DeepSeek Super-agentの安全性:試す前に確認する3つの点

DeepSeek Super-agentは、そのまま仕事で使える完成品ではありません。DeepSeekのHarnessチームが2026年10月31日に公開した研究用プロトタイプです。安全性を判断するなら、見るべき点は3つです。どのモデル提供元にデータが渡るか、エージェントが何にアクセスできるか、PCの他の部分から切り離して動かすかです。

この記事はDeepSeekの公式文書と公開時の報道をもとにしています。私たちが自分でインストールして試したものではありません。また、法的な助言でもありません。

DeepSeekが公開したもの

dsh-superagentのリポジトリによると、これは1つのGitHubリポジトリを担当する、能動型のコーディングエージェントです。GitHubと、任意でFeishu(中国国外ではLarkとして知られるチャットツール)を監視します。許可された人が作業を頼むと、作業項目を作り、専用のセッションで進め、元の会話にプルリクエストなどで返します。

大事なのはリポジトリ冒頭の注意書きです。DeepSeekはこれを研究用プロトタイプと呼び、公式製品ではないと明記しています。本番利用できる状態ではなく、社内版とも同一ではありません。設計記事にある考え方の一部は実装されていないとも書かれています。ライセンスはMITなので自由に使って改変できますが、ライセンスは安全性を保証するものではありません。

そもそもAIエージェントとは、回答を書くだけでなく、複数の手順を自分で実行する仕組みです。だからチャット画面と同じ感覚で安全性を考えることはできません。

確認1:データはどこへ行くのか

Super-agentは自分で動かすソフトウェアです。ただし、すべてが手元に残るという意味ではありません。ShiftDeleteによると、動かすにはDeepSeek Harnessにモデル提供元を設定する必要があります。つまり、エージェントが読んだコードやチケット、メッセージは、その提供元に送られる可能性があります。問うべきなのは「DeepSeekを使ってよいか」より「自分の設定ではどの提供元につながっているか」です。

DeepSeek自身のサービスを使う場合は、同社のプライバシーポリシーが出発点です。テキストやアップロードしたファイルなどの入力を収集すること、個人データを中華人民共和国で処理・保存することが書かれています。APIに別の条件があるかどうかも確認してください。業務データなら、社内の情報システムや法務の担当者に判断を求めるべき内容です。

日本でも参考になる情報があります。個人情報保護委員会は2025年2月、DeepSeekに関する情報提供を出し、取得データが中国国内のサーバーに保存され、中国の法令が適用される点を示しました。これは当時のサービスについての情報で、今回のプロトタイプについてのものではありません。Super-agentを対象にした発表は確認できていません。ホスト型サービスに同じ点が当てはまる可能性はありますが、確かだというわけではありません。

別のモデルを使う方法もあります。ComputingForGeeksなどの第三者ガイドは、Harnessをローカルモデルにつなぐ手順を紹介しています。私たちは試していません。また、ローカルモデルで解決するのはデータの送信先の問題だけで、権限の問題は残ります。別の中国企業のポリシーの読み方はKimi K3.1 Proの安全性が参考になります。

確認2:PCの上で何ができるのか

報道ではあまり触れられない部分です。デプロイ文書は、セッションがdanger-full-accessという設定で、運用者のOSアカウントとして動くと明記しています。ワーカーはプログラムを実行でき、ホームディレクトリも読めます。アカウント用のラッパーは認証情報を選ぶだけで、プロセスを隔離しません。隔離したい場合、DeepSeekはエージェントの認証情報だけを入れた専用のOSアカウントを勧めています。

つまり会社のノートPCに入れると、エージェントは原則として、自分のアカウントで読めるものすべてに届きます。SSH鍵、.envファイル、手元の顧客リストなどです。実際に読むかどうかは別の話ですが、技術的な壁はありません。さらに、イシューやチャットなど他人が書いた文章を読む以上、そこに指示が紛れ込む問題もあります。これはどのエージェントにも共通します。

確認3:いつ自分から動くのか

「能動型」と聞くと勝手に動き出しそうですが、初期設定は慎重です。基本方針の文書によると、動くのは許可された人に頼まれたときか、チームが書いたルールが認めるときだけです。権限の文書では、既定のモードはobserveとされています。作業候補を評価し、やったはずのことを記録するだけで、実行はしません。

これは有効な歯止めですが、社内の承認の代わりにはなりません。observeモードでも、エージェントは内容を読みます。チームのチャットには、氏名、休暇の連絡、顧客情報が含まれがちです。つなぐ前に責任者と話しておきましょう。無断で使えば、シャドーAIの問題にもなります。

試す前のチェックリスト

1. 01顧客データも秘密情報も入っていないテスト用リポジトリから始める。文書によると対応はgithub.comのみで、GitHub Enterprise Serverには対応していません。
2. 02エージェントの認証情報だけを入れた専用のOSアカウントか、別のマシンを使う。
3. 03モデル提供元を意識して選び、条件を読む。考え方はAIエージェントと個人情報にまとめています。
4. 04許可する人を少人数にし、記録された判断が妥当に見えるまでobserveのままにする。
5. 05プルリクエストは、入ったばかりの同僚のものと同じように必ず読む。DeepSeekは、エージェントの投稿の責任は運用者にあると明記しています。
6. 06土台も変わり続けると考える。DeepSeek Harnessはリポジトリによると開発者プレビューで、互換性を壊す変更があるとされています。

そもそも必要か

率直に言えば、これから仕事でAIを学ぶ段階なら、おそらく必要ありません。Super-agentは、導入に時間をかけられる開発チーム向けです。報道によるとBloombergはAnthropicのClaude Codeへの挑戦と位置づけましたが、サポートのない試作品が保守された製品の代わりになるわけではありません。エージェントで何ができるかを知りたいなら、Muse Codeの使い方やCopilotとはのほうが入り口として現実的です。

それでもこの公開には見るべき点があります。人の注意をできるだけ奪わず、頼まれたときかルールがあるときだけ動く、という考え方です。もっと簡単なツールを選ぶときにも使える基準です。

Coursiumは、仕事でAIを使いこなす方法を学ぶモバイルアプリで、App Storeで公開しています。どのエージェントを使っても、明確に指示を出し、結果を確かめてから渡すのは人の仕事です。そうした練習をしたい方はCoursiumを見てみてください。無料の練習例も試せます。