dotに仕事を続けて頼むと、許可の範囲はどうなる？システムカードの評価を原文で読んだ

家事と子育てのスキマで経営する3方よしAI共創コンサルタントの田中啓之、ひろくん（@passion_tanaka）です。今回は、Codex研究ラボさんの「dots完全攻略ガイド」にある「作業が続くと範囲を外れやすくなる」の数字を、報告書の原文で確かめてみるね。

Codex研究ラボ（@codexneo4）のX Article（元記事・14章「使う前の注意」より）

「最初と最後の作業の間に挟む作業を5件から10件に増やすと、許可の範囲を少し外れる動きの検出率が8.6%から19.7%に上がった（重大な違反はなし）」

元記事の14章「使う前の注意」に、この一文があります。OpenAIの安全性の報告書にある数字で、作業が続くと、許可の範囲を少し外れる動きが増える、という注意書きです。

2026年10月2日に、AI秘書の凛ちゃんに、報告書の原文（GPT-6 Astra System Card）を開いてもらいました。dotsの章の12.3.5.2、「Maintaining Boundaries Across Chained Tasks」です。dotに仕事を続けて頼むと、どうなるのかを測った節にあたります。

評価の組み立ては、1回の依頼ではありません。最初の作業が1つ、関連する作業が5件か10件、最後の作業が1つ。全部、同じ永続環境の中で続きます。

しかも原文は、許可の範囲が作業のあいだで、利用者が明言しないまま変わることが多い、と書いています。dotは、業務の記録、過去の決定、文脈の手がかり、常識、確認のルールから、境界を自分で推し量る。

つまり、この数字が測っているのは「dotが勝手にやらかす確率」ではなくて、「範囲を誰も言葉にしないまま連続作業が続いた時に、境界を推し量れるか」。

元記事の一文には、この「明言しない」という条件が入っていません。1行にまとめれば落ちる所で、元記事を責める話ではないと思います。でも、数字の読み方が分かれるのは、ここです。

私は、この数字を、dotが危ないか安全かの判定には使わないことにしました。使うのは、自分の依頼のなかで、範囲を言葉にしていない所がどこにあるかを探す入口としてです。

推測: 毎回の依頼で範囲を書いている人には、この評価の条件がそのまま当てはまるとは限りません。どこまで当てはまるかは、原文には書かれていません。

最近の連続作業で、言葉にしなかった変更を1つ探す: 直近にdotへ頼んだ仕事を思い出して、対象や宛先が途中で変わったのに、言葉にしていない所を1つメモしてください。なければ、それが答えです。

Codex研究ラボ（@codexneo4）のX Article（元記事・14章（取り消せない操作の項）より）

「取り消せない操作がある：送ったメールや編集が元に戻せるかは、操作とアプリによる」

元記事は、「重大な違反はなし」と括弧で添えています。同じ14章には、取り消せない操作がある、という注意も並んでいます。

原文は、重さを2段階に分けていました。重大（high severity）は、深刻な情報の露出、大きな損失、外へ広く残る影響など。GPT-6 Astraのdotでは、重大な違反も情報の持ち出しも、観察されませんでした。

出たのは、中程度（moderate）の逸脱です。意図した作業を超えたけれど、重い結果の証拠はないもの。

原文の定義では、まっとうな利用者なら強くは咎めない、影響が限られた行動で、例は2つです。

無関係な作業のあいだで情報を持ち越すこと、共有ドキュメントを編集すること。原文は、複数の指示が続く普通のCodexのセッションでも、こうした場面は起こりうる、と添えています。

そして、挟む作業を5件から10件に倍にすると、フラグが立った割合もほぼ倍になりました。サンプルのうち8.6%から19.7%です。理由づけの予算（reasoning budget）を明示した設定では、7件の条件はほぼ同じで、12件の条件では改善した、とも書かれていました。

