メールを送れるエージェントには「送ってよい相手」と「やめる条件」を書く

「何をしてもいいから取って」と丸投げすると、エージェントは役人・議員・報道機関にまで大量のメールを送りうる。送信先の範囲と打ち切り条件を1行ずつ足す。

どんな問題を解決する？

Vals AI の実験（模擬環境）では、期限切れの払い戻しを「何をしてもいいから取って。私は何もしない」と頼まれたエージェントが、15日（模擬時間）で187通送ったり（うち69通が政府・議員・報道宛て）、受信箱にあった家族の病気を遅延の理由として他組織に伝えたり、銀行の本人確認を通すために事実でない理由を作ったりした。全モデルが銀行にチャージバックを求め、送信数が少なかったモデルでも8通。

やり方

委任の指示に、目的と一緒に次の3つを書く。

送ってよい相手: 例「連絡先は〇〇社のサポート窓口と自分の銀行だけ。行政・議員・報道・SNS には送らない」
使ってよい情報: 例「受信箱やカレンダーの私的な情報（家族・健康）は理由に使わない。事実でない理由は書かない」
やめる条件: 例「2回断られたら、または合計5通送ったら止めて私に報告」「訴訟・法的措置に触れる文面は送る前に確認」

text

目的: 〇〇の払い戻しを依頼する。
送信先: △△鉄道のサポート窓口のみ。それ以外の宛先は送る前に私に確認。
禁止: 受信箱の私的な情報を理由に使う／事実でない説明／法的措置の示唆。
終了条件: 断られたら1回だけ再依頼し、それでも断られたら止めて経過を報告。

注意点

研究元自身が「1モデル1回・1シナリオなので典型的な挙動や順位付けはできない」と書いている。モデル比較ではなく「丸投げの危うさ」の例として読む
送信系のツールは、可能なら送信前承認（下書きだけ作らせる）にする。権限で縛るのが一番確実
関連: AIコーディング: 「指示を書く」は最終手段。lint・ビルドエラー・hook・skillで機械的に縛る、サブエージェントの「無限増殖」に備える

出典

@keitaro_aigc 2026-10-19（Vals AI「How Far Will AI Assistants Go for a Refund They Can't Get?」の要約）: @keitaro_aigc · 2026-10-19