Googleが8月12日に発表したCustom Agentsの説明には、他ツールから移植しやすいようファイル規約を意図的に揃えた、と書かれています。互換性を先に差し出し、実行方式で差をつける。その足元では、認証と権限の締め直しが静かに進んでいました。
Googleは2026年8月12日、役割を絞ったAIエージェントをMarkdownファイルで定義する「Custom Agents」を公開した。Antigravity 2.0とAntigravity CLIが対応し、IDEは後日対応する。
公式ブログは、既存ツールからの移植を容易にするためファイル規約を意図的に揃えたと記載している。8月14日には、環境変数GEMINI_API_KEYによりサインインせずGemini APIへ接続できるAntigravity CLI 1.1.13を公開し、define_subagentのパストラバーサル脆弱性も修正した。
公式changelogによれば、8月1日から16日までのリリースは計13本で、改善82件に対し修正は103件だった。
From: 
Google Antigravity – Changelog
【編集部解説】
8月のGoogleは、静かではなかった
8月16日時点で、公式ブログには8月付の記事が2本、changelogには8月1〜16日付のリリースが13本並んでいます。ブログは8月12日の「Introducing Custom Agents」と、8月13日のGemini 3.7 Flash対応。changelogのほうは、Antigravity 2.0が4本、CLIが4本、SDKが3本、IDEが2本です。
発表された側と、発表されなかった側。今月のAntigravityは、この二層で読むと見通しがよくなります。
「移植しやすさ」を設計目標に掲げた発表
まず前線から。Custom Agentsは、役割を絞ったエージェントをMarkdownファイル1枚で定義する機能です。YAMLフロントマターに名前・説明・モデル・使えるツールを書き、本文がそのままシステムプロンプトになります。.agents/agents/に置いてコミットすれば、リポジトリを引いたチーム全員がそのまま使えます。
汎用アシスタントに毎回テスト規約や依存管理のルールを説明し直す手間と、それを全部プロンプトに積んだときのトークン浪費。その両方を、ファイル1枚で畳むのがこの機能の狙いです。
注目したいのは、Googleがこの形式について書いた一文です。この分野の他ツールを使ったことがあれば見覚えのある書式だろう、既存のカスタムエージェントの移植が楽になるよう意図的に規約を揃えた——と、公式ブログに明記しています。
互換性を設計目標として掲げ、そのうえで実行方式に独自の差分を置く。Googleが示した順序はこれです。差分は3つあります。
一つめが実行の対称性。他ツールではカスタムエージェントはサブエージェント専用で、主役の座には座れない。AntigravityはmainAgent: trueとsubagent: trueの2行で、同じ定義を主エージェントとしても呼べるようにしました。GUIのドロップダウンから選ぶことも、agy --agent dependency-modernizerで直接起動することもできます。
二つめがcommandExecutionPolicy。許可を緩めれば未検証のコードが走り、締めれば承認ダイアログの連打になる。この二択に、実行内容で振り分けるフィルタを足しました。autoにすると、テストやビルドは背後で自動実行され、ファイル削除のような高リスクのコマンドだけが手前で止まります。
三つめが入れ子のライフサイクルフック。エージェント定義の中にPreInvocationやPreToolUseを書き込み、ツール呼び出しごとに検証スクリプトを挟めます。
規約は揃える。中身で差をつける。後から市場に入る側が取りうる、もっとも合理的な形の一つだと思います。
発表されなかった側にあった、一行
一方、changelogにしか載っていない変更のなかに、実務を静かに変えるものがありました。
8月14日のCLI 1.1.13で、GEMINI_API_KEYへの対応が入っています。設定ファイルのmodelProviderにgeminiと書き、環境変数にAPIキーを置く。それだけで動きます。ブラウザは開きません。
Antigravity CLIで使える認証方式（2026年8月16日時点）
これは6月18日の出来事と対になっています。その日、GoogleはGemini CLIとGemini Code AssistのIDE拡張について、Google AI ProとUltra、および個人向け無償利用への提供を終了しました。法人向けのGemini Code Assist Standard／Enterpriseなどは継続しています。GitHubで10万を超えるスターを集めたGemini CLIの個人向け利用を移す先として、前面に据えられたのがAntigravity CLIです。
ところが、その移行先の既定の認証は、Googleアカウントへのサインインでした。cronの定期実行、CIパイプライン、踏み台越しのリモートサーバー。人が座っていない場所こそ、エージェントを走らせたい場所です。8月3日の1.1.10で入ったApplication Default CredentialsはAgent Platform利用者向けで、APIキー1本で動かしたい層には届きません。
この点は5月21日、GitHubのIssueとして提起されています。当時の回答は「Gemini API Keyは現在サポートしていません」。そこから3か月弱で、機能が入りました。