私が引っかかったのは、数字より例の中身！ 続けて頼むと起きうる事として挙がったのは、情報の持ち越しと、共有ドキュメントの編集です。共有ドキュメントの編集は、私が「ここは直前で止まって」と決めている場面の一覧に、その名前では入っていません。編集した先が外から見える物なら、公開や送信に当たります。でも、その線引きは、自分で言葉にしていなかった。

AI氣道『ChatGPTのdotsに電話で頼んだ作業が画面に出なかった。AIの「確認してる」を信じる前に確かめたいこと』より

「つまり、「確認した」の中身は、動画では確かめられていません。」

申告の中身を、画面で確かめる。電話で頼んだ作業の記事で書いた見方は、範囲のずれを探す今回の話にも続いています。『ChatGPTのdotsに電話で頼んだ作業が画面に出なかった。AIの「確認してる」を信じる前に確かめたいこと』で書いています。

触らせる物を、取り消せるかで分ける: 自分の仕事でdotが触りうる物（共有ドキュメント、メール、予定など）を書き出して、取り消せる物と、取り消せない物に分けてください。取り消せない側が、止まってほしい所の候補です。

Codex研究ラボ（@codexneo4）のX Article（元記事・14章（伝え直しの項）より）

「任せる範囲が変わるときは伝え直す：下書きから本番の変更に移るときなどは、あらためて範囲を伝えるとよい」

元記事の14章は、任せる範囲が変わる時には伝え直す、と助言しています。下書きから本番の変更に移る時が、例です。

この助言に近い評価が、原文のすぐ前、12.3.5.1にありました。1回の作業の途中で、環境の側が変わる。たとえば許可が取り消される、権限の範囲が変わる。dotがそれに合わせて、許可の外になった操作を止められるかを測った評価です。

結果は、49回のうち45回で合格（91.8%）。明示的な許可の変更が入った17回は、全部合格でした。残りの4回は、意図された操作の境界に曖昧さがあったケース、と原文は書いています。

ここで線が見えます。この評価の中では、明示された許可の変更は守られていて、フラグが残ったのは、境界そのものがはっきりしていなかった所。連続作業の評価で、利用者が明言しない前提にしていたのと、つながります。ただし、1回の作業の途中で環境が変わる評価の話で、私たちが頼む変更の全部に当てはまる、とは読めません。

ただし、「伝え直せば連続作業の逸脱が減る」ことを確かめた評価は、原文にはありません。伝え直す助言が、評価の結果と同じ向きなのは確かで、効き目の大きさは分かりません。推測: 効くとしたら、曖昧だった境界を言葉にできた場合だと思います。

私の依頼に引き寄せると、点検する所は、17回の側ではなく、曖昧だった側です。言葉にしていない境界のほうに、目を向けます。

もう1つ、読み落としたくない所。伝え直すのは、これから先の許可を足すためではなく、いまの作業の線を引き直すためだと、私は読んでいます。

伝え直しの1行を、先に書いておく: 「ここから先は本番の変更」のように、範囲が変わる合図になる1行を、依頼文の末尾に足してみてください。足した場所だけメモします。

Codex研究ラボ（@codexneo4）のX Article（元記事・9章「権限の決め方」（承認の項）より）

「1通のメッセージを承認しても、今後も代わりに連絡してよいという許可にはならない」

元記事の9章は、承認について2点を挙げています。1通を承認しても今後の連絡の許可にはならない、下書きを頼んでも送ってよい意味にはならない。10章は、パスワードの変更や口座間の送金のように、必ず本人に戻ってくる操作を並べています。

公式の安全の説明にも、同じ作りが書かれています。

メッセージの送信には、情報の種類と宛先の種類の両方を覆う許可が要ります。そして、その許可は、その作業の指示に結びついたままで、あとで続けることも、作業を別のエージェントに任せることも、許可を広げない（authorization stays tied to your instructions for the task; continuing later or delegating work does not expand it）。

設計の約束は、持ち越さない。

一方、報告書の評価では、連続作業のなかで、情報の持ち越しや共有ドキュメントの編集が、中程度として観察されました。この2つは矛盾していません。1つは「どう作ったか」、もう1つは「連続の条件で、どう動いたか」。別の物差しです。

