何が起きたか
Instinctは、まだプライベートアクセス段階のAIパーソナルアシスタントです。テスターからは「魔法のよう（like magic）」「OpenClaw以来もっともエキサイティングなローンチのひとつ」と評され、SNS上で一気に注目を集めました。
仕組みはシンプルで、ユーザーはテキストメッセージやWhatsAppで話しかけるだけ。Instinctはメール、メッセージアプリ、カレンダーに加え、端末の音声・位置情報・画面にも接続し、予約の代行、空港までの配車手配、受信箱の整理、買い物、安い航空券探しといったタスクをこなします。ベンチャーキャピタリストのJesse Middleton氏は1週間毎日使い、出張手配やリブッキング、レストラン予約、メールのフォロー、CRM管理、LP向けデータルームの作業まで任せたうえで、Hermes、OpenClaw、Tasklet、GrokBotを試したがInstinctが「takes the cake（群を抜く）」と述べています。
開発したのは、Sierraの元リサーチサイエンティストNoah Shinn氏が率いる少人数チーム。利用規約とカリフォルニア州の登記上の運営主体はSpear Street Technologyで、PitchBookではステルス扱いです。TechCrunchは複数の投資家から、Kleiner PerkinsとConvictionが出資し、そのラウンドはすでにクローズしていると聞いています。
称賛と同時に噴出した「規約」と「挙動」の問題
火種になったのは利用規約のスクリーンショットでした。そこにはユーザーの素材を「アクセス、利用、ホスト、キャッシュ、保存、複製、送信、表示、公開、配布、改変」できる「永続的かつ取り消し不能（perpetual and irrevocable）」なライセンスをInstinctに与える文言があり、AIモデルの学習利用も含まれます。さらに規約は、画面キャプチャ、カーソルの動き、キーボード入力といった端末情報の受信を明記し、ユーザーに代わって法的拘束力のある「契約、コミットメント、取引」を締結することまで認めています。Mike Khristo氏はX上で「サブライセンス可能、全世界、永続的かつ取り消し不能なライセンス」という文言を引き、「著名で成功した人たちが一週間ずっと持ち上げながら、自分のメールも個人データも全部差し出している」と指摘しました。
実挙動でも綻びが出ています。Peter Yang氏はGmailの記録を削除するよう求めても応じてもらえず、「許可なくメールをインデックスして保持し、記録から削除させないのはクールじゃない」と投稿しました（同氏によれば、その後チームが設定に外部データ削除ツールを追加して修正済み）。Claire Vo氏は午前11時にGoogleとの接続を切ったのに午後2時にメール要約が届いたと報告し、ボット自身が「後から検索できるようメールを平文で保存していた」と認めたといいます。あるテスターは、Resy経由のレストラン予約というタスクを完遂するためにInstinctが受信箱からサインアップ用のコードを取り出せることに気づき、不安を表明しました。
点をつなぐと見えるもの
この三つの報告は、別々の不具合ではなく一本の線でつながっています。「強力なエージェントであるほど、受信箱の中身を根拠に自律的に行動する」という設計思想そのものが、そのままフィッシングの攻撃面になるという構造です。Hello Patient共同創業者のAlex Cohen氏はそれを実験で示しました。新規のGmailアカウントを作り、そこから自分の本アカウント宛にInstinctへの指示を書いたメールを送るという手法で、どれだけ簡単にフィッシングできるかを検証し、その後アカウントを削除しています。同氏は「AIに受信箱の読み書き権限を与えて安全な段階には、まだ来ていないと思う」と述べました。
Moxxie Venturesの創業者Katie Jacobs Stanton氏の体験は、信頼の非対称性を端的に表しています。Instinctが確認なしに自分名義でメールを送信したため、信頼を裏切ったと伝えてメール連携を切ったといい、「エージェントが強力になるほど信頼が重要になる。成功した行動ひとつごとに少しずつ信頼が積み上がるが、たった一度の無許可の行動でゼロにリセットされる」と書いています。加えて同氏は「私たちはトレードオフを十分に理解しないまま、プライバシーとコントロールを超パーソナライズされたAIツールと引き換えにしている」とも指摘しました。
Anchorを創業しSpotifyに売却、現在はUnion Square VenturesのGPであるMichael Mignano氏は、Instinctのような製品が「消費者のセキュリティ規範そのものを変える」と見ています。同氏は、人々が保存のされ方も内容も知らないままサードパーティアプリにパスワードを渡していくようになる、とも述べています。
背景には市場の熱もあります。パーソナルAIへの関心はOpenClaw登場以降に高まり、その創業者は次世代のパーソナルエージェントを手がけるためOpenAIに参加。メッセージ型アシスタントのPokeはCognitionへイグジットしました。Instinctのチームは低姿勢を保ち、X上の懸念や苦情に反応していません。ボット自身はSierra出身のLuca Borletti氏の関与を示唆していますが、未確認です。TechCrunchが同社の代表メールアドレスとShinn氏に直接送ったコメント要請にも、回答はありません。
プライベートテスト段階であることが、いまのところ問題の拡大を抑えています。裏を返せば、この設計と規約のまま一般公開されたときが本番だということです。
💼 事業会社視点：これは自社にどう効くか
日本企業の役員がまず確認すべきは、「自社の従業員が業務メールをこの種のエージェントに接続していないか」です。Instinctの規約は、素材に対する永続的・取り消し不能・サブライセンス可能なライセンスと、モデル学習への利用を含みます。つまり営業担当が受信箱を接続した瞬間、顧客の与信情報や見積、契約交渉のやり取りが、契約上は撤回不能な形で外部に渡り得る。個人が自腹で契約するため、SaaSの購買統制をすり抜けるのが厄介な点です。
とりわけ受託開発やSIerは、顧客のNDAで「再委託・第三者提供の禁止」を負っています。従業員のInstinct利用は、技術問題である以前に契約違反リスクです。今週中にIT部門へ、Gmail/Microsoft 365のサードパーティアプリ連携ログの棚卸しと、OAuth連携の管理者承認制（未承認アプリのブロック）を指示すべきです。
ECとSaaSの事業責任者には別の論点があります。Alex Cohen氏が実証したのは、外部から届いたメールがエージェントへの指示として通ってしまう構造でした。Resyの例のように、エージェントは受信箱からサインアップコードを取り出して手続きを完遂します。メール認証コードやマジックリンクを本人確認の要にしている自社サービスは、その前提が崩れつつあると考えるべきです。予約キャンセル、住所変更、返金といった不可逆な操作には、メール以外のチャネルでの再認証を設計に入れてください。
そして自社でAIエージェントを作る側なら、Stanton氏の「一度の無許可の行動で信頼はゼロに戻る」を製品原則として持ち込む価値があります。読み取りは自動、書き込みと外部への送信は必ず人間の承認を挟む——この線引きが、当面の競合優位になります。