Windows 365 for AgentsがCloud PCをエージェントランタイムに変えた: CTOが展開前に確認すべきこと

MicrosoftがAIエージェントに完全なWindowsデスクトップを提供しました。これは機能のアップデートではありません。新たなクラスのエンタープライズ攻撃サーフェスであり、ガバナンスの時計はすでに動いています。

2026年5月28日、MicrosoftはアメリカでWindows 365 for Agentsのパブリックプレビューを開始しました。AIエージェントが管理されたWindows環境内で動作できるよう設計されたエージェント専用Cloud PCランタイムです。Help Net Securityの報道によると、これは人間向けのWindows 365 Cloud PCとは異なる製品ラインで、非人間ユーザー専用に構築されています。多くのCTOがまだ設計中のエンタープライズエージェントアーキテクチャにおける3番目のランタイムです。

Microsoftが実際に出荷したもの

このリリースの核心は、MicrosoftがHOBO（hosted on behalf of）と呼ぶ新しいインフラモデルです。HOBOアーキテクチャでは、各エージェントが専用のシングルインスタンスAzure仮想マシン（VM）を持ちます。そのVMはMicrosoftのAzureサブスクリプション内で動作しますが、顧客のMicrosoft Intune（モバイルデバイス管理）ポリシーで設定・管理され、Microsoft Entra ID（Azure Active Directoryの後継となるエンタープライズアイデンティティプラットフォーム）によって保護されます。

ITチームがマシンを設定・監査し、Microsoftがホスティングを担当します。Windows 365 for AgentsのMicrosoft Learnドキュメントでは、プレビューでサポートされるエージェントタイプを含む技術モデルを詳しく解説しています。

ライセンスには3つのものが必要です。月額15ドルの新しいAgent 365ライセンス、既存のIntuneサブスクリプション、そして有効なAzureサブスクリプションです。単体購入ではありません。Microsoftのエンタープライズ管理スタックをすでに運用していることが前提です。

エージェントが得るのは完全なWindowsデスクトップです。APIエンドポイントでも、サンドボックス化されたシェルでもありません。タスクバー、ブラウザ、ファイルシステム、そしてアプリケーションインターフェースをクリックスルーする能力です。それがこのリリースの目的です。そしてリスクでもあります。

3つのランタイムが可視化された

今週のMicrosoftのエージェントスタックに関するReworkの報道を追っている方は、3つのランタイムのうち2つをすでに見ています。Microsoft Agent 365はコントロールプレーンを確立しました。AIエージェントを識別可能な資産として登録するためのガバナンス層です。Anthropicの自社ホストサンドボックスはペリメータモデルを表しています。コードファーストで、自社のファイアウォール内でのAPI指向のエージェント実行です。

Windows 365 for Agentsは3番目の柱です。スリーランタイムレンズと呼びます。AIエージェントがどこに存在し、何にアクセスでき、どのコントロールが適用されるかをマッピングするフレームワークです:

スリーランタイムレンズが重要な理由は、ほとんどのエンタープライズエージェント戦略が単一の質問（「AIエージェントを使うべきか?」）に集約されてしまうからです。本当の問いは「このワークフローにはどのランタイムが適しているか、そして各ランタイムにはどのガードレールが必要か?」です。

各ランタイムはセキュリティとガバナンスの上限を1段階引き上げます。APIを呼び出すコントロールプレーンエージェントはAPIスコープで制約されます。コードを実行するAPIファーストサンドボックスはネットワークペリメータで制約されます。UIドリブンCloud PCエージェントは、そのWindowsセッションを持つ人間の従業員ができることを概ねなんでもできます。これは実質的に異なるリスクプロファイルです。

UIドリブンランタイムが真価を発揮する場面

Windows 365 for Agentsのケースが最も強力なのは、人間の従業員が現在画面をクリックスルーしてこなしている作業を、より一貫性高く処理できるエージェントが代替できる場面です。具体的なカテゴリをいくつか挙げます:

