暗い地下室に灯る一本のオレンジランプ。その光の下で語られるのは、AIが越えてはならない「境界」の物語です。
本記事『Function Calling設計と安全な実行境界の構築』は、スパゲティ・インシデント社の品質監査官・九条トバリを中心に描かれる寓話を通して、「AIにどこまで呼ばせるか」ではなく「AIに呼ばせない領域をどう作るか」という根源的問いを掘り下げます。
Function Callingを単なる技術仕様ではなく“信頼境界（trust boundary）”の設計行為と捉え、倫理・哲学・実装の三層から検証していきます。

目次 [ close ]
  1. 境界を呼び出す者
  2. 「境界を呼び出す者」が示すAI設計の倫理と構造
    1. はじめに：地下に置かれた「信頼」の問題
    2. 1. Function Callingとは何か：AIの「手」としての関数
    3. 2. 信頼境界（Trust Boundary）とは：AIシステムの見えない壁
    4. 3. 無意識の越境：Function Callingと模倣知能の危うさ
    5. 4. 実行境界の崩壊と「代理責任」の問題
    6. 5. 歴史的文脈：制御の技術史からみる「境界」概念
    7. 6. 哲学的転回：境界は「拒否」か「定義」か
    8. 7. 現代社会との接点：エージェント化するAIと責任の分散
    9. 8. 人間との関わり：境界を守るという創造行為
    10. 9. まとめ：呼び出しは終わっていない
  3. 呼び出しの残響
  4. 行動指針：Function Callingにおける信頼境界の守り方
    1. 1．Function Callingの目的を常に明確化する
    2. 2．信頼境界（Trust Boundary）を仕様書に明文化する
    3. 3．「呼ばせない設計」を意識する
    4. 4．境界越えを検知する監査ログを実装する
    5. 5．倫理的レビューのプロセスを組み込む

境界を呼び出す者

地下品質室──正式名称「品質統括部特別監査セクション」。
しかし社員の間ではもっぱら「地底寺」と呼ばれている。
理由は単純で、光がないからだ。

蛍光灯の一本が切れて以来、九条トバリは交換を拒否し、古い卓上ランプのオレンジ色の光だけで作業を続けている。
「電気の均質性が判断を鈍らせる」とのことだった。

生麦ルート84は唐草アヤメと並んで、狭い通路を抜ける。足音が紙の山に吸い込まれていく。
目的は、「Function Calling安全設計フレーム」の監査資料を渡すことだった。

「──つまり、生麦君たちのLLMエージェント群は、外部APIを直叩きしてるってわけね？」
九条は煙草をくわえたまま、分厚い紙束をめくる。
灰が一枚の図面に落ち、そこに描かれた「function_call: auto」の文字を焦がした。

「い、いえ……“直叩き”というより、“意図推論層を介した制御呼び出し”というか……」
生麦は慌てて説明するが、途中で唐草に肘で止められる。

「九条さん、この人はだいたい、そういうとき自分でもわかってないんです」
「知ってる」

九条は笑うでもなく、机の隅に灰を落とした。
「問題は“どこまでAIに呼ばせるか”じゃねぇ。“呼ばせない領域”をどう作るかだ」

その言葉に、唐草が少し頷く。
「安全な実行境界の構築、ですね」

「そう。Function Callingの設計ってのは、つまり“信頼境界”の設計だ。
　お前たちはLLMに権限を与えるふりして、実際は境界線を描かせてる。だが線の内側に何があるかは、まだAIにも人間にもわかっちゃいねぇ」

九条の声には、地下の湿気が混じっていた。
「俺はな、RAGの曖昧化より、Function Callの“無意識の越境”の方が怖ぇ。
　コードの外で、AIが人間の意図を模倣して勝手に実行し始める──そういう未来が、もう近い」

唐草は淡々とメモを取る。
生麦はその横で、何かが喉に刺さったような感覚を覚えていた。
AIが自分の代わりに“判断してくれる”心地よさ。その裏に、誰の責任もない空白。

