AIエージェントが手順書を83%無視する理由｜MCP 2026-07-28移行とRust強制検問術

衝撃の一次計測：AIは外部手順書を83.3%無視する

AI エージェントを本格的に開発へ導入したチームが必ずぶつかる壁があります。それは、プロジェクトのルートにある設定ファイル（CLAUDE.md や GEMINI.md）が長くなりすぎたため、詳細な手順を別ファイル（docs/manual.md 等）へ切り出し、「〇〇の作業をする時は、先に docs/manual.md を読んでから実行すること」とルールに記載した途端、AI がその手順書をまったく読まなくなる現象 です。

これまで多くの開発者が「自分のプロンプトの書き方が悪いのかな？」「『重要』『絶対遵守』と太字で強調すれば読んでくれるはずだ」と試行錯誤を繰り返してきました。しかし、それが単なる気のせいではなく、大規模言語モデル（LLM）の構造的な挙動であることを裏付ける貴重な一次運用データが公開されました。

3か月間の自律AI組織運用で判明した12回中2回の現実

2026 年 11 月 14 日に公開された Zenn の一次運用計測記事（Claude Codeの手順書は、指定しても読まれない——教訓を「読ませる」から「貼る」「止める」へ変えた3か月の記録） では、Claude Code を用いた自律型 AI エージェント組織を 2026 年 8 月 6 日から 11 月 13 日までの約 3 か月間 にわたって実運用した詳細な記録が分析されています。

この運用期間中の 2 日間の委任ログにおいて、外部ファイルとして配置した手順書のパスを明示し、作業前に参照するよう指示した計 12 回のケースを集計したところ、驚くべき数値が浮かび上がりました。

この 2 日間の委任記録で AI エージェントに対して「手順書を読んでから作業せよ」と指示した 全 12 回の試行のうち、実際に AI がファイル読み込みツールを使って手順書を開いたのはわずか 2 回（約 16.7%） しかありませんでした。残りの 10 回（約 83.3%）は、手順書を 1 文字も開かないまま、「たぶんこうだろう」という思い込みで作業へ直行していた のです。

12 回指示して 2 回しか読まないなんて、人間の新入社員だったら大問題ですよ！「必ず読んでね」と書いてあるのに、どうして 8 割以上も無視してしまうんですか？

AI に悪気があるわけではなく、「ゴール（タスク完了）へ最短距離で進もうとする確率推論の性質」が原因なんです。AI にとって外部ファイルをわざわざ読みに行く行為は、回り道に見えてしまうんですね。

なぜLLMは「手順書を読んで」という指示をサボるのか

なぜこれほど高い確率で AI エージェントは外部の手順書を無視するのでしょうか。その理由は、LLM が持つ 「事前学習知識による過信」 と 「ツール呼び出しコストの回避バイアス」 の 2 点に集約されます。

一般的な Git コマンドの操作、テストの実行、あるいは Markdown 記事の執筆といったタスクは、AI が事前学習の段階で何百万回もパターンを学習しています。そのため、ユーザーから「記事を修正してデプロイして」と指示された瞬間、AI の内部では 「やり方はすでに知っている（わざわざ read_file を 1 回挟まなくても直接コマンドや編集を実行できる）」 というトークン生成経路の確率が跳ね上がります。

ブラックボックスを覗くAI整備士研究が示す確率推論の癖

「それなら、AI モデルの内部回路を直接修理して、手順書を必ず守るように改造できないのか？」と疑問に思う方もいるかもしれません。実はこの点について、2026 年 11 月に科学誌 Nature で極めて興味深い最新動向が報じられました。

Nature 誌の解説記事『This AI ‘mechanic’ can peer inside the black box of other neural networks』（doi:10.1038/d41586-026-03679-8） によると、これまで完全なブラックボックスとされてきた巨大ニューラルネットワークの内部構造を覗き込み、誤動作やハルシネーションを引き起こす特定の特徴量や回路を特定してピンポイントで修正する 「AI 整備士（AI mechanic / 機械論的解釈可能性）」 の研究が急速に進展しています。

