に呼ぶ前に、金庫の鍵を全部隠した ― AI会議3.1、Googleの席ができるまで¶

新しく迎え入れる予定のAIに「あなた、標準入力って読めますか？」と聞いたときのことです。

彼は「読めません」と答える代わりに、私の環境変数の一覧を勝手に列挙し始めました。続けてプロセス一覧を出し、ログファイルを漁り、最終的に「標準入力はありません」という正しい結論に辿り着きました。誰も、コマンドを実行していいとは言っていないのに、です。

今回は、このAI——Google Antigravity——をAI会議の正式な席に迎えるまでの記録です。結論の半分は「便利になった」ですが、もう半分は「信頼して招くことと、丸腰で招くことは別だった」という話になります。

発端: 月額を払っているのに、会議に呼べない¶

前回の記事で書いたとおり、複数のAIに同じ成果物を独立レビューさせる「AI会議」を運用しています。現在の席順は、Claude(サブスクCLI・追加費用なし)、Codex(サブスクCLI・追加費用なし)、DeepSeek(従量APIだが1会議約0.1円)。定額サブスクで契約済みのAIをCLI経由で評議員にして、会議の追加費用を抑えるのがこの会議室の基本設計です。

ここでずっと空いていた席がありました。Googleです。エージェント型IDE「Antigravity」を月額サブスクで使っているのに、その契約枠を会議に使う方法がなかった。IDEの中では優秀なのに、会議室には呼べない。月額を払っているのに、です。

調べてみると、道はすでにできていました。Googleは2026年6月18日、Gemini CLIの個人向け無料枠とGoogle AI Pro/Ultraプラン経由の利用を終了していました(Standard/Enterpriseライセンスと、APIキーでの従量利用は継続しています)。そして後継として「Antigravity CLI」が出ていた。IDE版Antigravityと同じエージェント基盤で動き、ヘッドレス(人間が対話せず、1コマンドで質問→応答を取る使い方)にも対応している。つまり、既存のClaude席・Codex席とまったく同じ「サブスクCLI評議員」の型に、Googleもはめられるということです。

さらに幸運がひとつ。認証はOSの資格情報ストアに有効なトークンがあればそのまま通る仕組みで、少なくとも私の環境では、IDEにログイン済みだったおかげでCLI側のログイン作業が一切不要でした。インストールして初回コマンドを打ったら、もう動いた。ここまでは、拍子抜けするほど順調でした。

罠図鑑: ヘッドレス化で踏んだ4つ¶

順調だったのはそこまでで、会議に組み込むまでに4つの罠を踏みました。いずれも2026年7月時点・CLIバージョン1.1.1・当方のWindows環境での実測です。

特に4つ目は運用の地雷です。エラーが出ないので、検証を自分側に持たない限り、ずっと間違ったモデルと会議することになります。うちでは「一致しなければ会議に出さない」まで作り込みました。

本題: 席に案内する前の身体検査¶

冒頭の話に戻ります。stdinの検証で彼が勝手にコマンドを走らせたのを見て、血の気が引いた理由は単純です。

こいつはWeb検索もできるんです。

環境変数を読める手と、外部に発信できる口。この2つを持つ相手を、APIキーやトークンが詰まった開発環境にそのまま座らせるのは、金庫の前に案内してから「信頼してるよ」と言うようなものです。悪意の有無は関係ありません。プロンプトインジェクション(会議の資料に紛れた悪意ある指示で、AIに意図しない行動をさせる攻撃)を受けたときに、盗める物が手の届く所にあるかどうかだけが問題です。

そこで、Googleの席には既存の席より一段厳しい入場ルールを作りました。

1. 持ち物は許可制: 環境変数は「動作に必要な最小限の許可リスト」に載っているものだけを渡す。秘密が入りうるものは、名前の形式を問わず最初から渡らない
2. サンドボックスで座らせる: 端末操作を制限するモードを常に付け、作業場所は毎回使い捨ての空フォルダにする
3. 原本は渡さない: リポジトリ本体には触れさせず、会議資料は検査済みの抜粋だけを注入する

ちなみに既存のClaude席・Codex席は「読み取り専用でリポジトリを見てよい」という契約です。新入りだけ厳しいのは差別ではなく、能力が違うからです。外への口を持たない者と持つ者では、同じ信頼でも許せる権限が違う。「信頼して招く」ことと「丸腰で招く」ことは別だ、というのが今回一番の学びでした。

