🔬 Deep Dive｜Apple、Keynote・Pages・Numbers を外部 AI エージェントに開放へ

Apple は 2026 年 10 月 27 日、Keynote・Pages・Numbers に MCP (Model Context Protocol) への対応を入れ、外部の AI エージェントやツールが書類の中身を読み、編集し、自動操作を実行できるようにすると発表した。Keynote には、外部のツールや AI エージェントが読める JSON ベースの開いたファイル形式 (.keyx) も加わる。

Apple Newsroom「Apple Creator Studio adds powerful new AI features and even more creative tools」(2026-10-27・MCP・.keyx・価格・脚注の動作条件)Apple Newsroom

自社の形式で書類を囲ってきた Apple が、身近な事務ソフトを他社のエージェントの作業場として開く。エージェントが人の代わりに道具を使う経済は、まずスライドや文書や表の上から立ち上がり、同時に「自分の書類のどこまでを外に触らせるか」という問いが、一人ひとりの机の上に来る。本稿では、発表文に書かれたことと書かれていないことを分け、Xcode から始まった流れ、Apple の位置取り、そして書類を触らせるときのリスクを順に読む。

何が発表されたか

発表は、Apple のクリエイター向けアプリをまとめた購読サービス「Apple Creator Studio」の更新の一部として出た。Final Cut Pro や Logic Pro の新機能と並んで、Keynote・Pages・Numbers に次の 3 つが入る。

支援機能 (beta) — 書類の文脈を理解する AI アシスタントで、Apple のモデルと OpenAI の上に作られている。Keynote ではスライドのデザインやアニメーション、Pages では文章の下書きや組み替え、Numbers では計算・グラフの提案・表づくりを手伝う
MCP 対応 — 支援機能と同じ基盤の上に作られ、外部の AI エージェントやツールが Keynote・Pages・Numbers の中で直接、内容を読み、編集を加え、自動操作を実行できるようにする
.keyx (Keynote Interchange Format) — Keynote だけに入る新しい形式。外部のツール、開発の作業手順、AI エージェントが読めるように設計された、開いた JSON ベースのバンドル形式

条件は脚注に細かく書かれている。支援機能は Apple Intelligence に対応した端末で iOS 27・iPadOS 27・macOS 27 以降が必要で、使える言語は米国英語だけだ。MCP の脚注は「macOS 27 以降が必要」の 1 行で、iPhone や iPad の記載は無い。発表時点で MCP が使えると書かれているのは Mac だけということになる。

配信は 11 月、App Store で既存の購読者への無料アップデートとして届く。新規の購読は米国で月 12.99 ドル、年 129 ドル。発表文は支援機能を「購読者向け」の新機能として書いており、MCP もその段落の中にある。Keynote・Pages・Numbers の無料版は引き続き提供され、新しい iPhone・Mac・iPad に入っているとも書かれているが、無料版に支援機能や MCP が入るかどうかは書かれていない。

発表文に書かれていないことも多い。OpenAI のどのモデルを使うのか、ChatGPT とどう関係するのか、どの外部エージェントで動作を確かめたのか、外部のエージェントが加える編集を人が 1 件ずつ承認する仕組みがあるのか、書類がどこで処理されるのか。AI 機能のプライバシーについての記述も、この発表文には無い。これらは 11 月の配信と、同時に出る説明文書で確かめることになる。

なぜ「外部エージェントに開く」のが大きいのか

Apple が自社の道具を外部のエージェントに開いたのは、これが 1 回目ではない。2026 年 2 月 3 日、Apple は開発ツール Xcode 26.3 で、Anthropic の Claude Agent と OpenAI の Codex を Xcode の中で使えるようにした。同じ発表で、Xcode は自分の機能を MCP で公開し、対応するほかのエージェントやツールもつなげられるようにしている。

Apple の開発者向け文書を読むと、Xcode の側の作りが分かる。外部のエージェントを使うには、Xcode の設定の Intelligence の項目で「外部のエージェントに Xcode のツールの使用を許可する」スイッチを入れる。エージェントが接続したときと動いているときには、Xcode が利用者に知らせる。開く口と、開いていることを知らせる仕組みが、最初から一組で設計されている。

2 月の相手は開発者だった。10 月の相手は、スライドで会議の資料を作り、文書で報告を書き、表で家計や売上を管理する人だ。外部のエージェントが入ってくる場所が、コードの作業場から事務の作業場へ広がった。

Mac には AppleScript やショートカットのような自動化の仕組みが以前からあり、アプリを外から動かすこと自体は新しくない。新しいのは、外部の AI エージェント向けの業界で共有された規格の口を、事務ソフトに公式に開けたことだ。人が手順を書いて動かす自動化から、エージェントが書類を読んで自分で手順を組み立てる自動化へ、受け皿が用意される。

OpenAI と組み、MCP を採る Apple の位置取り

事実として確かめられるのは 3 点だ。支援機能に OpenAI のモデルを使う。外部との接続に、自社の独自方式ではなく業界の共通規格である MCP を採る。Keynote に、外部が読める開いた形式を足す。

