# Agent NAS：AI エージェントのためのネットワーク接続ストレージ

> Agent NAS は、「1 回の実行」を軸に設計したネットワーク接続ストレージです。エージェントの実行は、それぞれ隔離されたブランチで作業し、短命で範囲の狭いリースを通してデータにアクセスします。すべての変更は追跡でき、元に戻せます。記憶は、出どころつきの普通のファイルです。対外的には、エージェントがすでに話せる言葉、つまりファイル、Git、S3、MCP で話します。

**エージェントが働き、あなたが主導権を握り続ける場所。** 「実行」を基本単位にする NAS。実行ごとに専用のブランチとリースを持ち、すべての変更は追跡でき、元に戻せます。記憶は、読んで、直して、持ち出せるノートです。

## 概要

- **カテゴリ**: AI エージェントのためのネットワーク接続ストレージ。エージェントネイティブ・ストレージ（agent-native storage）とも呼びます。
- **基本思想**: アクセスの単位はアカウントではなく **実行** です。実行はブランチの上で作業し、リースを通じてアクセスし、記録を残します。
- **4 つの約束**: 範囲が限られていること、復元できること、説明責任を果たせること、検査できること。
- **中核の名詞**: Tree、Commit、Principal、Run、Lease、Record。
- **コンセプト**: 名前のついた 9 つのコンセプトを、作業・権限・知識の 3 つのグループに分けています。
- **インターフェース**: データ面：マウント、Git、S3、WebDAV。制御面：MCP、HTTP、CLI。
- **仕様**: ドラフト v0.2。準拠レベルは L0 Files から L4 Sync までで、それぞれに実行可能な受け入れテストがあります。
- **状況**: コンセプトと仕様の段階で、参照実装はまだありません。L0 と L1 は、既存の部品で今日から作れます。
- **ライセンス**: コンテンツは CC BY 4.0 です。

## なぜ今なのか

この 1 年で、すでに 4 つのことが起きました。

- **エージェントはファイルで働きます。** [AGENTS.md](https://agents.md)、[Agent Skills](https://agentskills.io/specification)、Git で支えられた記憶（[Letta Context Repositories](https://www.letta.com/blog/context-repositories/)）、長い出力をファイルに書き出す [動的なコンテキスト発見](https://cursor.com/blog/dynamic-context-discovery) によって、ファイルはエージェントの作業媒体になりました。
- **間違いは速く、高くつきます。** 2026 年 4 月、あるコーディングエージェントが、無関係なファイルで見つけた権限の広すぎるトークンを使い、[ある会社の本番データベースと、同じボリュームにあったバックアップを 9 秒で削除しました](https://www.theregister.com/software/2026/04/27/cursor-opus-agent-snuffs-out-startups-production-database/5224442)。
- **人間は、すべての手順をレビューできません。** Anthropic の報告では、ユーザーは [許可プロンプトの 93% から 97%](https://claude.com/resources/articles/auto-mode-default-in-claude-code) を承認しています。管理された実験では、人間が見つけたのは、仕込まれた危険なコマンドの 13.6% だけでした。
- **記憶が攻撃面になりました。** [2026 年の複数の研究](https://arxiv.org/abs/2606.04329) は、永続的な記憶に書き込まれた悪意ある指示がセッションをまたいで生き残ること、入力時や検索時だけで守っても効果が薄いことを示しています。

ストレージのベンダーも動いています。[QNAP QuAgent](https://www.qnap.com/en/software/quagent)、[Synology DSM Agent](https://www.synology.com/en-us/beta/2026_DSM_Agent_1_0_Beta/release_note)、[TrueNAS MCP](https://truenas.github.io/truenas-research-labs/) はいずれも、エージェントに筐体を管理させます。しかし、私たちの知る限り、その中のデータの上で、ほかのエージェントが安全に作業するための、セルフホストできて、オープンで、検証できる契約は、まだありません。[Agent NAS と既存のアプローチとの比較](https://agentnas.com/ja/compare/) を参照してください。

