Windows 11のAIエージェントは個人フォルダに常時アクセスする──「Agent Workspace」機能を確認した

3行まとめ

1. Windows 11のビルド26220.7262に、設定アプリの「AIコンポーネント」ページ内に「Experimental agentic features（実験的なエージェント機能）」というトグルが確認された。これを有効にするとAIエージェント専用の分離セッション「Agent Workspace」が有効化される。
2. Agent Workspaceは、Documents・Downloads・Desktop・Videos・Pictures・Musicという6つの「既知フォルダ（Known folders）」に読み書きアクセスできる（Microsoft公式サポート文書で確認。WindowsLatestの記事はDocumentsを含む5つのみ紹介していた）。エージェントは独自のアカウント・デスクトップ・実行環境を持ち、常にバックグラウンドで動作させることができる。
3. Microsoft公式サポート文書は2025年10月16日公開・11月17日・12月5日と2回更新されている。プレビュービルド26100.7344以降ではフォルダごとに「常に許可／毎回確認／常に拒否」をエージェント単位で設定できる。機能はWindows InsiderのDev/Betaチャンネル限定で、初期状態ではオフになっている。

「Agent Workspace」とは何か

WindowsLatestのMayank Parmar記者は、Windows 11のビルド26220.7262をインストールした際、設定アプリの「システム＞AIコンポーネント」ページに「Experimental agentic features」という新しいトグルを発見したと報じている。これを有効にすると、AIエージェント専用に分離された、独立したWindowsセッション「Agent Workspace」が作られる。記事によれば、エージェントはこの中で独自のアカウント・独自のデスクトップ・独自の権限を持ち、ユーザーが通常のデスクトップで作業を続けている間、バックグラウンドでクリック・入力・アプリ操作・ファイル操作を行えるようになるという。

Microsoftのサポート文書からの引用として、記事は次の一節を紹介している。「The creation of the agent workspace where agents can work in parallel with a human user, enabling runtime isolation and scoped authorization.（エージェントが人間のユーザーと並行して作業できるエージェントワークスペースの作成により、実行環境の分離とスコープを限定した認可が可能になる）」「This provides the agent with capabilities like its own desktop while limiting the visibility and access the agent has to the user's desktop activity.（これによりエージェントは独自のデスクトップのような機能を持ちながら、ユーザーのデスクトップ活動に対するエージェントの可視性とアクセスは制限される）」。

どのフォルダにアクセスできるのか

WindowsLatestの記事は5つのフォルダ（Downloads・Desktop・Videos・Pictures・Music）を挙げているが、Microsoft公式サポート文書「Experimental Agentic Features」（curlで直接確認）を読むと、実際には次の6つの「known folders（既知フォルダ）」に読み書きアクセスが許可されると明記されている。

"If an agent needs access to files in that directory, Windows grants read and write access to the following known folders: Documents, Downloads, Desktop, Videos, Pictures, Music when the setting is enabled."

• Documents（ドキュメント）※WindowsLatestの一覧には含まれていなかったが、公式文書には明記されている
• Downloads（ダウンロード）
• Desktop（デスクトップ）
• Videos（ビデオ）
• Pictures（ピクチャ）
• Music（ミュージック）

既知フォルダを使う設計になっているため、ユーザーがこれらのフォルダの保存先をファイルシステムの別の場所にリダイレクトしていても、Agent Workspaceは常に正しい場所を見つけられる。公式文書はさらに、「エージェントアカウントは、認証済みユーザー全員がアクセスできるフォルダ（例：パブリックのユーザープロファイル）にもアクセスできる」とも明記している。

なぜエージェントに個人フォルダへのアクセスが必要かという問いに対し、WindowsLatestの記事は端的に「ユーザーの代わりに作業を実行するため」と答えている。Microsoftは、Agent Workspaceに独自の認可（ユーザーアカウントに似た専用アカウント）と実行環境の分離を与えることでセキュリティ面に配慮していると主張しており、各エージェントには個別の「できること・できないこと」の定義が与えられ、ログでエージェントの活動を監視できるとされている。

フォルダごとに「常に許可／毎回確認／常に拒否」を選べる

公式サポート文書には、この6つの既知フォルダへのアクセスを、エージェントごとに個別管理できる仕組みも記載されている。プレビュービルド26100.7344以降では、「設定アプリ＞システム＞AIコンポーネント＞エージェント」から個々のエージェントを選び、「ファイル」セクションで次の3つから選択できるという。

• Allow Always（常に許可）：エージェントが必要とするたびに、この6つの既知フォルダへアクセスできる
• Ask every time（毎回確認）：エージェントがフォルダへのアクセスを必要とするたびに、Windowsが許可を確認するプロンプトを出す
• Never allow（常に拒否）：エージェントがフォルダへのアクセスを要求しても、Windowsは拒否する

初期設定では、エージェントがこれらのフォルダ内のファイルへのアクセスを要求するたびに、Windowsがユーザーへ同意を確認する動作になっている、と文書は明記している。