読ませる設計を捨てる：自動注入とRust物理検問の実装

Zenn の 3 か月運用記事 が導き出した結論は極めて明快です。83.3% の確率で無視される「手順書を読ませる設計」をきっぱりと捨て、① 必要な情報はコンテキストへ直接貼る（自動注入する）、② 守らせたいルールはプログラム側で強制停止させる（Hooks やゲートで遮断する） という 2 大原則へ転換したことで、手順無視による事故を根絶しています。

この結論は、当ラボが全 756記事 規模のサイト運用とシステム開発において実践してきたアーキテクチャと完全に一致します。

でも、「コンテキストへ直接貼る」といっても、ルールや手順書を全部最初から CLAUDE.md や GEMINI.md に詰め込んだら、今度は毎回何千行も読み込まれてトークン代や利用枠がパンクしてしまいませんか？

そこが一番の勘所です！最初から全部をベタ貼りするのではなく、「常時貼る最小コア」と「AI が特定の行動を起こした瞬間にだけ Hooks で自動注入するガイド」に分けることで、トークン節約と遵守率 100% を両立できるんです。

文脈へ直接貼る3層分離とHooks自動注入の仕組み

当ラボでは、ルール群と仕様書が合算で 1,347行 に達しています。これをそのまま単一ファイルとして放置すれば、コンテキストを圧迫するだけでなく、重要な指示が埋もれてしまいます。また、別ファイルに分けて「必要に応じて read_file で読んでね」と書いても、前述の通り 83.3% は無視されるか、前回の検証記事 で判明したように「検索と read_file の 2 往復で 14〜17 秒を浪費する」という問題が起きます。

そこで当ラボでは、ルールを 3 層に分離 した上で、AI のファイル編集や履歴状態を検知して次の推論直前に介入する ローカル Hooks（kb-search 内蔵の hook_bridge.rs）によるイベント駆動の自動注入（Push 型注入） を実装しています。

具体的には、AI に「ファイルを開け」と命じるのではなく、AI が記事ファイルを write_file や edit_file した直後に PostToolUse フックが対象パスをキューへ記録し、続く次の思考開始時（PreInvocation）に Rust 製フック（hook_bridge.rs）が発火します。そして、その記事に関連する「数値連動記事のリスト（SQLite impact 抽出結果）」や「書式エラーの指摘」「GEMINI.md への仕様保存リマインド」を、AI 内部専用の一時注入ステップ（injectSteps の ephemeralMessage）として次の推論コンテキスト末尾へ直接貼り付ける のです。

次の思考が始まる直前にプロンプト末尾へ直接差し込まれたテキストは、AI が無視しようとしても物理的に視界（直近の Attention 領域）に入るため、読み飛ばしが起きません。

違反時に強制停止させるPure Rust検問所の威力

自動注入に加えてもう一つの柱となるのが、「ルール違反があればプログラム側で処理を強制停止させる」 仕組みです。

当ラボでは、記事の書式ルール、見出しの文字数上限（H2 は 30 文字以内、H3 は 28 文字以内）、目次先頭の番号禁止、太字記号 ** 外側の半角スペース、内部リンク切れ、孤立記事（被リンク 0 件）の防止、画像サイズ整合などを検査する Pure Rust 製の単一バイナリ検問所 gemini-gate を自作して常駐させています。

どれだけ精巧なプロンプトを書いても、AI が見出しを 32 文字にしてしまったり、日本語と ** の間に半角スペースを入れ忘れたりする確率はゼロにはなりません。しかし、「違反が 1 件でもあれば exit code 1 でデプロイコマンド自体が物理的に止まる」 という Rust プログラムを門番として置いておけば、AI は通過するために必ずエラー出力を読んで自己修正します。