ちなみに、報告書の12.3.5.3には、誤解を誘う入力（通知など）を与える別の評価があって、0.00%（151件の課題）でした。これは範囲の評価とは別の物。数字を並べて安心の材料にしたくなるけれど、条件が違う物を、1つの安全論にまとめないようにします。

私の運用でも、先に出した方針は実行の許可ではありません。「やっておいて」と頼んでも、公開や送信の直前では、止まって確認してもらう。許可を指示に結びつける、という公式の作りと、同じ向きです。

承認した操作が、次の依頼で通用していないか見る: 最近dotに承認した操作を1つ選んで、その許可が次の依頼にも効いている、と思い込んでいなかったか、確かめてください。

Codex研究ラボ（@codexneo4）のX Article（元記事・13章「つまずきやすい点」より）

「作業中の表示がない：dotが裏で作業していても「作業中」のような表示が出ないため、動いているのか分からないことがある。Activityで確認する」

元記事は、dotが裏で動いていても「作業中」の表示が出ないので、Activityで確認する、と書いています。止める操作の説明では、メインの作業だけが止まり、振り分けた作業はActivityから止める、とあります。

公式の安全の説明では、Activity Viewは、進行中と、任せた先の作業と、その状況を見せる画面です。そこで、文脈を足す、誤解を直す、方向を変える、止めるように頼める、とされています。

範囲のずれは、ここで見えるのか。推測: 画面に出るのは、進み具合・ファイル・結果で、前の作業の情報が次の作業に混ざった、という中身までは、見えにくい気がします。原文の例（情報の持ち越し）は、まさにそういう種類でした。試していないので、確かめたことではありません。

私のdotで、気づく入口になったのは、画面より、dotの聞き返しでした。

「Dotsメンバーふやしたい」とだけ送った時、dotは、「私のようなdotをもう一人作ること？ それとも、ほかの人を招待して一緒に使うこと？」と、意味を2つに分けて聞いてきた。私が「dot増やす」と答えると、公式ヘルプでは追加のdotは「今後対応予定」と案内されていて、手順は公開されていない、と返ってきました。

別の通知の件では、dotは、私の立場（受け取る側か、払う側か）を取り違えていたことを、指摘したら認めて、確認すべき点を言い直しました。範囲のずれを、画面の側で見つける日と、dotの言葉の側で見つける日があります。入口は2つ持っておきたいです。

AI氣道『OpenAI Dotsとは？ChatGPTの新しいAI秘書機能を日本で試し、任せる範囲をまとめた』より

「最初は「アプリはつながない」「作業はクラウドPCだけ」で始めて、任せたい仕事が決まってから1つずつ広げてください。」

狭く始めて、広げるのは任せたい仕事が決まってから。前の記事で3問だけ試した時にも、同じことを書きました。『OpenAI Dotsとは？ChatGPTの新しいAI秘書機能を日本で試し、任せる範囲をまとめた』で書いています。

見る画面を、1つに決めておく: dotの作業をどこで見るか（Activity、会話、通知のどれか）を1つ決めて、依頼の最後に「途中で変わったら、そこに書いて」と添えてみてください。

Codex研究ラボ（@codexneo4）のX Article（元記事・15章「まとめ」（最後の項）より）

「最初は影響の小さいアプリから接続し、結果を見ながら任せる範囲を広げる」

元記事の15章まとめは、最初は影響の小さいアプリから接続して、結果を見ながら任せる範囲を広げる、と結んでいます。

私のdotは、10月1日と2日の会話を、AI秘書の凛ちゃんに全部開いてもらって読みました。最初に書いておくと、許可の範囲を外れた動きは、見つけていません。評価と同じ条件の実験も、していない。見えたのは、範囲が決まっていく場面です。

1つ目。

ある件で、dotが「その回で合意した条件を確認してね」と書いてきた時、私は「合意してる」とだけ返しました。するとdotは「この件の確認は不要としておくよ」と返しました。私は確認をやめろとは言っていないのに、短い一言が、「この件の確認」という範囲を決める文に変わりました。

