Allowed Rootとは？AIのファイルアクセス範囲を限定する考え方

AIにPCのファイル操作を任せるとき、どのフォルダまでアクセスを許可するか。OGINAU Remoteの検証例を交えて解説します。

まず結論

Allowed Root（許可されたルート）とは、AIや外部ツールがファイルを操作できる範囲を、あらかじめ指定したフォルダとその配下に限定するための安全境界です。 たとえば、PC内の「仕事用」フォルダを操作してほしいとき、AIにPC全体へのアクセスを許可する必要はありません。作業用フォルダだけを許可すれば、対象を限定してファイルの読み取りや保存などを行う設計ができます。 重要なのは、AIへの指示で「ほかのフォルダを触らないで」と伝えるだけでは、十分なアクセス制御にならないことです。実際のファイル操作を受け付ける側で、対象パスが許可範囲に入っているかを検証する必要があります。

定義

ここでいう「Root」は、PCのシステムドライブ全体という意味ではありません。操作を許可するフォルダの起点という意味です。 例として、Windows PCで次のフォルダだけを許可するとします。

C:\Users\Example\Documents\AI-Workspace\

この場合、一般的な考え方は次のとおりです。

操作対象	基本的な扱い
AI-Workspace内の議事録	許可範囲内として処理を検討できる
AI-Workspace内のサブフォルダ	許可範囲内として処理を検討できる
同じDocuments内の別フォルダ	許可範囲外として拒否する
Windowsのシステムフォルダ	許可範囲外として拒否する

これは仕組みを説明する架空の例です。実際に許される操作は製品設定と利用者の権限にも左右されます。 また、「フォルダ内にある」だけで無条件に操作してよいわけではありません。読み取り・書き込みなどの操作権限も別途必要です。

なぜAIのファイルアクセスに境界が必要なのか

AIは自然言語の依頼からファイル操作を選べるため、便利です。一方、作業範囲があいまいなままだと、意図しない別のファイルへアクセスする可能性があります。 たとえば「昨日の見積書をまとめて」と頼んだ場合、AIが関連ファイルを探す場面が考えられます。しかし、検索対象をPC全体へ無制限に広げる必要があるとは限りません。 利用者が許可した作業領域でのみ処理するという設計にすると、操作対象を明確にできます。 ただしAllowed Rootだけで、誤操作のすべてを防げるわけではありません。許可フォルダ内でも上書きや削除などの危険はあり得るため、操作の種類、利用者の権限、確認手続きなども重要です。

仕組み

基本的な流れは次のとおりです。

1. 作業フォルダを決める。 利用者や管理者がAIに扱わせたい範囲を指定します。
2. AIがファイル操作を依頼する。 例：「議事録を読んで」「作業フォルダへ保存して」。
3. 操作を実行する側が対象パスを検証する。 許可された範囲に含まれるかを確認します。
4. 許可された操作だけを処理する。 範囲外なら、ファイルを開く前に拒否する設計が基本です。
5. 実行結果を返す。 成功・拒否・対象ファイルなしなどを区別してAIへ返します。 「AIが要求したから許可する」のではなく、実行側が独立して判断する点が大切です。

ファイルの移動では2つの場所を確認する

読み取りでは主に読み取り対象、保存では保存先の確認が重要です。 では、ファイルを移動する場合はどうでしょうか。 たとえば許可フォルダ内のファイルを、許可範囲外へ移動できてしまうと、操作先の境界が守られません。逆に、範囲外から許可フォルダ内へ移す処理でも、元ファイルへのアクセスを伴います。 そのため、移動・名前変更では元の場所と移動先の両方を確認するという考え方が必要です。

パスの文字列だけで判断してよい？

いいえ。フォルダの境界は、単純な文字列の前方一致だけで判断するべきではありません。 たとえば、次のような点を適切に扱う必要があります。

• .. のような親フォルダを参照する相対パス

• 許可フォルダ名に似た、別のフォルダ名

• シンボリックリンクや再解析ポイントなどを経由するアクセス

• パスの表記ゆれや、実行前後にファイルの状態が変わる可能性 安全な判定は、利用するOSやファイルシステムの性質を踏まえて実装する必要があります。 このため「ファイル名が許可フォルダから始まっているように見えるから安全」とは判断できません。