公式サポート文書はこのページ自体、2025年10月16日の公開後に2回改訂されている（11月17日：Agent WorkspaceとCopilot Actionsの段階的ロールアウトを反映、12月5日：Agent Workspace内で動くエージェントコネクタのサポートを追記）。頻繁に書き換わっている文書である点は、以下の限界の項でも触れる。

Windows Sandboxとは何が違うのか

記事は、この機能をWindows Sandbox（隔離された使い捨てのWindows環境）と混同しないよう注意を促している。両者は「分離」という点で似ているが、Windows Sandboxはハードウェアベースの仮想化と別カーネルによって完全に分離されており、個人ファイル・フォルダへのアクセスは持たず、オフにすればすべての活動が消去される。一方Agent Workspaceは、デフォルトでDocuments・Desktopなどの個人フォルダへの読み書きアクセスを持つ点が根本的に異なる、と記事は指摘している。Microsoftは「Windows Agent Workspaceは仮想マシン（Windows Sandboxなど）よりも“効率的”」と位置づけ、セキュリティ上の分離を保ちながら並行実行をサポートし、ユーザーが個人フォルダへのアクセス許可やログの確認をコントロールできる点を利点として挙げているという。

パフォーマンスへの影響とMicrosoftの姿勢

記事の検証では、この実験的トグルを有効にすると、潜在的なパフォーマンス問題についての警告が表示されたという。AIエージェントが常にバックグラウンドで稼働しRAM・CPUを消費するため理にかなった警告だとしつつ、Microsoftの初期ベンチマークではPCの性能を大きく消耗するものではないとされている、と記事は伝えている。ただし具体的な数値は公開されていないとも記している。

記事はまた、この機能の発表がMicrosoftの「Windowsをエージェント指向のOSにする」という方針の一環である文脈にも触れ、Windows・デバイス部門のトップPavan Davuluri氏による「開発者を深く大切にしている」という趣旨のコメントを紹介しつつ、この方針に対する一部ユーザーからの反発があったことにも言及している。

Microsoftが明記するセキュリティ原則と、実際に報告されている不具合

公式ブログ「Securing AI agents on Windows」（Windows Security担当CVPのDana Huang氏、2025年10月16日付、curlで確認）は、この機能設計の背景にある懸念として「クロスプロンプトインジェクション（cross-prompt injection、XPIA）」を名指ししている。UI要素や文書に埋め込まれた悪意あるコンテンツが、エージェントへの指示を上書きし、データの持ち出しやマルウェアのインストールといった意図しない動作につながりうる、という説明だ。サポート文書は、エージェントのセキュリティ原則として次の3点を明記している。

• Non-repudiation（否認防止）：エージェントの行動はすべて観測可能で、ユーザー自身の行動とは区別できる
• Confidentiality（機密性）：ユーザーの保護対象データを収集・集約・利用するエージェントは、そのデータが求めるセキュリティ・プライバシー基準を満たすか上回る
• Authorization（認可）：ユーザーデータへの照会・実行される操作は、すべてユーザーが承認する

また、サポート文書の「Known Issues（既知の問題）」セクションには、ビルド26220.7262以降で報告されている具体的な不具合も列挙されていた。Copilot Actionsの会話がアクティブな間はWindowsがスリープしない、シャットダウン・再起動時に「他のユーザーが作業中」という警告が誤って表示される、エンタープライズ環境でEndpoint Privilege Managementを使っている場合にエージェント用アカウント向けのIntune管理プロファイルが後片付けされずに残る、といった問題がその内容だ。いずれも回避策としてCopilot Actionsの会話を閉じる、またはCopilotをタスクトレイから「終了」する操作が案内されている。

サポート文書は更新され続けており、これは一時点のスナップショット

• 本記事はWindowsLatestの記事に加えて、Microsoft公式サポート文書「Experimental Agentic Features」と公式ブログ2本（Windows Experience Blog、Windows Insider Blog）をcurlで直接確認し、内容を突き合わせた。ただし公式サポート文書は「2025年10月16日公開→11月17日更新→12月5日更新」と複数回改訂されており、今回確認したのは2026年8月29日時点でcurlした内容である。この文書は今後も改訂される可能性が高く、本記事の folder数（6つ）や既知の問題リストは、その時点でのスナップショットにとどまる
• 本記事執筆時点（2026年8月29日）で、この機能が一般提供（GA）されているか、Windows Insider限定のままかは確認していない。公式文書・ブログとも、2025年11月〜12月時点ではWindows Insiderのプレビュー配信について述べており、それ以降のGA化のアナウンスがあったかどうかは今回のセッションでは調査していない
• 一般提供時のデフォルト設定（オン/オフ）や、実際のセキュリティインシデント事例の有無については本記事では調査していない
• サポート文書が挙げる「Known Issues」は、あくまでビルド26220.7262以降で報告されている問題の一覧であり、それより新しいビルドで解消済みかどうかは、この記事のソースだけでは判断できない

関連記事

• AIセキュリティリスク──プロンプトインジェクション・データ漏洩対策【2026年】
• 2026年は「AIエージェント元年」──企業は何を準備すべきか