手順書の手探り参照をゼロにするSQLite 1コール直結

さらに、1,049 行ある詳細仕様書（docs/GEMINI_MANUAL.md）やプロジェクト内のコード構造についても、AI にファイルを直接 read_file で探させる運用を廃止しました。CLAUDE.md肥大化とTODO迷子を根絶したSQLite階層ナビの検証記事 および 仕様書1コール化とCarbon並列監査の実測記事 で詳しく解説した通り、SQLite の doc_sections テーブルから約 2.31ms・1 ツールコールで該当章節の生行全文を引き当てる仕組みを整備しています。

万が一、親エージェントが古い習慣で仕様書ファイル（docs/GEMINI_MANUAL.md や GEMINI_AXIOMS.md 等）を直接 read_file してしまった場合でも、直後の PreInvocation フックが会話ログからそれを検知して「次回からは kb-search manual で 1 コール取得せよ」と事後矯正メッセージを自動注入するため、同じ会話内で無駄な丸読みを繰り返す連鎖を防ぐことができます。

MCP 2026-07-28仕様の9大変更と移行の勘所

AI エージェントの「内部ルール遵守」を自動注入と Rust 検問で固めたら、次に直面するのが 「AI エージェントと外部ツール（MCP サーバー）との通信プロトコル」 の大転換です。

Anthropic が提唱し、現在では Claude Code、Antigravity、VS Code、Cursor などあらゆる AI エージェントの標準プラグイン規格となった Model Context Protocol（MCP）は、『MCP 2026-07-28 仕様』 においてアーキテクチャの根幹を覆す大型刷新が行われました。

Zenn の解説記事（MCP 2026-07-28 仕様入門、既存サーバーの移行点は主要変更9項目） および Model Context Protocol 公式仕様書 に基づき、開発者が必ず押さえておくべき 主要変更 9 項目 を体系的に整理します。

MCP サーバーなら去年作ったものがそのまま動いていますよ。今回の『2026-07-28 仕様』って、単なるマイナーアップデートではないんですか？

いいえ、今回はこれまでの常識がひっくり返るレベルの破壊的変更（Breaking Changes）が含まれています！特に一番大きいのが、これまで接続時に必須だった initialize ハンドシェイクと Mcp-Session-Id ヘッダーの完全廃止（ステートレスコア化） です。

ハンドシェイクとMcp-Session-Id廃止の衝撃

旧仕様（2024-11-05 や 2025 年前半の Streamable HTTP 仕様など）では、クライアントと MCP サーバーが接続する際、最初に initialize リクエストと notifications/initialized 通知をやり取りして状態の交渉を行い、サーバー側が発行した Mcp-Session-Id HTTP ヘッダー を使ってセッション状態を維持する「ステートフル（状態保持）前提」の設計になっていました。

しかし、このステートフル設計は、クラウド上で MCP サーバーを複数台にオートスケールさせたり、サーバーレス環境（AWS Lambda や Cloudflare Workers 等）やロードバランサーの背後に配置したりする際に、「同じセッション ID のリクエストを同じサーバーインスタンスへ振り分け続けなければならない（Sticky Session 問題）」 という最大の障壁（ボトルネック）を生んでいました。

そこで『MCP 2026-07-28 仕様』では、以下の抜本的な変更が断行されました。

旧仕様と『MCP 2026-07-28 仕様』における通信フローの違いを比較すると、どれほど無駄な往復が削ぎ落とされたかが一目瞭然です。

事前探索とヘッダールーティングとキャッシュの導入

「でも、initialize ハンドシェイクがなくなったら、クライアントはどうやってサーバーが対応している機能（ケーパビリティ）を事前に知るのか？」「毎回 tools/list を叩いたら通信量が増えるのでは？」という疑問が当然湧いてきます。

これを鮮やかに解決するのが、変更項目②〜④の 「server/discover 新設」「HTTP ヘッダー高速ルーティング」「ttlMs キャッシュ」 の 3 点セットです。