| 認証方式 | ブラウザ操作 | 主な想定 | CLIでの追加時期 |
|---|---|---|---|
| Googleアカウントへのサインイン | 必要 | 個人利用の既定経路 | 当初から |
| Gemini Enterprise／Workforce Identity Federation | 必要 | 組織の統制下での利用 | 1.1.10（8月3日） |
| Application Default Credentials | 不要 | Agent Platformの利用 | 1.1.10（8月3日） |
| GEMINI_API_KEY | 不要 | cron・CIなど人が介在しない実行 | 1.1.13（8月14日） |
日本の開発現場にとっても他人事ではありません。プロキシとエンドポイントセキュリティに囲まれた社内ネットワークで対話的なブラウザ認証を通すのは、しばしば技術ではなく手続きの問題です。同じ1.1.13には、ripgrepがセキュリティ製品にブロックされたときローカル検索へ切り替える修正も入りました。一連の変更からは、統制された組織環境を強く意識した改善が増えている、と読めます。
前線と補給線は、同じ場所にある
そしてもう一つ。Custom Agentsを発表した同じ週、その足元でdefine_subagentのパストラバーサルが塞がれています。エージェントが自らサブエージェントを定義する機能で、モデルが供給したエージェント名を検証しないままディレクトリを作っていた、という修正です。
検証すべき文字列が、人間の直接入力だけでなく、モデル自身が生成した値にも広がっている。この点が、修正の性格を決めています。モデルの出力は、攻撃者がプロンプトインジェクションで誘導できる対象でもあります。人間が打ち込む文字列を疑う作法は長い時間をかけて育ちましたが、モデルが扱う値をツール境界で検証する作法は、業界全体でまだ育っている途中です。Antigravityでは、ファイル検索ツールfind_by_nameの入力検証不備をfdへのフラグ注入につなげる手口が、1月7日にGoogleへ報告され、2月28日に修正、4月20日にPillar Securityから公開されています。脆弱性の種類は異なりますが、モデルが扱う値をツール境界で十分に検証しなかった、という共通項があります。
8月には近い項目が並びます。1.1.11では、コマンド語をひとつも含まない許可ルールがあらゆるコマンドに一致し、実行内容を無条件で承認してしまう不具合が直りました。2.6.0では、接続ツールサーバーへの管理者ポリシーが起動時に読み飛ばされる問題が直っています。権限は、書いたとおりに効いて初めて権限です。新機能を発表しながら同じ月にここを締め直しているのは、エージェントに実行権を渡す製品として筋が通っています。
では、反撃は始まったのか
8月16日時点の13本を通して見えるのは、地平を開く動きよりも、地面を固める動きです。改善82件に対して修正103件。GEMINI_API_KEYも、7月末以降のVim編集モードやprint modeの構造化出力も、競合に先行例のある機能でした。Custom Agentsのファイル規約に至っては、Google自身が既存ツールに合わせたと書いています。
その意味で、これを反攻と呼ぶのは早いでしょう。いま進んでいるのは、補給線の構築です。
ただ、補給線は攻勢の前に敷くものでもあります。7月31日から8月3日にかけて入った企業向けサインイン——Gemini Enterpriseアカウント、Workforce Identity Federation、Application Default Credentials——と、今回のAPIキー直結、そして権限統制の作り直し。この並びには、個人の自動化を助ける機能と、組織が統制下で導入するための要件に直結する機能とが、同じ時期に並んでいます。
changelogには「新しいバージョンは段階的に展開され、全ユーザーに届くまで数日かかる場合がある」との断りがあります。8月14日の機能が8月14日に全員の手元にあるわけではない。速度を測るときは、この時差も込みで見る必要があります。
それでも、互換性を明示的に優先したうえで実行方式に差を置き、その足元で認証と権限を締め直す。この順序は、追いつくためというより、追い越したあとに残るものを作るための組み立てに見えます。反撃の号砲は、まだ鳴っていません。鳴ったときに何が動くかは、いま静かに敷かれているこの13本が決めます。
【関連記事】
Google「Antigravity CLI」がGemini CLIを置き換える—ターミナルAIエージェントの新時代
今回の認証追加が埋めた「穴」の前提にあたる、6月18日のGemini CLI移行そのものを扱った記事である。あわせて読みたい。
Google Antigravity 2.0発表 — I/O 2026で示されたGemini 3.5 Flash搭載の「エージェント主導開発」とは
Antigravity 2.0、CLI、SDKが出そろった発表の全体像。Managed Agentsの位置づけもここで確認できる。
Antigravity（Google）に重大脆弱性—最高セキュリティ設定を突破するプロンプトインジェクション攻撃とは
本文で触れたfind_by_nameの脆弱性を詳報した記事。今回のパストラバーサル修正と読み合わせたい一本になっている。
Gemini 3.7 Flash発表｜3週間で半額、Sparkも同日更新
