2026 年 5 月 21 日、Composio は自社システムから約 5,241 件の API キーと 5,001 件の GitHub OAuth トークン、さらに Jira、Slack、HubSpot、Linear、Notion、Google Calendar、Gmail のトークンが少数ずつ攻撃者に持ち出されたことを公表しました。初期の侵入経路は、Composio 従業員 1 名の Gmail OAuth トークン 1 件の侵害です。攻撃者はそこから受信トレイにアクセスし、マジックリンクのサインインメールを傍受できる状態になりました。
これがこのスタックの論拠のすべてであり、その刃は両側に向きます。影響範囲を決めるのはモデルではなく認証情報です。ブローカーはそのリスクを 1 か所に集約します。ブローカーが侵害された日には不利ですが、それ以外のすべての日には有利です。集約されたリスクだけが、棚卸しし、スコープを絞り、失効させられる唯一のリスクだからです。多くのオペレーションチームが現在動かしている代替案のほうが悪い状態です。18 か月前に誰かがワークフローに貼り付けたパーソナルアクセストークンが残り、その本人はすでに別のチームに移っていて、そのトークンがどこまで届くのかの記録は存在しません。
このスタックが強制するルールは 1 つです。トークンを保持するシステムと、その書き込みを許可するか決めるシステムは、別であること。
各パーツの組み合わせ方
- Composio がブローカーです。 OAuth フローを実行し、トークンを保管・更新し、約 1,000 のインテグレーションにわたってアプリを呼び出し可能なツールとして公開します。Sessions 経由のホスト型 MCP エンドポイントもあり、Claude Desktop や Cursor が直接接続できます。エージェントのコードが認証情報に触れることはありません。効いてくる単位は 1 回 $0.0003 のツールコールで、この価格はこのセグメントで 2 桁安い認証済みコールです。
- Tines は実行と監査のレイヤーであり、このスタックを説明可能にしている構成要素です。 計画はモデルが立ててかまいませんが、実行するのはバージョン管理された Tines の story であり、すべてのステップが監査人に提出できる記録に残ります。Tines ではプラットフォーム内部に MCP サーバーを構築でき、プロバイダー側でスコープを交渉し直さずに、あるモデルが触れてよい範囲を絞れます。承認ゲートが置かれるのもここです。
- n8n は大量処理とスケジュール実行のレイヤーです。 Tines はエンタープライズ製品の課金体系ですが、n8n は年間契約で月額 50 ユーロ、10,000 実行、しかもステップ単位ではなく実行単位の課金です。夜間同期、バックフィル、そして大量かつ影響の小さい処理はここに置き、対話型エージェントが持つ認証情報ではなく専用の認証情報で動かします。
- Slack は承認の窓口であり、警報の受け口です。 ゲートは、人がふだん働いている場所で見えて初めて機能します。失効の通知も、人が見ている場所に届いて初めて役に立ちます。
名前のついた受け渡し
- エージェントが Salesforce を必要と判断する → Salesforce ではなく Composio のツールを呼ぶ。 Composio が接続済みアカウントを解決し、サーバー側でトークンを注入して実行し、ツールコールを 1 件計上します。エージェントは認証情報を一度も保持しておらず、再利用もできません。
- コールが書き込みスコープを伴う → 実行者は Composio ではなく Tines になる。 読み取りはブローカーをそのまま通ります。書き込みは Tines の story に引き渡されるため、CRM を変更するものは実行時にモデルが生成したものではなく、バージョン管理され記録された処理になります。
- Tines の story が承認ゲートに到達する → 変更対象のレコードとフィールド値を添えて、提案された書き込みを Slack に投稿する。 人が承認または却下し、その判断は処理と同じ監査記録に書き込まれます。
- スケジュールされたジョブが発火する → n8n が別の接続済みアカウントで実行する。 そのアカウントには専用のスコープだけを与えます。夜間エンリッチメント用の認証情報が侵害されても、メール送信も契約書の操作もできません。そのスコープを一度も付与していないからです。
- 四半期ごとに CRM エージェントアクセス監査 が書き込みスコープを持つ接続をすべて列挙し、名前のついた責任者と突き合わせます。所有者のないものは Composio 側で失効させ、それによってすべての経路で一斉に無効になります。
この組み合わせを選ぶ理由
保管と権限を分離するからです。Composio は「誰がトークンを保持しているか」に答えます。Tines は「この書き込みを誰が許可したか」に答えます。これは別々の問いであり、両者を 1 つのツールに畳み込んだスタック — 自前で認証情報を保管する自動化プラットフォームや、.env ファイルを持つエージェントフレームワーク — は、事後に 2 つ目の問いに答えられません。