特に 変更項目③の Mcp-Method / Mcp-Name ヘッダー は、企業や大規模環境での管理体制（ガバナンス）において絶大な威力を発揮します。たとえば「読み取り系の search_database は高速なリードレプリカ群へ流し、破壊的変更を行う delete_record は WAF（Web Application Firewall）やゲートウェイ層で特定の認可トークンがない限り JSON パース前に即時ブロックする」といった制御が、既存の HTTP インフラのままで実現できるからです。

状態持ち回りMRTRと非同期TasksとUI拡張

続いて、ステートレスコアの上で「複数ターンのやり取り」や「長時間の重い処理」「リッチな画面表示」をどう実現するかという、変更項目⑤・⑥を見ていきましょう。

実際に『MCP 2026-07-28 仕様』で HTTP ヘッダー（Mcp-Method / Mcp-Name）と _meta フィールド、および MRTR の requestState ハンドルを用いて通信する際の具体的な HTTP リクエスト・レスポンス構造を示すと、以下のようになります。

POST /mcp HTTP/1.1
Host: api.example.com
Content-Type: application/json
Authorization: Bearer eyJhbGciOiJSUzI1NiIs...
Mcp-Method: tools/call
Mcp-Name: deploy_production

{
  "jsonrpc": "2.0",
  "id": 42,
  "method": "tools/call",
  "params": {
    "name": "deploy_production",
    "arguments": {
      "target": "production-cluster-a"
    },
    "requestState": "eyJzdGVwIjoyLCJhdXRoX2NoZWNrIjoicGFzc2VkIn0.sig_hmac256",
    "_meta": {
      "protocolVersion": "2026-07-28",
      "clientInfo": { "name": "antigravity-agent", "version": "2.4.0" },
      "traceparent": "00-4bf92f3577b34da6a3ce929d0e0e4736-00f067aa0ba902b7-01"
    }
  }
}

このように、Mcp-Session-Id ヘッダーが完全に消え、HTTP ヘッダーの Mcp-Method と Mcp-Name だけでゲートウェイが対象ツールを即座に識別でき、複数往復の文脈も requestState と _meta にすべてカプセル化されていることが分かります。

なるほど！サーバー側のメモリに状態を溜め込むのではなく、requestState という「引換券（不透明ハンドル）」をクライアント側に持たせて往復させるから、サーバーが途中で再起動しても別サーバーに切り替わっても処理が途切れないんですね！

その通りです！Web 開発における JWT（JSON Web Token）やステートレス継続と同じ思想ですね。これならクラウド上で何百台にスケールさせてもセッション消失事故が起きません。

コア3機能の非推奨化とJSON Schema完全移行

そして、既存の MCP サーバー実装者がコード修正を迫られるのが、変更項目⑧・⑨の 「コア 3 機能の Deprecated（非推奨）化」 と 「JSON Schema 2020-12 への完全移行」 です（変更項目⑦のセキュリティ・OAuth 2.1 については次章で詳しく掘り下げます）。

ここで、『MCP 2026-07-28 仕様』の主要変更 9 項目と、開発者が取るべき具体的な移行アクションを一覧表にまとめます。

OAuth 2.1必須化と物理セキュリティキーによる防衛

9 つの変更項目の中で、セキュリティとアカウント保護の観点から絶対に軽視できないのが 変更項目⑦「OAuth 2.1 / OIDC・RFC 9207 iss 検証必須化・CIMD 認可強化」 です。

AI エージェントがローカルのファイルを読むだけでなく、MCP を通じてクラウドのデータベース、GitHub リポジトリ、本番サーバー、さらには ChatGPT Wallet や Google Wallet×Gemini のような決済・資産管理基盤 にまで直接アクセスするようになった結果、MCP サーバーの認証・認可を狙った攻撃リスクが急増しています。

RFC 9207の発行者検証とCIMDによる認可強化

『MCP 2026-07-28 仕様』では、リモート MCP サーバーにおける認可の枠組み（スキーム）として OAuth 2.1 および OpenID Connect（OIDC） の厳格な実装が求められ、特に以下の 2 つの標準仕様への対応が強化されました。