## 4 つの約束

| 約束 | 意味 | 実現するもの |
| --- | --- | --- |
| 範囲が限られている | 実行が触れるのは、そのリースが指すものだけで、リースは期限どおりに効力を失います。信頼できない内容を読んだセッションは、機微なデータと外向きの経路を同時に持てません。 | [Capability Lease](https://agentnas.com/ja/concepts/capability-lease/)、[Trust Labels](https://agentnas.com/ja/concepts/trust-labels/) |
| 復元できる | 書き込みはまずブランチに入り、保護されたデータはレビューされたマージでしか変わりません。削除はソフトで、スナップショットはどのリースの権限の外にもあります。 | [Agent Branch](https://agentnas.com/ja/concepts/agent-branch/)、[Human Gate](https://agentnas.com/ja/concepts/human-gate/) |
| 説明責任を果たせる | すべての変更が、誰が行ったか、誰のためか、どのリースの下か、何を読んだかに答えられます。 | [Flight Recorder](https://agentnas.com/ja/concepts/flight-recorder/) |
| 検査できる | 記憶は出どころつきの普通のノートで、索引は捨てて再構築でき、すべてのデータをエクスポートできます。 | [Agent Home](https://agentnas.com/ja/concepts/agent-home/)、[Agent Memory](https://agentnas.com/ja/concepts/agent-memory/)、[Budgeted Reads](https://agentnas.com/ja/concepts/budgeted-reads/)、[Cascade Forget](https://agentnas.com/ja/concepts/cascade-forget/) |

## 9 つのコンセプトと、3 つの問い

Agent NAS は、名前のついた 9 つのコンセプトを提案します。それぞれに専用のページがあり、引用できる定義、仕組み、小さく始める方法、インターフェースのスケッチ、仕様が求めること、そして正直な限界を載せています。

### 作業

作業はどこで行われ、何が起きたのか。

- AN-01 [Agent Home (エージェント・ホーム)](https://agentnas.com/ja/concepts/agent-home/): ロールごとのディレクトリ。履歴つきで、普通のファイルのまま持ち出せます。
- AN-02 [Agent Branch (エージェント・ブランチ)](https://agentnas.com/ja/concepts/agent-branch/): 実行ごとに、コピーオンライトのブランチで作業します。メインに届くのは、レビューを経たマージだけです。
- AN-03 [Flight Recorder (フライトレコーダー)](https://agentnas.com/ja/concepts/flight-recorder/): 実行ごとに、ハッシュでつながれた記録を残します。実行が何を読んだかも含みます。

### 権限

誰が、誰の許可で、何をしてよいのか。

- AN-04 [Capability Lease (ケイパビリティ・リース)](https://agentnas.com/ja/concepts/capability-lease/): 1 回の実行のための、期限と予算つきの狭い認可。子リースは、より狭くしかできません。
- AN-05 [Human Gate (ヒューマン・ゲート)](https://agentnas.com/ja/concepts/human-gate/): 元に戻せない、外へ出る、権限を広げる操作の前にだけ現れ、実際の差分を見せます。
- AN-06 [Trust Labels (トラスト・ラベル)](https://agentnas.com/ja/concepts/trust-labels/): 2 つの小さなラベルとセッション汚染で、Rule of Two を実現します。

### 知識

エージェントは何を知り、どう読み、どう忘れるのか。

- AN-07 [Agent Memory (エージェントの記憶)](https://agentnas.com/ja/concepts/agent-memory/): 読んで直せるノートが真実で、索引は捨てられるキャッシュです。
- AN-08 [Budgeted Reads (予算つき読み取り)](https://agentnas.com/ja/concepts/budgeted-reads/): ファイルを、アウトライン、節、行範囲、全文のいずれかで読みます。予算に収まるよう、段階的に粗くします。
- AN-09 [Cascade Forget (カスケード忘却)](https://agentnas.com/ja/concepts/cascade-forget/): 系譜に沿って派生物を削除し、履歴は保持クラスで扱い、できなかったことを報告します。

## 4 つの層と、6 つの名詞

Store 層は成熟したストレージをそのまま使います。その上のすべての層は、そこから再構築できます。中核は 6 つの名詞、Tree、Commit、Principal、Run、Lease、Record だけです。ストレージエンジンは発明しません。革新は契約にあります。

