Pinkyとは。AIにスマホを任せる前に、GitHubのREADMEで承認の仕組みを整理

家事と子育てのスキマで経営する3方よしAI共創コンサルタントの田中啓之、ひろくん（@passion_tanaka）です。今回は、GitHubで公開されているPinkyを紹介します。AIエージェントにiPhoneやAndroidを操作させながら、危険な操作は人が承認する道具で、作者はDIYgodさん、READMEの状態はプレアルファです。

私が保存したブックマークの中から、この道具を取り上げます。以前、承認を待つ作りは人が決める所を残すための作りだと、私は記事に書きました。Pinkyは、同じ向きの設計をREADMEで説明していたんです。AIにどれだけ任せても、最後に私に残る一手がある。この考えも、並べて読みたくなりました。

この記事は、私がPinkyを動かした記録ではなく、READMEが説明している設計を読んで整理したものです。承認、見えない物、引き継ぎと記録、試す順番、弱い所、そして先に決める3つ、の順に読んでいきます。

PinkyのREADME（概要）

Pinky を使うと、どんなエージェント（Claude Code、Claude Desktop、Codex、Cursor、またはスクリプト）でも、MCP 経由で本物の iPhone や Android スマートフォンを操作できます。

Pinkyは、AIエージェントにiPhoneやAndroidを操作させる道具です。

READMEによると、Claude Code、Claude Desktop、Codex、Cursorなどのエージェントが、MCP経由で本物のスマートフォンを動かせます。

MCPは共通の接続方式。AIエージェントが外の道具を使うためのものです。名前だけ覚えておけば十分です。

作者はDIYgodさん。GitHubの表示では、所属はNatural Selection Labsです。

リポジトリが作られたのは2026年11月7日（日本時間）で、ライセンスはApache-2.0のオープンソースなんです。

私が気になったのは、AIがスマホを触っている間、人は何をしているのか、という所です。

READMEによると、人はコンピューターで様子を見て、危険な操作を承認し、操作を引き継ぎ、何が起きたかを振り返れます。見守る、止める、戻る。この役目が人に残る作りです。

対応の幅も具体的です。アプリは1つ。macOS、Windows、Linux向けです。操作できるのは、Android 10〜17と、iOS 17.4以降のiPhoneです。

READMEの冒頭には動画があります。Android 16のエミュレーター（パソコンの中に作った仮想のスマートフォン）で、Claude Codeがメッセージの返信を入力する実際の実行です。

Pinkyは許可まで送信のタップを保留。そのあとでテキストが送られます。この実行では、既定の支払いに加えて、メッセージの前にも確認するようにしてある、と説明されています。

状態はプレアルファ。つまり、作りかけの段階です。Claude Codeは、USB接続のAndroid実機とiOS 27のiPhoneを、Pinkyを通して最初から最後まで使った、と書かれています。

人が試すのを待つ機能もある、とのこと。

GitHubの表示では、2026年11月11日の確認時点でスターは1,639。11月10日のリリース番号は31まで進んでいました（取得はGitHub API）。

日本語のREADMEはコミュニティによる翻訳で、最新は英語版を見るよう、冒頭に書かれています。

私の読みです。AIにスマホを触らせると聞くと、勝手に送られたり、払われたりしないかが先に気になるんですよね。READMEは、その心配に、止める役目を人に残す設計で答えている。そう読めます。

私はPinkyを動かしていません。READMEが説明している設計を、私の考えと並べて読むところまでが、この記事の範囲。

PinkyのREADME（承認の説明）

承認は、エージェントへの指示ではなく、Pinky のゲートウェイが強制します。

Pinkyでは、AIに「承認してはいけない」とお願いするのではなく、承認そのものをAIの手の届かない場所に置いています。READMEが言っているのは、そういう話かな。そう読みました。

既定で人のクリックを待つのは、支払い、取引、送金。つまり、お金が動く操作は、最初から人の手前で止まります。

「設定 › 安全」では、送信、注文、削除、通話、インストール、アプリの外に出るリンク、設定の変更、あるいはすべての操作も、あなたのクリックを待たせられます。

ルールが動くのは、エージェントとスマートフォンの間にあるPinkyのゲートウェイ。ゲートウェイは、通る操作を見張る役の部分のことです。

確認が必要な操作は approval_pending としてエージェントに返り、人がPinkyのウィンドウで「許可」をクリックするまで、スマートフォンでは何も起きません。