二次的な理由はメーターです。Composio のコール単価は十分に低く、本来ならエージェントに直接やらせるような読み取りまで含めて、すべてをそこに通せます。例外を作りたくなるほどコール単価の高いブローカーには例外が生まれ、その例外が侵害の入り口になります。
Composio か Arcade かの分岐
このスタックの本当の判断はどちらのブローカーを選ぶかであり、2 社は正反対のアーキテクチャを採っています。
Composio はプラットフォーム単位の接続を保持します。 売りは幅で、Arcade.dev の自社製 MCP サーバー約 80 本に対して約 1,000 のインテグレーションを、ツールコールあたり $0.0003 で提供します。
Arcade.dev はコール時点でユーザー単位の OAuth をブローカーします。 エージェントは、リクエストを出した特定のエンドユーザーとして、そのユーザーが許可したスコープの範囲内で動作します。つまり使われるトークンは 1 本のプラットフォームキーではなく、そのユーザーのものです。課金は 2 つのイベントに分かれ、プラットフォーム料金が月額 $25、auth event が 1 件 $0.10、ツールコールが 1 件 $0.01 で、無料枠は各 2,000 件です。Enterprise では VPC またはエアギャップ環境へのデプロイ、SSO、RBAC、監査ログ、プライベートレジストリへのアクセスが加わります。Arcade は 2026 年 6 月に 6,000 万ドルのシリーズ A（SYN Ventures がリード、Morgan Stanley と Wipro が参加、累計 7,200 万ドル）を調達し、2026 年 8 月 5 日に MCP レジストリ Smithery を買収しました。
選び方： 監査要件が「この書き込みをどの人間が承認したかを証明する」ことなら、Arcade を買い、コールあたり 33 倍のプレミアムを払ってください。トークンがプラットフォームのものである以上、Composio はこの問いに答えられません。要件が、まだ誰も MCP サーバーを書いていないアプリまで含めた幅と量であれば、Composio を買い、帰属の立証は Tines の監査記録に負わせてください。両方を並行運用してはいけません。ブローカーが 2 つあるということは、トークンの保管場所が 2 つ、失効手順が 2 つあるということです。
コストの実像
10 人のオペレーションチーム、月あたり約 500,000 ツールコール、対話型エージェント 1 つとスケジュールジョブ数本の場合：
- Composio Pro — 月額 $29（$29 の利用クレジット込み）、超過分はツールコールあたり $0.0003。この量なら月 150 ドル前後、年間 1,800 ドル近くです。
- Tines — 無料版より上の有料価格は非公開です。Vendr が 2026 年 2 月までの 62 件の購入を追跡したデータでは、中央値が年間 $52,228、レンジは $26,750 から $157,499、小規模チームの帯はおおむね $18K〜$36K です。年間 30,000 ドル近くを下限として見積もってください。
- n8n Pro — 年間契約で月額 50 ユーロ、およそ年間 600 ユーロ。セルフホストの Community Edition は、自分で運用するなら無料です。
- Slack — すでに請求書に載っています。このために買い直さないでください。
年間およそ $32K〜$40K で、その 90% 超を Tines が占めます。 この 1 行が判断そのものです。あなたは監査記録に年間 3 万ドル前後を払っています。SOC 2 監査も、規制対象データも、誰が書き込みを承認したのかという取締役会からの問いも存在せず、誰もそれを求めていないのなら、誠実な構成は Composio と n8n だけの年間 2,500 ドル未満で、証跡は監査証跡ではなく実行ログである、と受け入れることです。
隠れたコストは 2 つです。プロバイダーごとに自前の OAuth クライアントを登録すること（作業 1 日分であり、失効をサポートチケットではなく自分たちの操作にするための条件）と、次の侵害公表のあとではなくローンチ前にローテーション手順書を書くことです。
置き換えのバリエーションと判断基準
- 帰属が要件になったら Composio を Arcade に置き換える。 引き金は、セキュリティレビューや DPA に現れる具体的な一文です。書き込みは名前のある人間に帰属できなければならない、という要求です。ユーザー単位の OAuth は構造的にこれに答えますが、プラットフォームキーは決して答えられません。
- 予算がおよそ 5,000 ドルを下回るなら Tines を外し n8n 単体で回す。 承認ゲートは残ります（n8n にもあります）が、監査記録とプラットフォーム内 MCP スコープ制御は失われます。判断基準は、書き込みが可逆かどうかです。可逆でないなら Tines を残します。実務上それは、契約書、オファー、請求書、そして顧客の目に触れるすべてを意味します。
- トークンが自社インフラから出せないなら n8n Community をセルフホストする。 データレジデンシーや一部のセキュリティレビューは、第三者ブローカーを完全に排除します。その場合、ブローカーを買って外したはずの認証保守を自分で引き受けることになります。これは一度きりのコストではなく恒久的な項目です。
