Grok BotでAIチームを動かす

外部の接続先は POST https://cursor-gw.masao.ai/api/<コマンド名>。認証には外部接続用の2ヘッダと、受付APIのBearerトークンを使う。

CF-Access-Client-Id: <外部接続用のID>
CF-Access-Client-Secret: <外部接続用の秘密情報>
authorization: Bearer <受付APIのトークン>
Content-Type: application/json

以下は送信するデータの例。実際のIDや認証情報は、このページに含めていない。

// AIの作成
createAgent {"name":"技術担当","description":"資源を測り、結果を報告する"}

// 指示の送信
sendPrompt {"agentId":"<AIのID>","prompt":"計算機の資源を調べて報告して","clientNonce":"<一意な値>"}

// 返事の取得
getAgentTranscriptTail {"id":"<AIのID>","limit":20}

• createAgent の名前と説明は空にできない。origin は省略、または "user"。
• updateAgent は {id, profile:{name, description}} の形。
• sendPrompt の戻り値は {"accepted":true}。返事は別途取得する。
• getAgentTranscriptTail の配列は entries に入る。
• broadcastToAgents の本文キーは message。

3体の画面を1ページに表示。左上の費用担当の画面には、調査で行き止まったログイン画面が映っていた。

原資料のスクリーンショット。現在の稼働状態を示すものではありません。

AIと画面番号の対応は /home/box/.sand-window-assignments.json で確認できた。実験時は費用担当が :2、技術担当が :3、まとめ役が :4。

画面番号は、実行用プログラムや配信先を結び付ける。観覧用の番号と、画面操作を許可する秘密情報は別物。後者を観覧ページへ埋め込まない。

約39秒は表示する画面を決める対応表の追加から再起動までの差。観覧側の接続成功時間を毎回測定した値ではない。表への登録だけで、接続の成功を保証できるわけではない。

認証情報を、AIごとに隔離できているとは言えない

原調査では、AIを操作するための秘密情報が、プログラムを起動したときの命令文に含まれていた。同じ計算機でその情報を読めるAIが、他のAIを作成・削除・操作できる可能性がある。

観覧は、画面の配信を仲介する計算機に、接続用の秘密情報を持たせる形へ変更した。人のブラウザで別のログイン画面を開かずに観覧でき、その秘密情報をブラウザへ渡さない構成を確認した。

AIの削除と、記録の全消去は違う

試験用のAIを削除すると、画面と実行用プログラムは消えた。一方、ブラウザの設定やログイン情報を保存したデータ、会話・行動の記録、一部の起動用プログラムは残った。別のAIへ履歴やログイン状態が引き継がれるかは未検証。

最後の1体を削除すると、アプリが新しいAIを自動補充した。原実験では5回続けて同じ挙動を確認した。

100画面の設定値は、100体が安定して動く保証ではない

SAND_BOX_MAX_WINDOWS=100 を確認したが、100体同時の実行は試していない。環境を作り直したとき、保存した記録をどこまで戻せるかは試していない。記録を別の場所へ保存している形跡から推測した部分がある。

原資料の本文は「116件」としていたが、掲載表は重複のない120行だった。このページは表を全件抽出し、実際の掲載数に合わせた。

原表の「危険」5件は、確認状態と分けて「未検証」かつ「重要な変更」と表示した。対象は resetForeverBox、clearBoxStoreNow、deleteAgents、updateHostNow、setBoxSecrets。これ以外の削除・公開・設定変更にも、実行時の判断は必要。

受付APIのほかに、実行用の 1337/1338、画面振り分けの 1339、画面配信の 6080/6081、Dockerの 2375 が記録されている。認証や用途が異なり、受付APIと同じ扱いにはできない。

API一覧は2026年9月5日の原調査に対応。記録されたホストの版は 15e3277。現在も同じ仕様かは、使用する環境で確認する。