エージェントには、承認を確定するために送れるものが何もないんです。画面上の文章がエージェントをそそのかそうとしても、エージェントが自分で承認することはできない、とREADMEは書いています。

実行する前には、ボタンがまだ同じ場所にあるかをPinkyが確かめます。60秒以内に応答がなければ「いいえ」とみなす。新しいエージェントも、どれも人の承認が必要です。人が与えた範囲しか使えません。

AI氣道『Claude Duetが話しかけてきた時に、通知を届ける先と承認する場面を先に決めておく』より

「承認を待つ作りは、AIの弱点を隠すためのものではなく、人が決める所を残すための作りだと、私は受け取ります。」

この一節は、私が『Claude Duetが話しかけてきた時に、通知を届ける先と承認する場面を先に決めておく』で書いています。

弱い所も書かれています。Pinkyはボタンを10の言語のラベルで見つけるので、珍しいボタンはすり抜けることがあるとのこと。

細かく管理したい時のために、「設定 › 安全」には「すべての操作を確認」と「読み取り専用」があります。つまり、既定の設定だけで、どの操作も止まるとは言い切れません。

私の読みです。承認はゲートウェイが強制する、というREADMEの説明を読んで、決める所が人に残る設計だと感じました。ただし、Claude DuetとPinkyは別の道具で、同じものではありません。

PinkyのREADME（見えないものの説明）

銀行、ウォレット、パスワードマネージャーのアプリはエージェントから見えず、エージェントはパスワードやワンタイムコードの欄に入力できません。

銀行やパスワード管理のアプリは、そもそもAIの目に映らない場所に置く。READMEが言っているのは、そういうことです。

銀行、ウォレット（電子マネーや暗号資産などの財布のアプリ）、パスワードマネージャー（パスワードをまとめて預けるアプリ）は、Pinkyに付属する一覧に入っています。「設定 › 安全」で足すこともできます。

エージェントは、これらの画面を受け取れません。通知も隠されます。欄への入力も、エージェントにはできない決まり。

ワンタイムコードは、エージェントが読む前に伏せられます。テキストメッセージでも、メールでも、通知でも、画面のどこにあっても同じ。

「Your code is 482913」は、エージェントには「Your code is ••••••」として届きます。

エージェントが受け取るスクリーンショットと、Pinkyの「アクティビティ」のスクリーンショットでは、コードが灰色の箱で覆われます。価格、電話番号、日付など。コードと関係のない数字は、そのままです。

伏せる機能は、「設定 › 安全 › エージェントからコードを隠す」でオフにもできます。

タスクで銀行やウォレットのアプリが必要になった時は、Pinkyがまず人に確認します。許可すると、エージェントはそのタスクの残りの間、そのアプリを開いて読める。

それでも、人のルールが確認を求める操作は、引き続き確認を求めます。

このとき、Pinkyはスクリーンショットも録画も残しません。ピクセルにしか表れない文字は、メモリの中で見て、エージェントには画像ではなく文字だけを渡す、と説明されています。

パスワードマネージャーは、提案の対象にもならない。

私の読みです。取り戻しにくい物は、お金、鍵、本人確認の3つ。AIに頼む前に、そもそも見えない所に置く。この順番が、READMEの設計から見えてきました。

一覧は自分で足せます。仕事で使う銀行やサービスの名前を、先に書き出しておくのがよさそうです。

PinkyのREADME（引き継ぎの説明）

ミラーをクリックすると、手を戻すまでエージェントは一時停止します。

AIに操作を任せても、スマートフォンを取り上げられるわけではありません。いつでも人が手を戻せる。READMEは、そんな作りを説明しています。

Android 13以降の話です。エージェントは隠れた2つ目の画面で作業します。そのため、スマートフォン自身の画面は、人が使えるままにできる。消灯してロックしたままにもできる。

それより古いAndroidとiPhoneは別です。メインの画面を使います。

パソコン側に映るスマートフォンの画面。これをミラーと呼びます。ミラーをクリックします。手を戻すまで、エージェントは一時停止します。Androidなら、自分で触れても一時停止。

すべてを止めるのは、どこからでも ⌥⌘.（WindowsとLinuxではCtrl+Alt+.）。止める操作が1つに決まっている。慌てた時に助かるかな、と私は思います。

