Pydantic AIは、ツール実行の承認リクエストを別のモデルが先にレビューし、Metaモデルやツールに接続されたWeb画面を活用する機能を追加した。エージェント開発者は人に送る承認リクエストを減らし、モデル接続や画面用データの受け渡しを自ら実装する負担を軽減できる。
1. 承認リクエストを減らしつつ人の判断を残す
GitHubの公開時刻では、v2.57.0は2026年10月16日にリリースされた。リリースのタイトルには10月15日と表示されている。
エージェント実行機能群のHarnessにあるApprovalReviewerは、人の承認が必要なツール呼び出しを別のモデルに先に問う任意機能だ。リスクの質問に「いいえ」と答えると承認され、同じ実行ステップでツールが動く。危険との回答、不確かな回答、モデルエラー、レビュー予算不足は人に委ねる。レビュー担当自体は呼び出しを拒否も実行もしない。
レビューするツールは名前やメタデータの条件で絞り込める。デフォルトの対象は関数ツール全体だが、承認が必要な呼び出しだけをレビューする。
実行直前に呼び出しを遮断できるToolCallJudgeと併用すると、自動承認された呼び出しもその判定を受ける。承認リクエストを減らす機能と、実行を阻止する機能は役割が異なる。
これは人に回すリクエストを分類するフィルターであり、セキュリティ境界ではない。ツール内外の権限チェックや隔離実行は維持すべきだ。会話の文脈も送る設定にすると、外部文書などがレビューモデルの回答を誘導するプロンプトインジェクション攻撃にさらされる範囲も広がる。
2. Museモデル接続と設定上の制約を併せて提供する
MetaProviderはMetaのMuseモデルに接続し、デフォルトでResponses APIを使う。
この統合にはOpenAI SDKを含むインストールが必要だ。Meta開発者プラットフォームで発行したAPIキーをMETA_API_KEY環境変数に設定すると、次の原文の例のように接続できる。
from pydantic_ai import Agent
agent = Agent('meta:muse-spark-1.3')
...Metaはツール選択で自動選択のみを認める。モデルに所定の形式で最終回答を出させる「出力用ツール」をライブラリが強制しようとした場合は自動選択に切り替えるが、ユーザーが特定のツールや必須の呼び出しを強制するとエラーになる。ツールを使わないという明示的な設定もAPIが拒否するため、他のプロバイダーの設定をそのまま移してはいけない。
Museは推論を無効にできないため、thinking=Falseは無視される。
この統合は、ツール呼び出し前の進行メッセージの区切りマーカーと暗号化された推論を次のリクエストに送り返す。モデルが進捗報告を最終回答と誤解し、長いツール実行を早期終了する問題を防ぐ処理だ。ただし、非ストリーミングは実際のAPI記録で検証したが、ストリーミングのツール呼び出しは模擬テストだ。ストリーミングで区切りマーカーがどのイベントに載るかは仮定のため、実際の記録で確認する余地が残る。
3. MCP Appsは画面に必要な結果を保持する
MCP AppsはサーバーがツールにWebページを接続する機能だ。今回の変更は画面を直接描画せず、フロントエンドがページを表示するための材料を渡す。ページ付きツールの正常な呼び出し結果には、設定不要でリソースのアドレス、モデルが作った入力、結果全体、ツールセット識別子が保持される。ただし、フックが結果を変更したり実際のツールを呼ばなかったりするとアプリ記録は付かず、エラー時も付かない。モデルが見る内容は従来と同じだ。
AG-UIとVercel AIアダプターは、ツール結果の後に画面用イベントを送る。両アダプターとも、クライアントがこの記録を会話履歴として送り返すと無視する。画面用記録をモデルの会話入力として再び受け入れない構造だ。
ページはread_resource_for_appで読み込む。このメソッドは、コンテンツ形式を示すMIMEタイプと、ページのコンテンツセキュリティポリシー・権限情報を保持したMCP結果を返す。
上記の条件でアプリ記録が付く場合、MCPToolset.call_toolの戻り値は値そのものではなくToolReturnで包まれる。結果を包んで加工するコードであるラッパーは内部の値を修正し、ページに元の結果を表示してはいけない場合はメタデータも破棄する必要がある。ページのないツールは変わらない。
4. 自動化の利益と追加コストを併せて検討すべきだ
承認リクエストを減らす代わりに、選ばれた呼び出しごとに逐次レビューの遅延とモデル使用量が加わる。レビュー使用量は実行全体の上限に合算される。
呼び出し引数は、人に回すリクエストでもレビューモデルのプロバイダーに送信される。機密性の高い引数を扱うツールはレビュー対象から外すか、そのデータを任せられるプロバイダーを選ぶ必要がある。
画面連携は従来欠落していた結果を渡すが、アプリ記録が付く呼び出しごとに、履歴に結果のコピー一つと画面用イベント一つが追加される。
今回のバージョンの実用的な価値は、自動化そのものよりも、承認権限とデータ受け渡しの境界を区別して連携できる点にある。