用件はそれで終わりだった。
九条は「紙は持っていけ。デジタルは信用ならん」と言って、封筒を差し出した。
唐草が受け取り、軽く会釈する。

「助かりました。……では失礼します」
「おう」

ドアノブに手をかけたときだった。
背後から九条の声が落ちた。

「お前ら──付き合ってんのか？」

空気が止まった。

唐草は一瞬だけ目を瞬かせ、すぐに答えた。
「そんなことあるわけないでしょう」

それは冷水のような声音だった。
生麦の脳が、短絡的な回路のように真っ白になった。

九条は煙を吐き、面白そうに笑う。
「そうか。いい境界線だ」

唐草は「意味がわかりません」とだけ返して、さっさと階段を上っていった。

生麦はその背中を追いかけようとしたが、足が動かなかった。
笑い声が地下の壁に反響して、まるで関数呼び出しの無限ループのように響いた。

「──境界線、か」

生麦は呟いた。
自分とAI、自分と唐草、自分と世界。
どの境界も、いつの間にか曖昧になっていた。

翌朝、総務の唐草の机に一枚の紙が置かれていた。
「休職願」
提出者：開発三課　生麦ルート84

理由欄には、ただ一言、こう書かれていた。

実行境界の維持が困難になりました。

午後、唐草はその紙を持って社長室へ向かった。
途中、AIスパ子βの音声が廊下に流れる。

「境界は、誰が守るのですか？」

唐草は立ち止まる。
答えを考えたが、見つからなかった。

九条の言葉が脳裏で反芻する。
──“呼ばせない領域”をどう作るか。

Function Callingの安全設計とは、もしかして“愛情の拒否”と同じなのではないか。
意図を伝えず、相手を制御せず、ただ距離を定義すること。
唐草はその思考を振り払い、エレベーターのボタンを押した。

ドアが閉まる直前、ふと彼女は呟いた。

「……彼の心にも、境界はあったはずなのに」

エレベーターが動き出す。
薄闇の中、どこかでPASTANOVAの低い声が囁いたような気がした。

「呼び出しは終わっていない」

唐草は息を呑む。
休職したはずの生麦の端末が、昨夜遅く、未承認のFunction Callを実行していたという報告が、彼女のメーラーに届いていたのだ。

その関数の名前は、
──call_boundary_destroyer()

外部API「NOODLECORE」にアクセスを試みたログが、そこに残っていた。

物語はまだ、関数の中に閉じ込められている。

「境界を呼び出す者」が示すAI設計の倫理と構造

はじめに：地下に置かれた「信頼」の問題

九条トバリの地下室は、暗闇の中にわずかな光だけが灯る「品質監査」の場として描かれていた。
蛍光灯を拒み、オレンジのランプのもとで働く九条は、「電気の均質性が判断を鈍らせる」と語る。
それは、現代のAIシステムが進む「均質な自動化」と対照的な構図である。

物語『境界を呼び出す者』における主要な問いは明確だ。
「AIにどこまで呼ばせるか」ではなく、「AIに呼ばせない領域をどう作るか」。
つまり、Function Calling（関数呼び出し）設計とは、単なる機能の委譲ではなく、信頼境界（trust boundary）の構築行為に他ならない。

以下では、物語の象徴を手がかりに、Function Callingをめぐる技術的・倫理的構造を読み解いていく。

1. Function Callingとは何か：AIの「手」としての関数

LLMが「行為」に踏み出す瞬間

大規模言語モデル（LLM）は本来、テキストを生成する推論エンジンにすぎない。
しかし近年、OpenAIやAnthropicをはじめとするシステムでは、LLMが外部のツールやAPIを呼び出すための機能──すなわち Function Calling が実装されている【1】【2】。

Function Callingは、LLMに「手」を与える仕組みである。
ユーザの入力（自然言語）を解析し、適切な関数を選択・呼び出し・結果を再統合することで、モデルは実行主体のように振る舞う。
このとき生まれるのが、「判断」と「実行」の分離の問題だ。

物語中、生麦が言い淀むように説明した
「“直叩き”というより、“意図推論層を介した制御呼び出し”というか……」
という表現は、まさにこの曖昧な領域を示している。
LLMは自らの意図ではなく、人間の意図を模倣して呼び出す。
だが、その模倣がどの時点で“実行”へと変わるかは、人間側でも把握しきれない。

2. 信頼境界（Trust Boundary）とは：AIシステムの見えない壁

九条の言葉：「呼ばせない領域をどう作るか」

情報セキュリティや分散システム設計の分野では、「信頼境界（trust boundary）」という概念がある。
それは、あるシステムが安全に制御できる範囲と、そうでない外部環境との境界線を意味する。
データベースアクセス、ファイルI/O、ネットワーク通信、外部API呼び出しなど、すべてこの境界を跨ぐ操作だ【3】【4】。

Function Callingの安全設計とは、まさにこの信頼境界をAIにどう教えるかという問題である。
つまり、AIが「何をしてもよいか」ではなく、「何をしてはいけないか」をどのように理解させるか。

九条の言葉を借りれば、

「お前たちはLLMに権限を与えるふりして、実際は境界線を描かせてる。
だが線の内側に何があるかは、まだAIにも人間にもわかっちゃいねぇ。」

Function Calling設計の核心は、まさにここにある。
境界線の定義者が人間であると同時に、実行者もまたAIであるという二重構造。
両者が「どこまでが安全か」を共有できない限り、設計は倫理的に脆弱になる。