よく混同される概念

「OAuth Scopeとは？AIに許可する範囲をどう決めるか」で説明したOAuth Scopeは、外部アプリケーションに委任する権限範囲を表すものです。 一方、Allowed Rootは、PCのどのファイル領域を操作対象にできるかを制限する考え方です。

制御	主に決めること
OAuth Scope	外部アプリにどの種類のアクセスを委任するか
Allowed Root	PC内のどのフォルダを操作対象にできるか
ファイル操作の権限	読み取る、書き込む、移動するといった操作を許すか
OSのアクセス制御	実行する主体が実際にそのファイルへアクセスできるか

これらは互いを置き換えるものではありません。 「OAuth Scopeとは？AIに許可する範囲をどう決めるか」も参考にしてください。

OGINAUとの関係

OGINAU Remoteでは、ChatGPTなどのAIから、利用者自身のWindows PCにあるファイルを扱うための接続を開発しています。 ここで重要だったのが、ファイルを操作できることだけでなく、許可されていない範囲への操作を拒否できることでした。

1. 実際のWindows PCで操作を確認した

初期の実機E2E検証では、AIからの要求がWindows側へ届き、結果が返ることを確認しています。ファイルの一覧取得、読み取り、書き込みなどの操作を対象とした初期検証は、記録上5項目がPASSしました。 これは「ToolがAIに表示されている」という状態だけでなく、PC側で実際に処理できることを確認した検証です。

2. フォルダの境界は移動操作でも必要だった

OGINAU Remoteの開発記録では、ファイルの移動・名前変更について、移動元と移動先の両方にAllowed Rootの検証を適用する設計が記録されています。 たとえば、許可フォルダ内から範囲外へファイルを移す要求も、作業領域の境界を越える操作です。読み取り先だけを確認すればよい、という単純な考え方では不足します。

3. 許可範囲外の拒否も検証対象にした

OpenAIのレビュー用検証資料には、許可フォルダ内の読み取りや保存・移動に加え、許可範囲外へのアクセス拒否を確認する手順が含まれています。 ここは証拠の種類を分けておきます。実機E2Eの成功記録、開発時のsmokeテストのPASS、レビュー用に定義した拒否テスト手順は同じではありません。レビュー用手順が存在することだけで、すべての環境の拒否テストが完了したとは扱いません。 この区別は、実装を公開する側にも、AIツールを選ぶ利用者側にも重要です。 動くことを証明するテストと、許可されないことを証明するテストは、両方必要です。 上記は公開可能な開発記録に基づく説明です。具体的な私有パス、権限制御の内部処理順序、認証情報、接続基盤の機微な詳細は掲載していません。

よくある質問

Q. Allowed RootはAIに「このフォルダだけ見て」と指示することですか？

いいえ。指示だけではなく、ファイル操作を行う実行側で境界を確認することが必要です。

Q. 許可フォルダ内なら何でも削除・変更できますか？

いいえ。操作の種類に関する権限や、OS・サービス側の制限が別にあります。Allowed Rootはそれらを置き換えません。

Q. 複数のフォルダを許可できますか？

許可範囲を複数設ける設計は可能です。ただし、実際の製品で利用できる設定は実装によります。

Q. Allowed Rootを設定すればパスワードや個人情報も安全ですか？

それだけでは十分ではありません。許可範囲内にある機密情報の扱い、書き込み権限、監査なども考える必要があります。

根拠・一次情報

• Microsoft Learn：ファイル名、パス、名前空間：Windowsのファイルパスや名前空間の基本。

• Microsoft Learn：再解析ポイント：Windowsにおけるリンク等を扱う仕組み。

• OWASP：Path Traversal：ディレクトリ境界を越えるパス指定に関する一般的なリスク。

• OGINAU Remote開発記録：初期Windows実機E2E 5項目PASS、移動元・移動先のAllowed Root確認、Public smoke検証、およびレビュー用の範囲外拒否テスト手順。

まとめ

Allowed Rootは、AIのファイル操作を、利用者が許可したフォルダの範囲に限定するための安全境界です。 大切なのは、AIへのお願いではなく実行側でアクセス範囲を検証すること、ファイル移動では元と先の両方を見ること、そして「操作できる」だけでなく「範囲外は拒否する」ことを検証することです。 AIにPCの仕事を任せるなら、最初からPC全体を開放するのではなく、必要な作業フォルダと操作だけを許可するところから考えるのが基本です。