- **Interface（インターフェース）**: エージェント、人間、ツールがすでに使っているインターフェースに、機能を投影します。ゲートウェイは状態を持たず、誰が何をしてよいかを決めることはありません。 (マウント（POSIX）, Git, S3, WebDAV/SMB, MCP, HTTP, CLI, A2A（任意）)
- **Trust（信頼）**: 認可の唯一の地点。決定的なポリシーで、判断にモデルは関わりません。 (プリンシパルと実行, Capability Lease, ポリシーエンジン, Human Gate, Trust Labels, Credential Broker, Flight Recorder)
- **Memory（記憶）**: ノートを、検索できる知識に変えます。すべて、下の層から再構築できます。 (Agent Memory, Budgeted Reads, Cascade Forget, 索引, 保守ジョブ, 系譜)
- **Store（ストア）**: 履歴を持つツリー。成熟したファイルシステムのスナップショット、Git、またはバージョン管理されたオブジェクトストレージの上に作ります。 (Tree, Commit, Agent Branch, ファイルシステムのスナップショット, Git, オブジェクトストレージ)
- **Sync（同期、任意）**: ノード間のレプリケーションと共有。あえて最後にしています。まず単一のノードを正しく作ります。 (Git リモート, スナップショット転送, リースリンク, ハンドオフバンドル)

[アーキテクチャを読む](https://agentnas.com/ja/architecture/)。

## 1 回の実行の旅

1. **リースを申請する。** 調査エージェント Cleo のオーケストレーターが、この実行のために [Capability Lease](https://agentnas.com/ja/concepts/capability-lease/) を申請します。`/shared/launch` を読み、変更を提案でき、有効期間は 4 時間です。所有者があらかじめ決めたポリシーの範囲に収まっているため、自動で承認されます。
2. **作業を始める。** NAS が実行と、そのブランチ `cleo/run_91ab` を作り、サンドボックスがそのブランチを普通のディレクトリとしてマウントします。Cleo は [Agent Home](https://agentnas.com/ja/concepts/agent-home/) から、`AGENTS.md` とレビュー済みの記憶を読みます。
3. **予算の中で読む。** 長いレポートを [Budgeted Reads](https://agentnas.com/ja/concepts/budgeted-reads/) で読みます。まず 400 トークンのアウトライン、必要に応じて特定の行範囲です。すべての読み取りは、実行の読み取りマニフェストに加わります。
4. **ブランチで作業する。** 変更は [Agent Branch](https://agentnas.com/ja/concepts/agent-branch/) に入ります。共有の `main` は、さしあたり何も変わりません。
5. **ゲートに出会う。** Cleo はウェブページを読んだので、[Trust Labels](https://agentnas.com/ja/concepts/trust-labels/) により、そのセッションは `external` の汚染を持ちます。`main` へのマージを提案すると、ポリシーが [Human Gate](https://agentnas.com/ja/concepts/human-gate/) を要求します。所有者は、NAS が計算した実際の差分と、信頼できない出典を携帯電話で見て、承認します。
6. **記録を残す。** マージは、出どころつきのコミットを作ります。何を読み、何を書き、誰が何を承認したかが、ハッシュでつながれた形で [Flight Recorder](https://agentnas.com/ja/concepts/flight-recorder/) に入ります。
7. **記憶を整理する。** Cleo は新しい事実をいくつかノートにします。このセッションは外部コンテンツを読んでいるので、これらの [Agent Memory](https://agentnas.com/ja/concepts/agent-memory/) のノートはまず隔離に入ります。想起はできますが、人間がレビューするまで自動読み込みはされません。
8. **忘れる。** 数週間後、顧客が忘れてほしいと求めます。[Cascade Forget](https://agentnas.com/ja/concepts/cascade-forget/) が系譜に沿って関連する要約と索引を削除し、カバーできなかった範囲を明記した報告を出します。

## エージェントがすでに話せる言葉で話す

始めるのに新しい SDK は要りません。ファイルの読み書き、Git や S3 の利用、MCP ツールの呼び出しができるエージェントなら、どれでも Agent NAS を使えます。下のセッションは、予定しているコマンドラインのイメージを示すだけのものです。

*セッションのイメージ*

```bash
$ nas lease create --role cleo --paths "/shared/launch/**" --actions read,write,propose --ttl 4h
lease lse_7Qk3 · run run_91ab · branch cleo/run_91ab · expires 16:00
$ nas mount --lease lse_7Qk3 ~/work       # plain files, on a branch
$ ./draft-release-notes.sh                # the agent works with ordinary tools
$ nas propose --into main
gate gt_2Mx4 waiting for approval: merge cleo/run_91ab into main (4 files)
$ nas gate approve gt_2Mx4                # the owner, from another terminal or a phone
merged · commit 91ce3a7 · record 18211
```