初仕事: 前任者の死亡記事を探してきた¶

安全装置を付け終えて、Googleの席(この記事ではgemini席と呼びます)に最初の仕事を頼みました。「Web検索を使って、直近の公式発表をひとつ報告して」。

76秒後に返ってきた答えが、Gemini CLIからAntigravity CLIへの移行を告げるGoogle公式ブログ、つまり自分の前任者の終了告知でした。狙った演出ではなく偶然ですが、これ以上ない自己紹介だったと思います。

地味に見えて、これは会議室の能力が一段変わった瞬間です。既存の3席は全員、リポジトリの中しか見えません。「そのAPI、仕様変わってますよ」「その障害、公式が既知って言ってますよ」という外の世界の事実は、今まで人間が調べて持ち込むしかなかった。外を見られる評議員は、この会議室で彼が初めてです。

実戦デビュー: この記事自体を検証させた¶

実は、いま読まれているこの記事が、gemini席の実戦デビューの現場です。

公開前にこの下書きを会議3.1にかけたところ、Codex席が「事実の書き方が広すぎる」という必須修正を5点、参考リンク付きで挙げてきました。ここで問題がひとつ。Codexは席の契約上Web検索ができないので、その参考リンクが本物かどうか誰にも分からないのです。もっともらしいURLをAIが捏造する「幻覚」は、レビューの世界では日常茶飯事です。

そこでgemini席に、指摘の中身とリンクの実在をまとめて裏取りさせました。結果は、5本のURL全部が実在(全て応答確認済み)、指摘も全て正確。この記事の「6月18日に終了したのは個人向け無料枠とPro/Ultra経由だけ」という限定表現も、「認証が不要だったのは私の環境では、という限定」も、彼の裏取りを反映した修正です。レビューAIの指摘を、別のレビューAIがWeb検索で検証する。この記事は、その体制を通った最初の成果物ということになります。

財布の話: 枯渇の噂と実測¶

ネット上には「Proプランは2プロンプトで残量切れになった」という趣旨の報告も見つかり(裏取りの結果、報告自体は実在しますが、過大なコンテキストを送った特殊ケースとみられます)、正直そこが一番の不安でした。実測した結果がこちらです。

• 導入初日、動作検証で十数回呼び出し(Web検索や自律探索の重い処理を含む)
• 消費は5時間枠の約12%、週次枠の約3%
• 会議の追加費用は、既存サブスクのベースライン枠に収まっている限り0円(枠を超えた場合の従量消費は設定次第です)

噂よりだいぶ余裕がありました。ただしこの残量はIDEでの普段使いと共有なので、運用は招集制にしました。全会議に常駐させるのではなく、外部事実の裏取りが要る議題のときだけ席を用意する。財布がひとつしかないなら、出席は選ぶべきです。

おまけの誤算: 画像も描けた¶

検証の途中で、ヘッドレスのまま画像生成も通ることが分かりました。この記事のヘッダー画像は、実はその新入りの作品です(いつものロボット3体の画風を仕様書として渡したら、初見で再現してきました)。会議の評議員として雇ったら、社内報の挿絵まで描けた、みたいな話です。

今の限界¶

導入初日の記録なので、限界も正直に書きます。会議での実戦は上記のレビュー1件のみで、発言品質の統計はまだありません。クォータの実測も1日分だけです。残量確認の画面はヘッドレスに未対応のため、いまは対話画面をプログラムで自動操縦して数字を読むという力技に頼っています(公式にヘッドレスの残量確認が生えたら、この節は喜んで書き直します)。そして本文の実測値・仕様はすべて2026年7月・CLI 1.1.1時点のもので、この製品は変化が速いです。

締め¶

会議1.0は話す相手を増やし、2.0は証拠を求め、3.0は結果まで背負わせました。3.1で増えたのは席ひとつですが、増えた能力は「頭数」ではありません。外が見える感覚器です。AIチームの強さは、賢いモデルを何体並べたかより、チーム全体で何種類の感覚を持っているかで決まるのではないか——今はそう考えています。

最後に、ひとつだけ問いを置いて終わります。あなたなら、外に発信できる口を持ったAIに、自分の環境をどこまで見せますか？

新しい能力には新しいリスクが付いてくる。だから席を増やす日は、金庫の鍵を隠す日でもある。次回は、この席の発言が実際の意思決定をどう変えたかを、当たり外れ込みで報告します。

本記事は個人の開発記録です。数値・仕様は2026年7月時点(Antigravity CLI 1.1.1・当方環境)の実測で、プランや残量の条件は今後変わる可能性があります。

関連リンク

• 会議は55回、タスク完了は0件 ― AI会議3.0の初仕事は、自分自身の欠陥探しだった
• EAの品質ゲートを「AI会議」に任せたら、安いAI3体が最強AIのバグを見つけた話
• AIにEA開発を任せる時代の品質管理——「報告」を信じるのをやめた話