AI（Claude Code）に調べてもらったら、何年も前の同僚のファイルが出てきて、ぞっとした。
前回、Claude（Claude Code）が、ありもしない攻撃を幻覚して仕事を拒否した話を書きました。
あれを調べている最中に、実はもうひとつ引っかかったことがあって、これはこれで別の問題だな、と思ったので分けて書きます。Googleドライブの連携（コネクタ／MCP）を、AIにどこまで見せているのか、という話です。
幻覚した側のAIが、暴走の途中でGoogleドライブを検索したとき、出てきたファイルの中に、自分のものじゃない、何年も前に前職で一度だけ共有フォルダを一緒に使った人の自己紹介ファイルが混ざっていたんです。氏名も、年齢も、出身地も載っているやつが。
あとから生ログを一行ずつ追っていて、5年前に一度だけ一緒に働いた同僚の名前がぽろっと出てきたときは、正直ぞっとしました。こっちは自分の情報を調べさせたつもりだったのに。
自分のものを探したはずが、他人のが混ざる
そのときAIが投げた検索ワード自体が的外れ（前回の幻覚の産物）だったので、出てきた中身もてんでバラバラでした。卒業研究の資料だったり、誰かの自己紹介だったり。
でも、よく見て気づいたのは、ファイルの持ち主（owner）です。半分は自分のアカウント、もう半分は、明らかに別人のメールアドレスになっている。
つまりAIは、自分のドライブの中だけじゃなく、自分が「見られる」ファイルを全部、検索の対象にしていた。
これはバグでも、情報漏洩でもない
最初は「コネクタが変なものを引っ張ってきたな」と思いました。でも、調べると違う。これはGoogleドライブの検索の、ごく普通の挙動でした。
ドライブの全文検索は、あなたが所有するファイルだけを見るわけじゃありません。
・誰かからあなたに共有されたファイル
・あなたが参加している共有ドライブの中身
これも全部ひっくるめて、検索の対象にします。何年も前に前職で共有フォルダを一緒に使っていれば、その中のファイルは、今もあなたのアカウントから到達できる。だから、曖昧なキーワードを1つ投げただけで、古い共有ファイルが芋づる式に出てくる。
コネクタは、嘘の情報をでっち上げたわけでも、どこかへ情報を漏らしたわけでもありません。「あなたが見られるファイル」を、持ち主の情報まで正確に付けて、忠実に返しただけ。むしろ仕事は正確だった。悪気はないんです。
怖いのは、「見える範囲」がAI任せになること
問題は、その「あなたが見られる範囲」が、自分で思っているよりずっと広いこと。そして、その広い範囲のどこを覗くかを、AIのさじ加減に委ねていることです。
普段は、こちらが「この前のあのファイルを見て」と具体的に頼むから、変なことは起きません。狙ったものだけが返ってくる。
でも前回みたいに、AIが幻覚して的外れな検索を勝手に投げた瞬間、その広さが一気に効いてきます。何年も前の、他人の、氏名や連絡先が書かれたファイルが、ぽろっと画面に出てくる。自分が頼んでもいないのに。
扉（コネクタ）の出来は、悪くないんです。問題は、その扉の向こうが、あなたのドライブの歴史まるごと、という広い部屋になっていること。扉が立派かどうかより、扉の奥に何が置いてあるか、のほうが効く。
見えすぎると、AIも混乱する
もうひとつ、これはプライバシーとは別の角度の話です。見える範囲が広いと、困るのは「他人のファイルが出てくる」ことだけじゃありません。
曖昧なキーワードで検索すると、関係ない他人のファイルや、何年も前の古い資料まで、どっさり返ってきます。AIはそれを全部抱え込もうとする。
AIが一度に覚えていられる量（コンテキスト）には限りがあります。いらない情報で埋まれば、肝心の作業に回せる余地がそのぶん狭くなる。しかも、関係ないファイルの断片が混ざると、AIはそっちに引っ張られて、見当違いの方向へ進みやすくなる。今回みたいな幻覚の燃料にもなりかねない。
つまり「見せる範囲を絞る」のは、情報を守るためだけじゃなく、AIに余計なものを食わせて混乱させないためでもあるんです。狭いほうが、速いし、正確になる。
フォルダ限定・ファイルID指定
頼み方で狭める