レガシーERPシステム。 SAP GUIとOracle FormsはAPIではなく人間向けに構築されています。多くの企業がRESTのAPI表面が薄いかほぼ存在しないSAP ECCの環境を抱えています。Windowsセッションを持つエージェントは、数年にわたるAPI近代化プロジェクトなしにこれらの画面を操作してアウトプットを取得できます。

CitrixとRDPでホストされたアプリケーション。 規制業界のエンタープライズソフトウェアのかなりの割合がCitrixまたはRDP（リモートデスクトッププロトコル）セッション内で動作しています。これらの自動化にはCitrix固有のコストのかかるツーリングが必要でした。エージェントCloud PCがその計算を変えます。

AS/400とターミナルエミュレーターのワークフロー。 IBM AS/400システムと5250ターミナルエミュレーターは今も数千の企業でコアビジネスロジックを動かしています。ターミナルエミュレーターを操作できるエージェントは、カスタムミドルウェアを必要とせずに調達、在庫、生産のワークフローを自動化します。

APIのないサードパーティSaaS。 一部のSaaSツールは、多くの顧客が購入するティアではAPIアクセスを提供していません。UIドリブンエージェントは、ティアのアップグレードやベンダーとの交渉なしにこれらを処理します。

Windows 365のブログは2026年1月の時点でこの方向性を示していました。Cloud PCの次の章として、プラットフォームを非人間ユーザーに拡張することを説明していました。5月28日のローンチでそれが実用化されました。

これまでにはなかったリスクをもたらす部分

重要なポイント

• Windows 365 for Agentsは2026年5月28日にパブリックプレビュー開始、Agent 365ライセンス月額15ドル（出典: Help Net Security）
• HOBOアーキテクチャはVMをMicrosoftのAzureサブスクリプション内に置き、顧客のIntuneで管理します。エージェントのWindowsセッションは人間のCloud PCユーザーと同じOSレベルのアクセス権を持ちます（出典: Microsoft Learn）
• Gartnerは2026年までに企業のアプリケーションの40%にAIエージェントが組み込まれると予測し、UIドリブン自動化の攻撃サーフェスが大幅に拡大するとしています（出典: Gartner、2025年）

完全なWindowsデスクトップはAPIの呼び出しよりはるかに広い影響範囲を持ちます。これはCTOが展開前に明示的に指摘すべきトレードオフです。

APIスコープよりも広い表面積。 Windowsセッション内で任意のアプリケーションを起動できるエージェントは、そのユーザーアイデンティティが権限を持つすべてのものにアクセスできます。これらのEntra IDの認証情報が過剰にプロビジョニングされている場合（成熟した企業ではよくある状態）、エージェントはその過剰プロビジョニングを引き継ぎます。

監査可能性はAPIログより困難。 APIファーストのエージェントは離散的な構造化された監査ログを生成します。画面をナビゲートするUIドリブンエージェントが生成するのは、セッション録画を設定している場合のみです。スクリーンキャプチャから意思決定のシーケンスを再構築するのは、APIログを解析するより手間がかかります。これを本番ワークフローで信頼する前に、Intuneで明示的なセッション録画ポリシーが必要です。

Intuneの設定ドリフト。 HOBOモデルはIntuneポリシーが主要なガードレールであることを意味します。それらのポリシーがドリフトする場合（古くなったベースライン、未検討の例外、設定ミスした条件付きアクセス）、エージェントのWindowsセッションがそのドリフトを反映します。Intuneの状態を継承するWindowsセッションはIntuneの技術的負債も継承します。

ライセンスの膨張。 Agent 365の月額15ドルはIntuneとAzureの上に積み重なります。事前に支出ガバナンスがなければ、エージェントライセンスは価値の帰属が不明確な大きな不透明な費用項目になります。

これらのリスクはそれぞれ管理可能です。ただし、最初のエージェントが出荷される前に、後からではなく、意図的なポリシーの決定が必要です。正しい出発点のフレームワークはエージェント型AIガバナンスモデルです。新しいランタイムを追加したからといってガバナンスギャップが消えるわけではないからです。

