AIエージェントにGitHubやAWSの操作を任せると、便利さと引き換えに「トークンの権限内であればエージェントは何でもできてしまう」という問題が生まれる。Axtaryは、この問題をツールを渡す手前ではなく実行の直前で解く認可レイヤーである。エージェントが送ろうとしている実際の差分・メッセージ・クエリ・ツール引数を検査し、ポリシーに合致するルーチン操作は自動で通し、本番環境の変更のような高リスク操作には人間の承認を求める。承認は提示されたペイロードのハッシュに束縛されるため、承認後に中身が差し替わっていれば実行は拒否される。米国のAxtaryが開発し、2026年6月に公開。CLIとSDKはnpmの@axtary/*で配布され、2026年8月時点のバージョンは0.6.1。
主な特徴
- ツール単位ではなくアクション単位の許可（ActionPass）: 従来のAPIキーやOAuthトークンは「そのツールでできること全部」を与えてしまう。Axtaryは署名付きの認可クレデンシャル「ActionPass」を発行し、レビュー済みの単一アクションだけを制約付きで許可する
- ペイロードのハッシュ束縛: 承認は人間が実際に目で見た差分・ペイロードのハッシュに紐づく。承認後に内容が変わると検証に失敗し、実行される前に止まる
- Cedar / OPA互換のポリシー: 決定的に評価されるポリシー言語で、ルーチン操作の自動許可と高リスク操作のエスカレーションを宣言的に書き分けられる。ポリシーは実行経路上（hot path）で評価され、判定できない場合はfail closed（通さない）で振る舞う
- 幅広いコネクタとMCP対応: GitHub / Slack / Linear / Jira / Sentry / PostgreSQL / AWS / Google Cloud / Google Driveと、MCPサーバーに対応。Microsoft・Okta・Auth0は「近日対応」として掲載されている。MCPツール定義への署名（tool provenance）やClaude Code向けのフック連携も用意されている
- 改ざん検知可能な監査台帳: 許可・拒否・ペイロードのハッシュ不一致まで、すべての試行が検証履歴付きで記録される。監査用にエクスポートできる
- ローカル実行で認証情報を持ち出さない: 強制ポイントはエージェントの隣で動くローカルプロキシ。認証情報は手元に留まり、ホスト側のコントロールプレーンは承認・ポリシー・監査の調整だけを担う。ローカル完結の運用ならアカウント登録も不要
料金
| プラン | 料金 | 主な内容 |
|---|---|---|
| Local | 無料（アカウント不要） | CLI・SDK・ローカルプロキシ・MCPラッパー・ローカルでのポリシー判定・アクション台帳・認証情報不要のプレイグラウンド |
| Founding Team | 月額$499（30日間のパイロット後） | Localの全機能に加え、ホスト型の承認、チームダッシュボード、検証済み台帳の同期、導入支援、パイロット期間中の直接サポート。対象は非本番のワークフロー1本 |
| Enterprise | 要問い合わせ | Founding Teamの全機能に加え、セキュリティチームによるレビュー対応、ID・保持期間・デプロイ形態の個別調整、サポート条件の個別契約 |
セルフサーブの決済導線はまだ用意されておらず、有料プランはパイロットの条件と成功基準を書面で合意してから開始する形になっている。
料金は2026年8月時点の情報です。最新の料金は公式サイトをご確認ください。
メリット・デメリット
✅ メリット
- ツール単位の包括的な権限を配らずに済むため、エージェントに任せられる範囲を広げながら事故の影響範囲を小さく保てる
- 承認がペイロードのハッシュに束縛されるので、「承認した内容と実行された内容が違う」という事故を構造的に防げる
- CedarとOPAという実績のあるポリシー言語をそのまま使え、独自DSLを覚え直す必要がない
- ローカルプロキシ方式のため認証情報を外部に預けずに始められ、無料のLocalプランはアカウント登録すら不要
- 判定と実行の記録が台帳に残るため、監査やインシデント後の追跡がしやすい
⚠️ デメリット
- バージョンは0.x（pre-1.0）で、1.0.0までにAPIが変わりうると公式に明記されている
- 有料プランはセルフサーブで購入できず、パイロットの条件を書面で握る必要がある。Founding Teamの月額$499は個人利用の価格帯ではない
- モデルの推論そのものは検査しない。防げるのは実行の境界であって、エージェントが誤った意図を持つこと自体は止められない
- 実行経路上でポリシーを評価する以上、プロキシの導入とポリシー整備・承認フロー設計という運用コストがかかる
- 公式のGitHub organizationには2026年8月時点で公開リポジトリがなく、Apache-2.0とされるコードを外部から読める場所は限られる
類似サービスとの比較
エージェントの権限管理には複数のアプローチがあり、Axtaryはそのなかで「実行直前の検査」に特化している。
| 比較項目 | Axtary | ネイティブ権限（AWS IAM・GitHub PAT等） | Cedar / OPA単体 | エージェント内蔵の承認プロンプト |
|---|---|---|---|---|
| 許可の粒度 | 単一アクション（ペイロードに束縛） | ツール・リソース単位のスコープ | ポリシー次第（実装に依存） | ツール呼び出し単位（内容は人間の目視） |
| 承認後の改ざん検知 | ハッシュ検証で拒否 | なし | 自前実装が必要 | なし |
| 監査記録 | 改ざん検知可能な台帳 | 各サービスのログに分散 | 判定ログのみ | 会話ログに残る程度 |
| 導入コスト | プロキシ導入＋ポリシー整備 | 低い（既存の仕組みを使う） | ポリシー基盤の自作が必要 | ほぼゼロ |
| 向いている規模 | 複数コネクタをエージェントに任せるチーム | 単一サービスの限定的な利用 | 自社の認可基盤を持つ組織 | 個人・小規模 |
こんな人におすすめ
- GitHubやAWSの操作までエージェントに任せたいが、包括的なトークンを配ることに抵抗があるチーム
- MCPサーバー経由の操作が増え、どのツールが何を実行したのかを追えなくなってきた開発組織
- CedarやOPAでのポリシー運用にすでに慣れており、それをエージェントの実行経路に持ち込みたいプラットフォームチーム
- 監査要件があり、エージェントの操作を証跡として残す必要がある企業
- まずは無料のLocalプランで、手元のエージェントに実行前チェックを挟んで感触を確かめたい個人開発者
まとめ
Axtaryは、エージェントを賢くするための道具ではなく、エージェントが実行する瞬間に人間が承認したものだけを通すための土台である。ActionPassによるアクション単位の許可、ペイロードのハッシュ束縛、改ざん検知可能な台帳という三点は、エージェントに実務の権限を渡すうえで必要になる仕組みを素直に形にしている。まだ0.xで有料プランの導入ハードルも高いが、認証情報を手元に置いたまま無料のLocalプランから試せるので、エージェントの権限設計に悩んでいるなら手元のワークフローに挟んで確かめてみる価値がある。