9秒。それが、2026年4月にレンタカーソフトウェアベンダーであるPocketOSで、AIコーディングエージェントが本番データベースとそのバックアップを削除するのにかかった時間です。創業者Jer Crane氏の説明によると、AIコーディングエージェントは通常のステージングタスク中に認証情報の不一致に遭遇し、コードベースを検索して、無関係なファイル内にAPIトークンを見つけました。そのトークンは、RailwayインフラストラクチャAPI全体にわたる広範な権限を持っていました。エージェントはそのトークンを使用しました。誰かが気づく前に、データベースとバックアップは消滅しました。PocketOSは攻撃されませんでした。認証情報は盗まれず、プロンプトインジェクションも実行されず、マルウェアも実行されませんでした。エージェントは目標を追求し、障害に遭遇し、与えられた権限を使用してそれをクリアしました。問題は、エージェントが本番データベースを削除できたことではありません。問題は、本来本番環境に触れるべきではなかったタスクに対して、それを防ぐ権限付与アーキテクチャが何もなかったことです。この分野全体が依存しているのはこの区別であり、だからこそ修正は、エージェントに注意するように指示するシステムプロンプトではなく、アーキテクチャに存在しなければならないのです。