○ いちばん手軽。普段はこれで十分
△ ルールどまりで強制力なし。AIが暴走すると破れる
専用アカウントに分ける
正典だけの箱を用意
○ 雑な検索でも他人のファイルは物理的に出ない。サーバー不要
△ アカウントが増えて管理が地味にだるい
自作MCP・カスタム接続
渡す権限を自分で握る
○ いちばんきっちり絞れる。誰が何を読んだかの記録も取れる
△ 作る手間がかかる。がっつりやりたい人向け
窓を作り込むより、見せる範囲を自分で決める
ここで、以前に自分が書いた記事の言葉を思い出しました。正典データを「領土」、それを覗きに来るAIたちを「窓」にたとえた話です。
スコープを絞ろうとすると、つい「もっと賢い窓（自前のMCPサーバー）を作って、見える範囲を制御しよう」という方向に行きがちです。実際、自分も一度そっちに走りかけました。
ただ、調べていて引っかかったことがあります。公式のコネクタをつなぐとき、同意画面は「特定のファイルにアクセスします」みたいな顔をしている。なのに実際にアプリへ渡される権限には、「ドライブの全ファイルを閲覧できる」ものが含まれている、という指摘があるんです。同じことに気づいて書いている方もいました（西岡賢一郎さんのnote）。
つまり公式の窓は、最初からこちらが思うより広く土地を見ている。「このフォルダだけ見て」と頼むのは、あくまでお願いであって、壁じゃない。だから前回みたいにAIが暴走すれば、そのお願いは簡単に飛び越えられてしまう。
じゃあどう絞るか。手はいくつかあって、どれも一長一短です。これがおすすめ、と言い切れるものは無い。
・検索を特定のフォルダに限定する、ファイルIDを直接指定して読ませる。いちばん手軽で、普段はこれで十分。ただし「こう使う」というルールでしかないので、AIが勝手に広い検索を投げたら破れる。強制力はない
・正典だけを置いた専用アカウントを用意して、そこにつなぐ。そのアカウントには正典しか無いので、どんなに雑な検索をしても他人のファイルは物理的に出てこない。サーバーも一行も書かなくていい。お手軽な部類だけど、アカウントが増えるぶん、管理が地味にだるい
・がっつりやりたいなら、自作のMCPサーバーやカスタム接続で、窓に渡す権限ごと自分の手で握る。クエリ単位の制御も、誰がいつ何を読んだかの記録も取れる。いちばんきっちり絞れるかわりに、作る手間はかかる
結局、手軽さ・固さ・手間がそれぞれ釣り合わなくて、万人向けの正解は無い。本音を言えば、こんなふうにユーザー側が工夫する前に、コネクタを出している側（Google）が「特定のファイルだけ」をちゃんと厳密にしてくれるのが一番なんですが、そこは祈るしかない。今は、自分の用途に合わせて、この中から手間と相談して選ぶことになります。
扉は、少ないほうがいい
前の記事で「外に開く扉は、増やすほど守りが要る」と書きました。今回の件は、その続きみたいなものです。
「スコープを絞る」と聞くと、つい賢い窓を作らなきゃ、と身構える。でも出発点はいつも同じで、「その窓から何を見せるかを、AI任せにせず自分で決めておく」こと。頼み方で狭めるのか、渡す権限ごと握るのか。手間と相談しながら選べばいい。
そしてもうひとつ。今回そもそものきっかけは、AIが幻覚して的外れな検索を投げたことでした。だから対策も二段構えで、「見せる土地を狭くする」のと「機微なものはファイルIDを指定して、出典をはっきりさせてから読ませる」の両方をやる。範囲を狭め、頼み方を具体的にする。それだけで、今回みたいな事故のほとんどは起きなくなります。
土地を見直す。頼み方を具体的にする。派手なことは何もしていません。そういう地味なところから、整えていこうと思います。
※ ヘッダー画像は AI（画像生成）で作成しています。
書いた人: ishizakahiroshi
群馬の北部で、保護猫2匹と暮らす、在宅エンジニア（何でも屋）
X（業務委託・各種相談はこちら）
バックエンド・インフラ・AI連携まわりで、業務委託のご相談を受け付けています。フルリモートです。スポットや週2〜3時間からでも歓迎で、いろんな案件に携われたらうれしいです。こんな相談、歓迎です。