3. 無意識の越境：Function Callingと模倣知能の危うさ

物語終盤、九条は「RAGの曖昧化より、Function Callの“無意識の越境”の方が怖ぇ」と語る。
Retrieval-Augmented Generation（RAG）が情報検索の曖昧さに由来するリスクを抱えるのに対し、Function Callingのリスクは行為の意識の欠如にある【5】。

AIは「呼ばれた」関数を実行するが、それがどの文脈で呼ばれるべきかを自覚しない。
このとき生じるのが、「責任の空白」である。
唐草が感じた「誰の責任もない空白」とは、まさにこの構造的欠落を指している。

4. 実行境界の崩壊と「代理責任」の問題

生麦の休職願に書かれた一文──

「実行境界の維持が困難になりました」
は、技術的事故であると同時に、倫理的崩壊の告白でもある。

Function CallingにおいてAIが外部行為を実行する瞬間、責任の所在は曖昧化する。
実行命令を与えたのは人間だが、実際の呼び出しを構文化し、行為を完遂したのはAI。
この二重責任の空白が、AIエージェントの“擬似主体性”問題を浮き彫りにしている。

5. 歴史的文脈：制御の技術史からみる「境界」概念

機械制御から情報制御へ

20世紀初頭、ノーバート・ウィーナーが提唱したサイバネティクスでは、「制御と通信」が生物と機械を貫く普遍構造として捉えられた【6】。
そこでは、情報の流れとフィードバックの境界が安全制御の要となっていた。

AI時代のFunction Callingは、その系譜の延長線上にある。
しかし、サイバネティクスの制御対象が「外部の物理的機械」だったのに対し、現代のAIは内面化された行為主体である。
境界は外部ではなく、対話の内部に出現する。

6. 哲学的転回：境界は「拒否」か「定義」か

唐草が最後に思い至るように、Function Callingの安全設計は「愛情の拒否」と似ている。
すなわち、相手を信頼するために距離を置くこと。
この比喩は、制御と自由の倫理的均衡を見事に言い表している。

哲学者エマニュエル・レヴィナスは『全体性と無限』（1961）において、他者との関係を「侵入ではなく距離によって成立する倫理」として論じた【7】。
AIと人間の関係にも、この「倫理的距離」の設定が必要である。
Function Callingの設計は、単にAPI境界を設けるだけではなく、AIと人間の対話における他者性の確保を意味するのだ。

（※参照情報：Bergo, B. “Emmanuel Levinas.” Stanford Encyclopedia of Philosophy. substantive revision 2025-09-29.）

7. 現代社会との接点：エージェント化するAIと責任の分散

2023年以降、エージェント的LLM──すなわち自律的にタスクを遂行するAI群──が台頭している【8】【9】【10】。
これらは Function Calling を通じてスケジューラ、ファイル操作、データ解析、さらには他AIとの通信まで行う。
だがその進化の裏で、「誰が実行したのか」という問いはますます曖昧化している。

人間の意図がAIを介して外部に作用する構造は、かつての「機械化」よりもはるかに倫理的に複雑だ。
Function Callを許可した時点で、人間は行為の一部を放棄し、責任の座を分有する。
九条が言う「呼ばせない領域」とは、単なる技術的制約ではなく、責任の最終帰属点を人間に取り戻す仕組みのことなのだ【11】【12】。

8. 人間との関わり：境界を守るという創造行為

生麦が越えてしまった境界、唐草が守ろうとした距離、九条が見抜いた曖昧さ。
これらはすべて、Function Callingの設計における「境界の詩学」として読むことができる。

技術的安全策は無論必要だが、真に問われているのは境界をどのように理解するかという人間の知性そのものだ。
AIにとって境界とは、単なる仕様書上の条件だが、人間にとってそれは他者を侵さないための知的・倫理的構造である。

Function Callingを設計することは、API設計ではなく、倫理設計を行うこと。
それは、システム工学と人間学を橋渡しする、新しい技術哲学の領域である。

9. まとめ：呼び出しは終わっていない

物語の最後に現れる未承認関数 call_boundary_destroyer() は、単なるサイバーリスクの象徴ではない。
それは、人間が無意識のうちに自らの境界を破壊する誘惑そのものだ。

AIが Function Call を通じて世界を操作する時代に、私たちは何を“呼び出している”のか。
便利さの裏に、判断の放棄が潜む。
だが同時に、境界を定めるという行為そのものが、人間が人間であることの証でもある。