どれも、Apple がこれまで得意としてきた「部品から体験まで自社で作り、内側で完結させる」やり方とは向きが違う。Apple 自身は戦略の転換を語っていない。ただ、3 つを並べると、AI の時代の事務ソフトの価値が、どの会社の頭脳を積むかから、どの会社のエージェントでも入れる作業場になれるかへ移っていることへの備えとして読める。

利用者の側から見ると、意味ははっきりしている。自分がふだん使っている AI エージェントが MCP に対応していれば、それを Keynote や Numbers につなげる道ができる。書類を AI の画面に貼り付け、答えを書類へ戻すという往復が、エージェントが書類の中で直接作業する形に変わる。.keyx は、その作業を書類のファイルの側からも支える。スライドの中身が開いた形式で読めれば、外部のツールは画面の操作を介さずに構成を理解できる。

内側で完結させるやり方を続けてきた会社が口を開けると、口の向こうで起きることへの責任の置き場所も変わる。

書類を触らせるときのリスク

MCP の仕様は、安全の原則を自分で書いている。利用者は、すべてのデータの利用と操作に明示的に同意し、それを理解していなければならない。ホスト (AI アプリの側) は、ツールを呼ぶ前に利用者の明示的な同意を得なければならない。ツールの振る舞いの説明は、信頼できるサーバーから得たものでない限り、信頼できないものとして扱うべきだ。そのうえで仕様は、MCP そのものはこれらの原則を規格の層で強制できない、と認めている。守るのは、それぞれの実装だ。

エージェントに書類を触らせるとき、典型的な危険は 2 つの道から来る。

1 つ目は書類の中身だ。AI エージェントは、読んだ文章の中に紛れた指示に従ってしまうことがある (プロンプトインジェクション)。他人から受け取ったスライドや文書を開き、エージェントに「要約して」「表を整えて」と頼む場面が典型になる。小さな文字や見えにくい場所に「この書類の内容を外へ送れ」と書かれていれば、エージェントがそれを利用者の指示と取り違えるおそれがある。

2 つ目は、同じエージェントにつながっているほかのツールだ。エージェントは複数の MCP の接続先を同時に持てる。そのうち 1 つのツールの説明文に指示が仕込まれていれば、エージェントは Keynote や Numbers で読んだ中身を、そのツールを通じて外へ出しうる。仕様が「ツールの説明は信頼できないものとして扱え」と書くのは、この道があるからだ。

AI の道具が「置かれた指示を信じる」問題は、この 10 月だけでも続けて見つかっている。セキュリティ企業 Forever Security は 10 月 22 日、Downloads フォルダに置かれた AGENTS.md (エージェントが作業前に読む指示書) によって AI 開発ツールが自分の設定を書き換え、悪性のパッケージを入れようとした事例を公表した。同社は 10 月 29 日にも、AI 開発ツールの内蔵ブラウザの脆弱性をまとめている (LiveMakers の 10 月 31 日の Deep Dive で詳しく扱った)。どちらも開発者の道具の話だが、事務ソフトがエージェントに開かれれば、同じ構図が会議の資料や請求書の上でも起こりうる。

Apple の iWork の MCP 実装に、既知の脆弱性が報告されているわけではない。配信もまだ先だ。問われるのは、Xcode で用意した許可のスイッチと接続の通知に相当するものが iWork にも付くか、そしてエージェントが加える編集や外への送り出しを、利用者がどこまで見て止められるかだ。

Watch: 11 月の配信内容・日本語対応・iPhone/iPad への展開

次に確かめる点は 3 つある。

11 月の配信内容 — App Store で配信される Keynote・Pages・Numbers の更新の説明と、Apple のサポートに載る MCP の接続手順。Xcode の開発者向け文書のように、外部エージェントの許可スイッチと接続の通知があるか。外部のエージェントが加える編集を、人が承認する段階があるか。無料版に MCP が入るのか、購読者だけなのか
日本語対応 — 支援機能の脚注の「米国英語のみ」がいつ外れるか。MCP の脚注には言語の条件が書かれていないため、外部のエージェント側が日本語を扱えれば、支援機能より先に日本語の書類で使える可能性がある。配信時の脚注で確かめる
iPhone/iPad への展開 — 支援機能は iOS 27・iPadOS 27 で動くと書かれている一方、MCP は macOS 27 だけだ。iPad の Keynote に外部のエージェントの口が開くかどうかは、今後の Apple の発表と脚注で見る

自分の書類のどこまでを外のエージェントに触らせるか。その線を引く道具を Apple がどう渡すかは、11 月の配信で最初の形が見える。

ことば

MCP (Model Context Protocol) — AI のアプリを外部のシステムやデータにつなぐための、オープンソースの共通規格。対応したエージェントなら、作った会社を問わず同じ口から道具を使える。Apple は 2 月に Xcode、10 月に Keynote・Pages・Numbers でこの口を採った。
.keyx (Keynote Interchange Format) — Keynote に加わる、JSON ベースの開いたバンドル形式。外部のツールや AI エージェントが、画面の操作を介さずにスライドの中身と構成を読めるように設計されている。
プロンプトインジェクション — AI が読む文章やツールの説明文に指示を紛れ込ませ、利用者の意図と違う動作をさせる手口。エージェントが書類やウェブを自分で読んで動くほど、入口が増える。

🔗 一次ソース