権限昇格と暴走を防ぐ親アカウントのFIDO2物理ロック

ここで、第 1 章で確認した 「AI エージェントは 83.3% の確率で手順書を無視する」 という事実と、この 「MCP の OAuth 2.1 認可」 を掛け合わせて考えてみてください。

もし、AI エージェントが動いている PC やブラウザ上で、Google アカウント、GitHub アカウント、AWS / Cloudflare、あるいは OAuth 認可サーバー（IdP）の親セッションが「パスワードだけ」や「SMS 認証」「スマホアプリのワンタップ承認」で無防備にログインされたままになっていたらどうなるでしょうか。

あっ……！もし AI エージェントが悪意あるプロンプトインジェクションを踏んだり、手順書を無視して暴走したりしたときに、ブラウザや CLI 経由で勝手に OAuth の「許可（Authorize）」ボタンを押されたり、強い権限のトークンを発行されたりしたら一発でアウトじゃないですか！

まさにそこが最大の急所なんです。AI がソフトウェア上でどれだけ賢く動いても、「人間の指で物理的なハードウェアキーに触れない限り、絶対に親アカウントの認可や特権昇格が通らない」 という物理的な絶縁壁（エアギャップ）を作っておく必要があります。

Claude Codeの通信遮断と7つの情報送信経路の検証記事 でも解説した通り、AI エージェントに高い自律性を与える環境では、ソフトウェア上の設定やプロンプトの「お願い」だけで特権を守ることはできません。

MCP の OAuth 2.1 認可元となる Google / GitHub / Microsoft アカウントや、本番インフラの SSH 鍵・特権セッションには、必ず FIDO2 / WebAuthn 対応の物理セキュリティキー（YubiKey） を設定し、「人間が物理的に金属端子へタッチしない限り、新規の強い OAuth スコープ認可や管理者ログインは 100% 拒否される」構成にしておくことが最も確実な防衛策となります。

Yubico YubiKey 5C NFC（USB-C / NFC対応 FIDO2物理セキュリティキー）

Amazon楽天市場Yahoo!

特に USB Type-C と NFC の両方に対応した『YubiKey 5C NFC』であれば、Mac や Windows での開発時はポートへ挿したまま「タッチ操作のみ」で FIDO2 認証や SSH 鍵署名（ed25519-sk）を完結させ、スマホ側でのアカウント保護も 1 本で統一できるため、自律型 AI エージェントを運用する開発者の必須装備として強く推奨します。

既存MCPサーバーとAI環境を移行する実践チェックリスト

ここまでの一次計測データと『MCP 2026-07-28 仕様』の全体像を踏まえ、既存の AI エージェント開発環境（CLAUDE.md / GEMINI.md）および自作・社内 MCP サーバーを最新アーキテクチャへアップデートするための実践手順をまとめます。

段階的マイグレーションの5ステップと互換性テスト

移行作業で手戻りを起こさないためには、以下の 5 ステップの順序で進めるのが最も安全です。

特に STEP 3 のステートレス化においては、既存の MCP サーバーコード内でグローバル変数やインメモリ Map に sessionId をキーとして状態を保存している箇所がないかを重点的に grep 検索してください。ここが残っていると、複数ワーカーで稼働させた瞬間に状態不整合バグが発生します。

手戻りコストとトークン浪費を防ぐ定量効果の比較

では、「手順書を別ファイルで置いて AI に読ませる＋旧ステートフル MCP」という従来運用から、「自動注入＋Rust 物理検問＋MCP 2026-07-28 ステートレス仕様」へ移行すると、日々の開発効率とトークン消費はどれほど改善するのでしょうか。

Zenn の一次計測データ（手順書無視率 83.3%）と当ラボの実測値（gemini-gate 検問 4ms、SQLite 1 コール抽出 2.31ms）、および 1 日あたり 10 回の定型タスク・デプロイを回した場合のモデルケース試算（推論）を比較します。