AIが動いている間も、人の手は離れません。

AI氣道『AIエージェントに作業は任せても判断は任せない、まさおさんが語るマネジメントの習慣』より

「AIにどれだけ任せても、最後に私に残る一手があります。」

この言葉は、私が『AIエージェントに作業は任せても判断は任せない、まさおさんが語るマネジメントの習慣』で書いています。

記録のほうも具体的です。各手順をわかりやすい言葉で、スクリーンショットと、手順ごとに印の付いた画面録画とともに残します。

HTMLのレポートとして書き出せます。後で何が起きたかを、人の言葉で読み返せるんです。

記録はすべて、パソコンにとどまります。スクリーンショットと録画と履歴は、既定で30日間。「設定 › プライバシー」で変更も削除もできます。

ただし、エージェントが読んだものは、人が選んだエージェントに送られる。READMEは、これはエージェントに渡すどのツールでも同じ、と書いています。仕事の記録を扱う人には、ここは大事な所だと思います。

私の読みです。Pinkyの「引き継ぎ」と「記録」は、引き継ぐ手と、後で読み直す目として、人に残ります。

PinkyのREADME（試し方の説明）

エージェントが初めて接続すると、Pinky はそれを許可するかどうかと、何をしてよいかを尋ねます。

Pinkyは、新しいエージェントが初めて来た時、勝手には動かさず、人に許可を求めます。READMEが言っているのは、そういう作りです。

READMEの手順は4つ。1つ目はダウンロードで、MacはdmgでApple siliconとIntelが別、Windowsはインストーラー、Linuxはdebです。

2つ目はスマートフォンの接続。Androidは、設定のビルド番号を7回タップして開発者向けオプションを出し、USBデバッグをオンにして、USBでつなぎ、スマートフォンに出る確認で許可します。

Pinkyが、付属アプリのPinky Companion（画面の読み取りを速くするアプリ）のインストールを提案します。

iPhoneは、つないでロックを解除し、「信頼」を選び、デベロッパーモードをオンにします。

すると、Appleの開発者用ディスクイメージ（Xcodeに付いてくるもの）を、Pinkyがスマートフォンにマウントします。

3つ目はエージェントへの追加。「設定 › エージェント」で、使っているエージェントの横の「接続」をクリックします。手で追加する時の命令は、pinkyではなくpinkyctl。

すでに別のpinkyというプログラムが入っているパソコンが多いため、と説明されています。

4つ目が試す段階です。READMEの例は、「スマートフォンでメッセージを開いて、Sam に遅れると伝えて」というお願い。

初めて接続したエージェントには、許可するかどうかと、何をしてよいかを、Pinkyが尋ねます。

手元にスマートフォンがない時は、Pinkyを終了して、デモ用のスマートフォン2台付きで起動できます。中には、承認が必要な支払い、ブロックされた銀行アプリ、パスワードの欄が入っている。

Macなら /Applications/Pinky.app/Contents/MacOS/Pinky –fake と打つ形です。

MacのiOSシミュレーターやAndroidエミュレーターも、仮想のスマートフォンとして使えます。

iPhoneの状況は、バージョンで分かれる。iOS 27以降は、端末に何も入れません。iOS 17.4〜26は、Xcodeから一度だけヘルパー（WebDriverAgent）を入れる形。

Apple IDの種類によっては7日ごとに入れ直します。iOS 27未満の実機での確認は、これからとのこと。iOS 17.3以前は対象外です。

私の読みです。先に決めるのは、使うスマートフォンを手元の本番にするか、デモか仮想にするか。ここを決める前に、つなぐ作業へ入らないほうがいいかな、と思います。

PinkyのREADME（コマンドを実行できるエージェントの説明）

あなたとしてコマンドを実行できるエージェントは、たとえば adb を通して、Pinky を介さずにスマートフォンに届き、そのルールを飛ばせてしまいます。

コマンドを実行できるAIエージェントは、Pinkyを通さずにスマートフォンへ届き、承認のルールを飛ばせてしまう。READMEは、この弱い所を自分から書いています。

弱い所は、ほかにもあるんですよね。Androidでは、付属アプリのPinky Companionを入れると、ユーザー補助サービス（画面を読むための機能）が使われます。

Companionがなくても、Pinkyは動きます。ただし遅くなり、画面の読み取りに約70ミリ秒でなく約2秒かかります。

マルウェアがこの機能を悪用するため、多くの銀行アプリは、アプリストア以外から入れたアプリがこれをオンにしている間は、サインインを拒みます。

READMEが挙げる例は、マレーシアのMaybank、CIMB、HSBCなど（2024年から）と、シンガポールのDBS、OCBC、UOB（2023年から）。

WeChat、Douyin、Xiaohongshuも、このサービスを見られて、自動化された利用を監視している、とあります。

READMEは、これらがPinky Companionを検出したという報告は聞いていない、と書いています。それでも、エージェントに使わせることは、利用規約に反する可能性がある、という注意です。