次の60日間のCTOアクションリスト

バウンダリーポリシーなしにWindows 365 for Agentsを展開すると、環境内に新たなクラスのアンマネージド資産が生まれます。プレビューが本番になる前にすべきことを示します:

1. まずUIに縛られたワークフローを監査してください。 APIの代替手段がないために人間が画面をクリックスルーしているすべてのワークフローをマッピングしてください。それが候補リストであり、リスク登録です。エージェントCloud PCに移行する各ワークフローには独自のリスクティアが必要です。

2. 読み取り専用スコープでエージェントを1つだけパイロットしてください。 書き込み可能なものから始めないでください。エージェントが状態を変更せずにデータを読み取り、報告するワークフローを選んでください。それによりセッション録画データ、Intuneポリシーの検証、インシデント対応のリハーサルが得られます。

3. スケールアップする前にバウンダリーポリシーを文書化してください。 エージェントCloud PCに適用するIntuneポリシー、禁止するアプリカテゴリ、エージェントがアクセスできるデータ分類、セッションの自動終了のトリガーを定義してください。セキュリティチームが署名する名前付きドキュメントにしてください。

4. ワークフロー別に支出上限を設定してください。 Agent 365の月額15ドルはすぐに積み重なります。各ランタイムに自動化するワークフローに紐づいた予算を割り当て、増額を承認する名前付きのオーナーを設けてください。

5. 不正使用時のデプロビジョニングルールを定義してください。 エージェントが何をした場合、または何をしなかった場合にセッションの一時停止をトリガーするかを事前に定義し、Intuneのコンプライアンスポリシーで自動化し、インシデント後に議論しないようにしてください。

6. Cloud PCをランタイムとして分類する責任者を決めてください。 エージェントCloud PCはセキュリティ資産か、IT資産か、エンジニアリング資産か? これを未定義のままにしておくと、何か問題が起きたとき3つのチームが互いに指を向けることになります。

FAQ

Q: Windows 365 for Agentsは一般提供されているか?

いいえ。2026年5月28日時点ではアメリカでパブリックプレビュー中です。GA時期は発表されていません。現状はパイロット専用環境として扱ってください。ガバナンスモデルのテストに使用し、本番ワークフローの実行には使用しないでください。

Q: Windows 365 for AgentsはMicrosoft Agent 365を置き換えるか?

いいえ。これらは異なる層です。Agent 365はコントロールプレーンです。テナント内のすべてのエージェントのアイデンティティ、権限、監査証跡をガバナンスします。Windows 365 for Agentsはランタイムです。エージェントに動作する場所を提供します。両方が必要です。ガバナンスのないランタイムはアンマネージドなエージェントセッションです。

Q: Anthropicの自社ホストサンドボックスと比べてどうか?

用途が異なります。Anthropicの自社ホストサンドボックスとMCP Tunnelsは、自社のファイアウォール内でAPIを呼び出しデータを処理するコードツールエージェント向けに最適化されています。Windows 365 for AgentsはAPIのない対象システムのUIドリブンワークフローを処理します。エージェントがAPIを呼び出す必要があればサンドボックス型ランタイムを使用してください。画面をクリックスルーする必要があればWindows 365 for Agentsを使用してください。

関連記事

• Microsoft Agent 365が提供開始: CTOが今すぐAIエージェントコントロールプレーンを必要とする理由
• AnthropicがAIエージェントをファイアウォール内に: 自社ホストサンドボックスとMCP TunnelsがCTOにとって意味すること
• 86%のCEOがAI予算を増やしているが、ガバナンスが追いついているのは5人に1人だけ
• ACEフレームワーク: ビジネスAIの周期表

パブリックプレビューの窓は計画の窓です。今先送りにするガバナンスの決定はすべて、最初のインシデント後の後付けになります。バウンダリーポリシーから始め、読み取り専用のパイロットを1つ選び、スリーランタイムレンズでWindows 365 for Agentsが適している場所と適していない場所を判断してください。