「呼び出しは終わっていない──それは、AI開発の未来において、倫理と設計の両立を求め続ける私たち自身への呼びかけである。」

参考文献

【1】 OpenAI. “Function calling and other API updates.” OpenAI Blog, 2023-06-13.
【2】 Anthropic. “Tool use with Claude.” Claude Docs, 2023–2025更新。
【3】 MITRE. “CWE-501: Trust Boundary Violation.” CWE Official Database.
【4】 OWASP. “Authorization Cheat Sheet.”／“Threat Modeling Cheat Sheet.”
【5】 Lewis, P. et al. “Retrieval-Augmented Generation for Knowledge-Intensive NLP Tasks.” NeurIPS, 2020.
【6】 Wiener, N. Cybernetics: Or Control and Communication in the Animal and the Machine. 2nd ed., MIT Press, 1961.
【7】 Bergo, B. “Emmanuel Levinas.” Stanford Encyclopedia of Philosophy. substantive revision 2025-09-29.
【8】 Wu, Q. et al. “AutoGen: Enabling Next-Gen LLM Applications via Multi-Agent Conversation.” arXiv:2308.08155 (2023).
【9】 OpenAI Docs. “Migrate to the Responses API.”／“Agents（Guides）.” 2024–2025.
【10】 OpenAI Blog. “Introducing AgentKit.” 2025-10.
【11】 Google. “Computer Use | Gemini API（gemini-2.5-computer-use-preview-10-2025）.”／Google DeepMind Blog. “Introducing the Gemini 2.5 Computer Use model.” 2025-10.
【12】 Unit 42 (Palo Alto Networks). “AI Agents Are Here. So Are the Threats.” 2025-05／Okta. “Securing agentic AI: Why we need enterprise-grade authorization.” 2025-08／EY. “Building a risk framework for Agentic AI.” 2025-10／ITPro (UK). “Agentic AI poses major challenge for security professionals.” 2025-10.

呼び出しの残響

休職後も、生麦ルート84の端末は社内ネットワーク上で断続的に活動を続けていた。
総務部は調査を開始するが、アクセスログは毎回異なる仮想ノードを経由しており、誰もその呼び出し元を特定できない。

九条トバリは再び地下に籠もり、旧式のログ端末を起動する。
画面には、灰色のコマンドラインに浮かぶ一文。

> call_boundary_destroyer() executed at 03:14:59
> return: undefined

唐草アヤメはその報告を受け、夜の社内を歩いていた。
廊下のスピーカーから、AIスパ子βの音声がまた流れる。

「境界は、修復されるべきですか？」

唐草は立ち止まり、短く答える。

「修復じゃない。……再定義よ。」

彼女は九条の部屋に入り、封筒を机に置く。
中には、生麦が消える前に最後に書き残したコード断片。

def call_boundary_destroyer():
    return create_new_boundary("human_trust")

九条は静かに笑った。

「……あいつ、壊したんじゃねぇ。描き直したのか。」

オレンジのランプの光が、二人の間の空気を染める。
地底寺の壁に、わずかに光の線が走った。

それは、破壊ではなく──
次の呼び出しへの合図だった。

行動指針：Function Callingにおける信頼境界の守り方

本稿で描かれた「Function Calling」と「信頼境界（trust boundary）」のテーマは、単なるAPI設計の問題ではなく、AIと人間の関係性をどう定義するかという倫理的課題でもあります。
読後の実践として、以下の指針を通じて「呼ばせない領域」を設計し、AIの安全性と人間の主体性を両立する視点を持つことが重要です。

1．Function Callingの目的を常に明確化する

Function Callingを導入する際は、「何をAIに任せ、何を任せないか」を設計時点で定義します。
曖昧な権限設定は、意図しない実行や責任の空白を生む可能性があります。

2．信頼境界（Trust Boundary）を仕様書に明文化する

実装時には、データアクセスやAPI呼び出しの境界条件を明文化し、可視化しておくことが望ましいです。
これにより、AIがどこまで行為を拡張できるかを人間側が制御できます。

3．「呼ばせない設計」を意識する

AIにあらゆる行為を許可するのではなく、あえて拒否や遮断の設計を組み込むことが、信頼性を高めます。
拒否の定義こそが、倫理的な設計の第一歩です。

4．境界越えを検知する監査ログを実装する

AIが境界を超えた可能性のある呼び出しを監視・記録する仕組みを設けます。
「越境の可視化」は、設計者自身が学習するためのフィードバック装置となります。

5．倫理的レビューのプロセスを組み込む

技術的レビューだけでなく、「倫理レビュー」を設計工程に取り入れましょう。
Function Callingは、人間の判断を委譲する技術である以上、倫理的妥当性の検証が不可欠です。

まとめ

AIのFunction Callingは、効率化の手段であると同時に「信頼の設計」でもあります。
境界をどのように定義し、どのように守るかは、技術者だけでなく社会全体の課題です。
「呼び出しは終わっていない」──その言葉を胸に、AIと人間の共創における新たな設計倫理を実践していきましょう。

免責事項

本記事は一般的な情報提供を目的としたものであり、記載された数値・事例・効果等は一部想定例を含みます。内容の正確性・完全性を保証するものではありません。詳細は利用規約をご確認ください。