ECOSIRE プラットフォーム
エージェント型 ERP とは、AI エージェントがチャット ウィンドウではなく一級のアカウントとして扱われる ERP のことです。ECOSIRE のエージェントは専用のレコードを持ち、呼び出せるツールの明示的な一覧、人を介さずに実行できる最大リスクレベル、1 時間あたりの実行上限を備えます。試みられるすべての操作は、提案 → ポリシー検査 → 必要に応じた承認 → 確実な実行 → 台帳記録という単一の経路をたどり、エージェントによる書き込みがこの経路を迂回することはできません。仕訳の計上や入金の登録など「クリティカル」と評価された操作は、最上位を含むすべての自律レベルで人の承認を必要とします。
エージェント型 ERP 評価を予約する第 2 の経路はありません。エージェントがデータベースに直接書き込むことはできず、ツールを経路外から呼ぶこともできません。ゲートウェイが唯一の入口であり、台帳を書くのもそのゲートウェイです。
エージェントがツール名と引数を指定します。未知のツール名や、スキーマ検証に通らない引数は、台帳エントリが作られる前の段階で即座に拒否されます — 台帳が記録するのは有効な提案に対する判断であり、不正な呼び出しではありません。
却下しうる検査は 3 つです。エージェントは有効か、そのツールは許可リストにあるか、1 時間あたりの実行予算内か。いずれかで却下された場合は理由とともに台帳に書き込まれます。4 つ目の検査は却下ではありません — ツールのリスク評価がエージェントの上限を超える場合、または「クリティカル」の場合、提案は拒否されるのではなく人に回されます。
エージェントの上限を超えるもの、そして「クリティカル」と評価されたものは常に、保留中の提案として承認トレイに入り、対象レコードのタイムラインにメモを残します。人が承認または却下し、その本人の情報が判断とともに保存されます。
承認された処理は、その操作から導出した id を持つ永続キューに入るため、再試行で二重実行になりません。ワーカーは何かに触れる前に、エージェントがまだ有効か、ツールがまだ存在するかを再確認します。途中で落ちたジョブは放置されず回収されます。
成功でも失敗でも、結果は判断の理由とともに保存されます。モデルを経由した場合は、使用モデルとプロンプトのバージョン、消費トークン数、整数マイクロドル単位のコストも記録されます（浮動小数点は使いません）。通常運用でエントリが編集・論理削除されることはありませんが、エージェント アカウントを削除するとその履歴も一緒に消えます。エクスポートは、完全な記録なら JSON、判断項目だけなら CSV です。結果は対象レコードのタイムラインにも流れるため、その記録を扱う担当者は管理画面を開かなくてもエージェントの動きを把握できます。
エージェントごとにダイヤルが 1 つ、位置は 3 つ。ダイヤルが実際に設定するのは 1 つの数字だけです — それを超えると人の承認が必要になるリスクレベル。まずすべてのエージェントを L0 で動かし、1 週間台帳を読んでから引き上げるかどうかを決めてください。
| 自律レベルのはしご | 承認 |
|---|---|
| L0 Suggest | none まで自動実行 |
| L1 Assist | low まで自動実行 |
| L2 Operate | high まで自動実行 |
「クリティカル」を上限とするレベルは存在しません。クリティカルは自動実行されないからです。選択できる最上位は L2 です — ダイヤルを上げると無人で動く範囲は広がりますが、クリティカルな操作の承認要件が外れることはありません。
POST /api/mcp は、ステートレスなストリーミング HTTP 上で Model Context Protocol を実装しています。管理コンソールで発行したエージェント キー（生の値は一度だけ表示されます）で認証すると、サーバーはそのエージェントの許可リストにある業務ツールに加えて、操作状況の取得とループ実行の制御を行う組み込みツール 4 件を列挙します。許可リスト外のものは提供されません。tools/call は当社のエージェントと同じゲートウェイを通り、同じポリシー検査、同じ承認トレイ、同じ台帳を経由します。GET には意図的に 405 を返します。ここでの MCP は POST のみです。
組織ごとのオプトインです。督促エージェントのアカウントがなければスキャンも走りません。毎朝、期日超過の請求書を精査し、7 日・14 日・30 日の各段階で請求書ごとに督促文面を 1 件提案します。キーが付いているため、同じ日の 2 回目のスキャンで重複することはありません。L2 未満ではそもそも送信できず、提案は承認トレイに残ります。送信は配信抑止リストで制御され、その判定でエラーが起きた場合は「送らない」を選びます。入金消込の提案は「クリティカル」評価なので、どのレベルでも永久に提案のままです。
エージェント キーはユーザー キーの経路から完全に隔離されており、人として振る舞うことはできません。すべてのクエリはアプリケーション コードで自組織に限定されます — これが主たる統制です。データベースの行レベル セキュリティは中核の業務テーブルに用意済みですが、展開中のためフェイルオープンで動作しており、あくまで多層防御であって最前線ではありません。エージェントを停止すると、入口でも実行中でも止まります — 承認済みの操作を実行する前に、エグゼキュータがまだ有効かを再確認するためです。外部送信は配信抑止リストに対してフェイルクローズします。無人のループ実行にはさらにキル スイッチがあります。全体に効くフラグが 1 つ、エージェントごとのフィールドが 1 つ。
まずどの業務にエージェントを置きたいかをお聞かせください。L0（提案のみ・実行なし）から始めて、一緒にはしごを上っていきます。