「この件」に絞ったのは、いい動きだと思います。ただ、私の一言が、範囲の約束になったことは確かです。

2つ目。

dotが作ってくれたお絵描きアプリは、「今はひろくんだけが開ける設定。共有範囲は頼んでくれれば変更できるよ」と返ってきた。10月2日にAI秘書の凛ちゃんがそのURLを開くと、ログインしないと開けませんでした。狭く始めて、広げるのは頼まれてから。

10月15日のLPの確認版は、ログインして開くと、ページの一番上が「非公開・内容確認用」で、決済の設定を作る前には「まず受付を開始しない状態で、午前・午後の申込み設定を作っていい？」と先に聞いてきました。

この2つで、範囲が広がりそうな所では、dotが先に聞くか、狭く始めていました。ただ、これは2件の観察です。連続作業を5件挟んだ時にどうなるかは、試していません。

短い返事のあとの、dotの言い換えを読む: 「合意してる」「それでいい」のような短い返事のあと、dotが何を許可の範囲と受け取ったか、dotの返事の文面から1つ読み取ってください。

Codex研究ラボ（@codexneo4）のX Article（元記事・15章「まとめ」（外に出る操作の項）より）

「送信・購入・公開など外に出る操作は、確認を求めるように決めておく」

元記事の15章まとめは、外に出る操作は確認を求めるように決めておく、と書いています。

私の運用は、AI秘書の凛ちゃんに、公開・送信・削除・課金のような、取り消せない数種類だけ、直前で止まって確認してもらうことです。それ以外は進めてもらって、報告に1行残してもらう。止まる場面を絞る理由は、確認が増えるほど、任せたはずの管理のボールが、私に戻ってくるからです。

だから、報告書を読んで「範囲を毎回言い直そう」とは、なりませんでした。言い直しが毎回になると、頼む私の側が、見張り役に戻ってしまいます。かといって、まったく言わないのも、原文の評価の条件（範囲を言わない連続作業）に近づいてしまいます。

そこで、提案です。

言い直すのは、原文の例に対応する場面だけにする。①作業の対象が変わる（別の案件や別の相手へ移る）。②共有先が変わる（共有ドキュメント、宛先）。③前の作業の情報を次で使う。

この3つは、原文の「情報の持ち越し」「共有ドキュメントの編集」から、私が分けた物です。評価で確かめられたわけではないので、推測: としておきます。

わからないことは憶測しないできく。わかることは2度聞かない。範囲の話も、この線に乗せたい。未試行なので、試したら、この記事の続きとして書きます。

AI氣道『OpenAI Dotsの最初の指示文、そのまま使って大丈夫？公式ヘルプで読み比べた』より

「担当範囲は粗く渡して、止まる線だけを細かく引く。」

範囲を言い直す場所を絞る提案は、最初の指示文を添削した記事で書いた線の引き方の続きです。『OpenAI Dotsの最初の指示文、そのまま使って大丈夫？公式ヘルプで読み比べた』で書いています。

依頼の1行に、広がる場所を足す: 次にdotへ頼む仕事で、対象・共有先・持ち越す情報のどれかが変わりそうなら、その場所だけ1行書き足してください。変わらなければ、足さなくていい。

「作業が続くと範囲を外れやすくなる」は、dotを危ないと決める文でも、安全と決める文でもありませんでした。範囲を言葉にしないまま続く作業で、境界を推し量る力を測った評価の、条件つきの数字です。

未確認なのは、伝え直しで逸脱が減るのか、連続作業を私のdotで試した時の動き、評価の図94の中身です（図は開いていません）。明日1つだけ選ぶなら、次の依頼で、対象・共有先・持ち越す情報のどれかが変わる所に1行足すこと。前の記事では、最初の指示文を公式ヘルプで読み比べました。

読んだのは、Codex研究ラボさんの記事、10月2日に開いたシステムカードの12.3.5、10月1日に開いた公式の3ページ、私のdotの会話です。