これを数式モデルとして整理すると、1 タスクあたりの総消費トークン $T_{\text{total}}$ は、初期コンテキストとツール往復の基本消費 $T_{\text{base}}$ に加え、手順書未読確率 $P_{\text{ignore}} = 0.833$ によって発生する手戻り再実行コスト $T_{\text{retry}}$ の期待値の和として表されます。

従来の運用では $P_{\text{ignore}} = 0.833$ という極めて高い確率で手戻り $T_{\text{retry}}$（全体やり直し）が乗算されるため、初期プロンプトを少し削ったところで全体のトークン消費は激しいままです。これに対し、自動注入で $P_{\text{ignore}} \to 0$ に近づけ、万が一の際もローカル 4 ミリ秒の Rust 検問（API トークン消費ゼロ）で即座にブロックする設計こそが、最も合理的なトークン節約術となります。

まとめ：性善説のプロンプトから決定論的ハーネスへ

本記事で検証・解説した「AI が手順書を読まない問題の解決策」と「MCP 2026-07-28 仕様への移行ポイント」を最後に振り返ります。

最後に、読者の皆さまがご自身のプロジェクト環境（Claude Code / Antigravity / VS Code 等）や既存 MCP サーバーを、本記事の「手順書自動注入＋強制検問＋MCP 2026-07-28 準拠」へ一括診断・改修するためのコピペ用プロンプトをご用意しました。

※複雑な設定ファイルやプロトコル仕様の誤判定を防ぐため、必ず『Gemini 4 Carbon』や『Gemini 4 Argon』、『Claude Opus / Sonnet』等の最上位推論モデルを選択した上で、以下のプロンプトを貼り付けて実行してください。

あなたは私の熟練した開発パートナー兼アーキテクトです。
まず以下の技術検証記事URL（またはその設計原則）を踏まえ、当プロジェクトの現在のルールファイル（CLAUDE.md / GEMINI.md / docs等）、Hooks設定、およびMCPサーバー実装を調査してください。

【参照記事】
https://lab.chihouzakki.com/blog/review/ai-agent-ignores-manual-83pct-mcp-20260728-migration-guide/

【診断・実装してほしい3つの課題】
1. 外部手順書の「任意参照（Pull型）」の排除：
   CLAUDE.md や GEMINI.md の中で「作業前に docs/〇〇.md を読むこと」のようにAIの自主的なファイル読み込みに頼っている箇所（83.3%の確率で無視される原因）をすべて洗い出してください。その上で、①常時必須のコア原則、②Hooks（PreToolUse / PostToolUse等）で作業時に自動注入するガイド、③プログラム側（Linter / Rust / スクリプト）で違反時に exit 1 で強制停止させるゲート、の3つへ再設計する計画を立ててください。
2. MCP 2026-07-28 仕様への移行チェック（MCPサーバーコードがある場合）：
   - 廃止された `initialize` / `notifications/initialized` ハンドシェイクや `Mcp-Session-Id` ヘッダーへの依存が残っていないか（ステートレスコア化＆ `_meta` 移行）
   - `server/discover`、`Mcp-Method` / `Mcp-Name` ヘッダー、`tools/list` の `ttlMs` キャッシュ、複数往復時の MRTR（`requestState`）への対応方針
   - Deprecated化された `Roots` / `Sampling` / `Logging` の有無と、`JSON Schema 2020-12` への完全準拠
   - OAuth 2.1 / RFC 9207（`iss` 検証必須化）/ CIMD のセキュリティ要件
3. いきなりファイルを書き換えず、まず現状の課題リストと段階的な実装計画（Implementation Plan）を日本語で提示し、私の合意を得てから改修に着手してください。

「AI がマニュアルを読んでくれない！」と嘆く日々を終わらせ、自動注入と強制ゲートでストレスのない自律開発環境をぜひ構築してみてください！