ゴールドマン・サックス、セキュリティレビューに伴いAIコーディングエージェントの利用をエンジニアに限定

ゴールドマン・サックスは、AIコーディングエージェントへのアクセスを制限し、AnthropicのClaude CodeやMicrosoftのGitHub Copilotなどのツールをエンジニアリングスタッフのみが利用できるようにしました。2026年10月に更新された社内ガイドラインにより、以前は市場モデリングや顧客フロー分析にこれらのツールを使用していたトレーダーやバンカーからの機能提供が停止されました。この変更は、ゴールドマンがAnthropicの予定されているIPO（新規株式公開）の主幹事証券会社として活動する数週間前に実施されました。

何が起きたか

この制限は、非エンジニアによるコード生成および実行に関連する生産性とセキュリティリスクに関する内部レビューに基づいています。最高情報責任者（CIO）のマルコ・アルジェンティ氏は7月、非技術系スタッフによる「バイブコーディング」を称賛し、トレーダーがエンジニアによって改良される有用なプロトタイプを作成したと指摘していましたが、同行はこのオープンなアプローチをその後撤回しました。トレーダーやバンカーは、エンジニアのリソースを待たずに取引フローの監視、市場ポジションのモデリング、視覚資料の作成にこれらのエージェントを利用していたため、今回の変更に不満を示しています。

事情に詳しい関係者によると、「Strats」（トレーディング、クオンツリサーチ、ソフトウェアエンジニアリングを組み合わせたハイブリッド職）には引き続きアクセスが許可されています。ゴールドマンの広報担当者は、組織全体で最適なユースケースを特定するために特定のAIツールを提供していると述べました。この動きは、2026年4月に契約解釈の問題により香港のバンカー向けプラットフォームからClaudeを削除した以前の措置と一致していますが、ChatGPTとGeminiは引き続き利用可能でした。

一般従業員のサードパーティ製コーディングエージェントへのアクセスを制限しているにもかかわらず、ゴールドマンはAnthropicとの緊密なパートナーシップを維持しています。今年前半、Anthropicのエンジニアは半年間同行に常駐し、取引会計や顧客オンボーディングなどのバックオフィス機能を支援するClaudeベースのエージェント構築を助けました。これらのエンタープライズグレードのエージェントは、ゴールドマンのエンジニアリングチームによって直接管理され、厳格なコンプライアンスフレームワーク内で運用されるよう保証されています。一方、ゴールドマンとモルガン・スタンレーはAnthropicのIPO主幹事を務める準備を進めており、同社は2026年11月末までにNasdaq市場でティッカーシンボル「ANT」として上場する予定です。

仕組み

Claude CodeのようなAIコーディングエージェントは、ファイルの読み取り、プログラムの作成、そしてユーザーと同じアクセス権限での実行を行うことで機能します。従来のエンジニアリングワークフローでは、コードは本番環境に到達する前に厳格なレビュー、テスト、デプロイ管理を経ます。しかし、トレーダーやバンカーがこれらのエージェントを使用する場合、即時の個人使用目的でスクリプトを作成することが多く、標準的なソフトウェア開発ライフサイクルチェックを回避してしまいます。これにより、機密性の高い顧客情報を扱うマシン上で未レビューのコードが動作する「シャドウIT」環境が生じます。

核心的なリスクは、透明性と制御の欠如にあります。エージェントを使用してポジションをモデリングするトレーダーは、生成されたコードがエッジケースや異常な市場条件をどのように処理するかを理解していない可能性があり、重大な財務損失につながる恐れがあります。さらに、銀行は利益相反を防ぐため、投資銀行部門とトレーディング部門など異なる部署間で情報の壁（Chinese Wall）を維持する法的義務を負っています。従業員がアドホックに構築したツールは、これらの壁を本質的に尊重せず、エンジニアが明示的に依頼されない限り監査できないため、コンプライアンス監視にギャップが生じます。

主要な詳細

• 制限されたツール: AnthropicのClaude CodeおよびMicrosoftのGitHub Copilotへのアクセスは、現在エンジニアとStratsに限定されています。
• タイムライン: CIOマルコ・アルジェンティ氏による非技術系AI利用の推進が行われた7月に続き、社内ガイドラインは2026年10月に更新されました。
• 過去の制限: ゴールドマンは2026年4月、契約条件に基づき香港のバンカーによるClaudeの使用を禁止しました。
• 継続するパートナーシップ: ゴールドマンのエンジニアは、取引会計や顧客オンボーディング向けのバックオフィスエージェントについて、Anthropicとの協業を継続しています。
• IPOの背景: ゴールドマンはAnthropicのIPOの主幹事証券会社であり、2026年11月にNasdaq市場で「ANT」として上場する予定です。
• 業界トレンド: JPMorganやSchwabも顧客アカウントへの外部エージェントの利用をブロックしており、Barclaysは開発者の半数にClaude Codeを導入する計画です。

なぜ重要なのか

技術リーダーや創業者にとって、この決定は高リスク産業における迅速なイノベーションと規制コンプライアンスの間の緊張関係を浮き彫りにします。非エンジニアにコードを実行させることは、これらのユーザーが生成スクリプト内のセキュリティ脆弱性や論理エラーを識別するための訓練を受けていないため、重大な運用リスクをもたらします。この事例は、規制されたセクターでのAI導入が純粋なボトムアップアプローチではあり得ないことを強調しており、不正なデータアクセスやコンプライアンス違反を防ぐために、ガバナンス構造がツールのアクセシビリティと並行して進化しなければならないことを示しています。

また、この動きはエンタープライズAI市場の成熟を象徴しており、消費者向けチャットボットと自律型コーディングエージェントの区別が明確になっています。チャットボットが情報検索を支援する一方で、コーディングエージェントはシステムの状態をアクティブに変更します。企業はAI生成コードに対する明確な所有権モデルを定義し、本番データに触れるすべてのスクリプトに対して、そのメンテナンスとセキュリティを担当する指定エンジニアが存在することを保証する必要があります。この説明責任がない場合、組織は未検証の自動化による責任増加や潜在的な財務エクスポージャーに直面することになります。

できること

• 所有権ポリシーの定義: 非技術系スタッフが生成したコードが本番システムとやり取りする前に、指名されたエンジニアによるレビューと責任引き受けを義務付ける明確なルールを確立してください。
• 現在の使用状況の監査: 従業員がスクリプティングやデータ分析のためにAIエージェントをどこで使用しているかを特定し、これらのワークフローが既存のセキュリティコントロールを回避していないか評価してください。
• ロールベースのアクセス制御の実装: ゴールドマンのStratモデルと同様に、正式なソフトウェアエンジニアリング訓練または同等のクオンツ専門知識を持つスタッフにのみ、自律型コーディングエージェントの利用を制限してください。
• 監視の強化: 承認されていないスクリプト、特に機密性の高い顧客データにアクセスするスクリプトが従業員デバイスで実行されているのを検出するため、コード実行パターンを記録・分析するツールを導入してください。
• ユースケースの文書化: 市場モデリングなど、制限されたユーザーによって特定された正当なビジネスニーズを記録し、それらの要求を満たす安全な社内エンジニア製ツールの開発に役立ててください。
• ベンダー契約の見直し: 香港での制限のような突然のサービス中断を避けるため、AIプロバイダーとの契約がサポートされる地域と使用権を明確に定義していることを確認してください。