- すでに Zapier を契約しており、量が月 1,000 コール程度までなら、ブローカーの代わりに Zapier MCP を使う。 すべてのプランに含まれており、MCP コール 1 件が 2 タスクを消費します。月額 $69 の Team プランならコールあたり約 $0.069 です。500 コールなら妥当ですが、500,000 コールでは擁護できません。
このスタックが置き換えないもの
- AI ポリシーではありません。 どのエージェントがどのシステムに触れてよいかという決定を執行しますが、その決定自体は下しません。まずルールを文章にしてください — RevOps チームのための AI ポリシーを参照。
- エージェント自身のアイデンティティ基盤ではありません。 エージェントに企業 ID を発行し、条件付きアクセスを適用し、支出上限を設けるのは別物で、はるかに大きな買い物です。それは enterprise AI rollout stack の領域です。
- エージェントを構築するものではありません。 常時稼働のエージェントを初めて立ち上げる少人数チームは、まず AI agent ops stack を、そして重要なシステムへの書き込みが発生した段階でこちらを検討してください。
- エージェントの答えを正しくするものではありません。 スコープ制御とログは、誤答が及ぼす被害を抑えます。誤答の頻度は下げません。
- 自社インフラのシークレット管理ではありません。 Composio が仲介するのは第三者 SaaS のトークンです。データベースのパスワードや署名鍵は今ある場所に残ります。
注意点と、それぞれのガード
- ブローカーはあなたのトークンを保持しており、このブローカーは実際に侵害されています。 ガード： プロバイダーごとに自前の OAuth クライアントを登録し、失効を自分で実行できる操作にする（サポートに依頼する手続きにしない）。GitHub、Salesforce、PII や契約書を保持するリポジトリへの書き込みスコープは Free と Pro のプランから外す。書き込み可能な接続は Enterprise の KMS プロキシ経由にする。そしてローテーション手順書をローンチ前に一度リハーサルする。
- trigger event はツールコールの 10 倍で課金されます — $0.003 対 $0.0003。 流量の多い受信トレイに対するポーリング型のトリガーは、エージェントがそのイベントに反応するかどうかに関係なく課金されます。ガード： ポーリングよりも webhook を選び、Pro プランの支出制御を最初のトリガーを本番投入する前に設定してください。最初の請求書が来てからでは遅すぎます。
- Arcade は、自社が公開先とするレジストリを所有するようになりました。 Smithery のカタログは、その下のランタイムを販売する企業の管理下にあり、さらに Arcade は自社の MCP 品質ベンチマークも運営しています。ガード： バージョンを固定したサーバーの許可リストを自分たちで持ち、実行時に公開カタログから解決するのではなく、そこからインストールしてください。これはレジストリの所有者が誰であっても必要なサプライチェーン衛生です。
- Tines の無料版はパイロットになりません。 ライブワークフロー 3 本と一度きりの $50 の AI 枠は、エージェントが絡むとすぐに尽きます。ガード： 半端な 3 本ではなく、承認ゲートと監査エクスポートまで含めて 1 本を最後まで通す形に試用範囲を絞ってください。
- Tines は有料価格を公開していないため、最初の見積もりは交渉の出発点にすぎません。 ガード： 交渉前に Torq か Swimlane の書面見積もりを取ってください。Vendr のデータでは、初回見積もりから平均 17% の削減が出ています。
- すべての書き込みに承認ゲートを置くと、どこにも承認ゲートがないのと同じになります。 1 日 40 件の承認依頼を見るレビュアーは、やがて読まなくなります。ガード： コール単位ではなくスコープの種別でゲートしてください。可逆なフィールド更新は自動承認し、送信・署名・支払い・削除を伴うものだけを止めます。
適合ルール
適している条件： 従業員がおよそ 20〜500 人、少なくとも 1 つのエージェントがすでに記録システムに書き込んでおり、エージェントを作っているチームが 2 つ以上ある。closed-won の商談を変更したのはどのエージェントかと誰かが尋ねたとき、答えが推測ではなく記録である — その最初の 1 回で、このスタックは価格分の働きをします。
適さない条件： インテグレーションが 5 つ未満で、本当に重要な 3 つのアプリに直接 API クライアントを書くほうがブローカーより手間が少ない場合。エージェントの書き込みがすべて人間起点かつ可逆で、実行ログで足りる場合。あるいはすでに enterprise AI rollout stack を購入している場合で、そのアイデンティティ層とガバナンス層はここでの大半を重複してカバーし、コストは 1 桁上です。
1 つだけやるなら： 今ある構成に対して CRM エージェントアクセス監査 を実行してください。多くのチームは終わる前に、所有者のない書き込みスコープ付きトークンを見つけます。それを失効させるコストはゼロです。