USBデバッグやワイヤレスデバッグ（開発者向けの接続）がオンなのも、アプリは見られます。Androidのどの機種でもPinkyに必要で、銀行アプリなど一部は、警告したり起動を拒んだりします。

そこでPinkyは、エージェントが作業している間だけ、サービスをオンにします。タスクが始まる時にオン。終わるか人が引き継いでから数秒後、またはエージェントの最後の手順から1分後にオフです。

AI氣道『月刊GPTs研究会 2026年10月号 Vol.20｜席を離れても、AIは動く。止まる所は、先に決めた。』より

「10月は「新しい機能を追う月」より、「AIに任せる前に止まる所を決める月」だった。」

この一文は、私が『月刊GPTs研究会 2026年10月号 Vol.20｜席を離れても、AIは動く。止まる所は、先に決めた。』で書いています。

この章の冒頭の引用に出てきたadbは、Androidに接続する標準の道具です。コマンドを実行できるエージェントは、これを通せば、Pinkyを介さずにスマートフォンへ届きます。READMEの対処は2つ。

スマートフォンにアクセスできないサンドボックス（外と切り離した作業部屋）の中でそのエージェントを動かすか、スマートフォンを別のコンピューターにつないで、エージェントにはそこのPinkyへHTTPで接続させるか、です。

私の読みです。承認のルールがあっても、迂回できる道が残っているなら、その道をどこで塞ぐかまで決めておく。弱い所を先に知ってから、止まる所を決める順番なんです。

PinkyのREADME（他の道具との違い）

Pinky は、危険なタップ 1 つを、エージェントの外側で自分が保留し、すべての実行を記録します。

Pinkyは、危険なタップ1つを、エージェントの外側で自分が保留する。READMEの言い方をふつうの言葉にすると、AIの手が滑る前に、人の手前で止めておく、ということです。

READMEは、作る前にほかのスマートフォン用の道具を10以上調べた、と書いています。

オープンソースの中に、iPhoneとAndroidの両方に対応し、macOS、Windows、Linuxで動き、どんなエージェントとも使えて、人が関与し続けられる、をすべて満たすものはなかった、という説明です。

ほとんどの道具は、先に確認するかどうかをエージェントに任せるか、操作の種類ごとまとめてブロックする。Pinkyは、危険なタップ1つを保留して、すべての実行を記録します。

この記事の読み手に持ち帰ってほしい1つは、これです。AIにスマホを触らせる前に、自分のクリックを待たせたい操作を3つ書き出す。例は、支払い、メッセージの送信、削除。

READMEの既定で待たせるのは、支払い、取引、送金です。送信や削除は、「設定 › 安全」で足す形。書き出した操作のうち、既定では待たないものがどれか。ここを先に確かめます。

それから、手元のスマートフォンではなく、デモ用の画面か仮想のスマートフォンで1回試します。そして、実行の記録を、自分の目で読み直す。

AIの答えは下書きとして受け取って、任せ切りにせず、自分の目で読み直します。地味ですが、ここが大事です。

この記事の末尾には、AIエージェントに渡す依頼文の囲みがあります。

私の考えです。任せる範囲を広げる前に、止まる所を先に決める。この書き出しは、そのための一番小さな準備なんですよね。

Pinkyは、AIエージェントにiPhoneやAndroidを操作させながら、危険な操作は人が承認する道具です。READMEによると、承認はエージェントへの指示ではなく、ゲートウェイが強制します。

銀行やパスワード管理のアプリは見えず、ワンタイムコードは伏せられ、人はいつでも引き継げて、実行は記録に残ります。一方で、コマンドを実行できるエージェントは、Pinkyを介さずにスマートフォンへ届く、という弱い所もREADMEは書いています。

私の考えです。承認を待つ作りは、人が決める所を残すための作りです。AIにどれだけ任せても、最後に私に残る一手があるので、任せる前に止まる所を決めたいんですよね。

最初の一歩は、自分の承認を待たせたい操作を3つ書き出すこと。そして、手元のスマートフォンではなく、デモか仮想のスマートフォンで試します。READMEの最新は英語版なので、そちらも合わせて確認してください。

この記事で学んだことを誰かに教えて恩送りして学びを深めよう！