[すべてのインターフェースを見る](https://agentnas.com/ja/interfaces/)。

## 私たちが賭けているもの

何年も通用することを願う設計は、何に賭けているのか、賭けが外れたらどうなるのかを述べるべきです。

- **エージェントは、これからもファイルシステムと Git を主な作業媒体にする。** そうでなければ、Agent Home はエクスポート形式に格下げされますが、ほかのコンセプトは成り立ちます。
- **「1 回の実行」は、これからも認可と説明責任の自然な単位である。** 長く動き続ける自律プロセスが現れたなら、リースは予算つきの更新を重ねる形になります。
- **プロンプトインジェクションは、見通せる将来のうちには、モデル層で根絶されない。** 根絶されたなら、Trust Labels は多層防御の安価な一層になります。
- **人間の注意は、これからも希少である。** 完全な自動化が十分に信頼できるものになれば、Human Gate は事前承認ポリシーに道を譲り、監査の記録は残ります。

7 つの賭けすべては [設計原則](https://agentnas.com/ja/principles/) にあります。

## このサイトは、エージェントにも読めます

すべてのページに Markdown 版があり、サイトは `llms.txt` を公開し、読み取り専用の小さな MCP サーバーを動かしています。ターミナルで試してみてください。

*ターミナル*

```bash
curl -H "Accept: text/markdown" https://agentnas.com/what-is-agent-nas/
curl https://agentnas.com/llms.txt
curl -X POST https://agentnas.com/api/search \
  -H "content-type: application/json" \
  -d '{"query": "capability lease", "limit": 5}'
```

ドキュメントサーバーを MCP クライアントに追加します。

*mcp.json*

```json
{
  "mcpServers": {
    "agentnas-docs": { "url": "https://agentnas.com/mcp" }
  }
}
```

## 最初によくある質問

### Agent NAS を一言で言うと？

「1 回の実行」を軸に設計したネットワーク接続ストレージです。エージェントの実行は、それぞれ隔離されたブランチで作業し、短命で範囲の狭いリースを通してデータにアクセスします。すべての変更は追跡でき、元に戻せます。記憶は、出どころつきの普通のファイルです。

### ダウンロードできるソフトウェアはありますか？

まだありません。Agent NAS は現在、コンセプトと仕様ドラフト（v0.2）の段階です。L0 と L1 は、Git、ファイルシステムのスナップショット、小さなゲートウェイで今日から作れます。参照実装 v0 の目標は 2027 年の前半です。[ロードマップ](https://agentnas.com/ja/roadmap/) を参照してください。

### NAS ベンダーが出している AI エージェントとは、何が違いますか？

それらのエージェントは、筐体を管理します。Agent NAS が定めるのは、筐体の中のデータの上で、ほかのエージェントがどう作業するかです。ブランチ、リース、記憶、忘却。両者は補い合い、ベンダーの筐体は Overlay 構成の土台になりえます。

### 既存のストレージを置き換えますか？

置き換えません。Overlay の構成は、既存の NAS、オブジェクトストア、Git ホストの前にゲートウェイを置き、その中の 1 つのディレクトリやバケットだけを管理します。

### プロンプトインジェクションを防げますか？

防げません。インジェクションのあとに起きることを限定し、その結果を可視化して、元に戻せるようにします。正直な限界は [セキュリティ](https://agentnas.com/ja/security/) のページにあります。

### いつでも抜けられますか？

はい。すべてを、普通のファイルと Git の履歴としてエクスポートできます。これはオプション機能ではなく、設計上の保証です。

[すべての質問](https://agentnas.com/ja/faq/)。

## 現在の状況

> **状況.** Agent NAS は、コンセプトと仕様ドラフトの段階です（v0.2、2026 年 11 月）。v0.2 は地に足をつけるための改訂で、13 のコンセプトを 9 つに絞り、それぞれに小さく始める方法と正直な限界を書きました。参照実装はまだありません。

- [仕様ドラフト](https://agentnas.com/ja/spec/): 準拠レベルと、実行可能な受け入れテスト。
- [ロードマップ](https://agentnas.com/ja/roadmap/): 現在、次、今後、そして取り組まないこと。
- [このプロジェクトについて](https://agentnas.com/ja/about/): ライセンス、引用の仕方、参加の方法。

---

正規 URL: https://agentnas.com/ja/
更新日: 2026-11-11 · 仕様ドラフト v0.2 · CC BY 4.0