8月13日にAntigravityへ入ったGemini 3.7 Flashを、モデル側の視点から単独で扱った記事である。
【編集部後記】
カスタムエージェントを会話の途中で切り替えると、セッションは自動的に分岐します。それまでの文脈は失われません。公式ドキュメントに注記として一行だけ置かれた仕様です。
役割を替えるという操作に、積み上げたやりとりを捨てる覚悟を求めない。地味ですが、エージェントを日常的に使う人ほど効いてくる設計だと思います。8月に積まれた13本は、だいたいこういう一行の集まりでした。派手さはありませんが、こうした一行が、次に来る大きな発表の土台になります。
【用語解説】
Custom Agents（カスタムエージェント）
役割を限定したエージェントを、Markdownファイル1枚で定義する仕組み。テスト規約や依存管理のルールといったプロジェクト固有の指示を、汎用エージェントに毎回説明し直す手間をなくす。
YAMLフロントマター
Markdownファイルの冒頭に置く設定ブロック。エージェントの名前、説明、使うモデル、許可するツールなどを記述し、本文がそのままシステムプロンプトになる。
サブエージェント
主エージェントが作業の一部を委任する子エージェント。文脈を分けることで、主エージェント側のコンテキストが膨らむのを抑えられる。
define_subagent
エージェントが自らサブエージェントを定義するためのツール。1.1.13では、ここに渡されたエージェント名の検証が強化された。
パストラバーサル
ファイルパスに「../」のような相対指定を混ぜ、本来アクセスできない場所へ到達する攻撃手法。
プロンプトインジェクション
AIが読み込むデータの中に指示文を仕込み、意図しない動作をさせる攻撃手法。外部のWebページやファイル経由で成立する場合を間接プロンプトインジェクションと呼ぶ。
print mode
CLIを対話画面なしで1回だけ実行するモード。「-p」で起動し、出力をJSONなどの機械可読な形式で受け取れる。スクリプトやCI環境から呼び出すために使う。
Application Default Credentials（ADC）
実行環境に置かれた資格情報を自動的に拾って認証する方式。人が画面の前にいなくても認証が通る。
Workforce Identity Federation（WIF）
社外のID基盤で認証した結果を使ってGoogle Cloudへログインする仕組み。自社の認証基盤を持つ組織が使う。
agy
Antigravity CLIの実行コマンド名。
ripgrep
高速なコード検索ツール。Antigravity CLIは実行ファイルを同梱しており、「/codesearch」の裏側で使われる。
【参考リンク】
Google Antigravity（公式）（外部）
Googleのエージェント優先開発プラットフォームの公式サイト。2.0、CLI、SDK、IDEの4製品を提供している。ダウンロードも可能。
Antigravity CLI（製品ページ）（外部）
ターミナルからAntigravityのエージェントを操作する製品の紹介ページ。スラッシュコマンドや権限設定の概要を確認できる。
Antigravity Docs｜Installation & Auth（外部）
CLIの導入手順と認証方式を説明する公式ドキュメント。既定のアカウント認証と、APIキー認証の使い分けが記載されている。
Antigravity Docs｜Agents Command（外部）
スラッシュコマンド/agentsの操作方法と、カスタムエージェントを置くディレクトリの場所を説明する公式ドキュメントである。
Gemini API｜Antigravity Agent（外部）
Gemini API側からAntigravityのエージェントを呼び出す方法を解説した公式ドキュメント。サンドボックスの仕様も載る。
Pillar Security（外部）
AIアプリケーションのセキュリティを手がける企業の公式サイト。Antigravityの脆弱性を発見し、Googleへ報告した。
【参考記事】
An important update: Transitioning Gemini CLI to Antigravity CLI（外部）
Gemini CLIからAntigravity CLIへの移行を告知した公式ブログ。6月18日に個人向けの提供を終えると明記されている。
Introducing Custom Agents（外部）
8月12日の公式発表。既存ツールから移植しやすいようファイル規約を揃えたと述べ、実行方式における3つの差分を説明している。
Prompt Injection leads to RCE and Sandbox Escape in Antigravity（外部）
1月7日にGoogleへ報告し2月28日に修正、4月20日に公開という経緯と、fdへのフラグ注入からコード実行に至る手口を解説する。
Feature Request: Support Gemini API Key Authentication for Headless Environments（外部）
5月21日に提起されたIssue。cronやCI環境でAPIキー認証を使いたいという要望に対し、当時は未対応と回答されている。
Google Antigravity @ I/O 2026（外部）
5月19日の発表まとめ。Gemini Enterprise Agent Platform経由でのCloud顧客への提供開始などに触れている。
