QM

概要

QM（Quartermaster の略）は、Y Combinator の社内エージェントハーネスで、2026年7月31日に MIT ライセンスでオープンソース化されました。YC は自社の経理、法務、イベント、エンジニアリング業務全体でこれを運用しており、公開リポジトリ github.com/yc-software/qm は2か月以内に 15,000 スターを超えました。Hacker News でのローンチ投稿は 682 ポイント、163 件のコメントを集め、スレッドの大半は QM を OpenClaw、Hermes、Claude Cowork と比較する議論でした。

これらのツールと一線を画す設計上の選択は マルチプレイヤー です。OpenClaw は、1人のユーザーの Gateway 上で動く1人のためのエージェントです。QM は、すべての従業員にプライベートなエージェントワークスペースを提供する とともに、すべての Slack チャンネル、グループ DM、プロジェクトにそれぞれ専用の共有エージェントを提供します。各スコープはメモリ、ファイル、キーチェーンビュー、権限、cron、Web アプリ、永続的なサンドボックスを所有し、誰かが明示的に共有しない限り、リソースは所有するスコープ内にとどまります。その上位にある組織スコープが、デフォルト設定とポリシーの上限を定めます。

SaaS 製品ではありません。自社のクラウドアカウントで、自社のモデルキーを使って運用します。qm init は Fly.io または AWS（ECS Fargate と Lambda MicroVMs）を対象とするデプロイ用リポジトリを生成します。コアは Fastify 上の TypeScript で、セッション、メモリ、永続キューには Postgres を使用します。エージェントループ自体はプラグイン可能で、Pi、OpenCode、Codex、Claude Code のいずれも同じコアを駆動できます。そのため、モデルベンダーの切り替えは移行作業ではなく設定変更で済みます。

候補リストに入る理由

• 共有ボットトークンなしで共有エージェントを実現します。 チームがエージェントを「共有」する一般的な方法は、1組の認証情報を持つ1つの Slack ボットに全員が話しかけるというものです。QM は Slack のアイデンティティを QM のプリンシパルにマッピングするため、#legal-intake のエージェントはそのチャンネルの権限で動作し、あなたの DM 内のエージェントはあなたの権限で動作します。法務や財務のチームにとって、これはセキュリティ部門が承認できるパイロットと、承認できないパイロットの違いになります。
• バックグラウンド処理が第一級の機能です。 cron はカレンダーやポーリングのスケジュールに従ってプロンプトを再実行し、プロセスウォッチは長時間実行ジョブの結果を会話に報告し、インバウンド Webhook によって外部システムが検証済みイベントでターンを起動できます。これで重要な運用パターン（毎週のパイプライン健全性チェック、契約更新の監視、候補者サマリーを生成する ATS Webhook など）を、別の自動化ツールなしでカバーできます。
• スキルとアプリは共有可能な資産です。 スキルはスコープが所有する指示パッケージで、権限付与によって共有でき、組織全体に昇格させることができ、git からインポートすることもできます。アプリは、安定した URL、イミュータブルなバージョン、アクセス権限、ロールバックを備えた社内 Web アプリです。エージェントが受付フォームを構築し、それを必要とする人に公開することもできます。
• 承認ポリシーは管理者設定です。 Strict はすべてのツール呼び出しを一時停止して人間の承認を待ちます。Auto（デフォルト）はプライベートネットワークへのアクセスをブロックし、コンテンツをスクリーニングします。Dangerous はゲートを取り除きます。コマンドポリシーのルールはすべてのモードでハードな拒否として適用され、エージェントのアクションは監査ログに記録されます。MCP サーバーは共有コネクタとして登録され、QM はそのツールを公開する前に独自のスコープルールを適用します。

費用

ソフトウェアは $0 です。公開されたホスティング費用の見積もりはなく、月額を提示する人はあなたのワークロードについて推測しているにすぎません。請求は4つの項目で構成されます。Fly.io または AWS 上のクラウドコンピュートとマネージド Postgres、サンドボックスのバックエンド（E2B、Modal、Sprites、Smolmachines に対応）、プロバイダーから直接請求されるモデルのトークン、そして見落とされがちな項目として、アップグレード、アイデンティティ、バックアップ、アクセスレビューを担当するプラットフォームエンジニアです。リリース v0.1.13（2026年9月27日）で管理者向けの支出ダッシュボードと cron ごとのランタイム上書きが追加されたため、少なくともトークン支出は製品内から確認できるようになりました。

マネージド側と比較すると、Dust Pro のシートは年払いで月額 €24、Lindy Plus はユーザーあたり月額 $29.99、Claude Team のスタンダードシートは月額 $25 です。20 シートでは、超過料金を除いて月額およそ $500-$600 になります。QM が現金面で有利になるのは、こうしたシート費用がホスティング費用とエンジニアの時間の相当部分の合計を上回った場合に限られます。

最適な用途

• 少なくとも1人のプラットフォームエンジニアがいる、およそ 10-500 人規模のスタートアップで、すでに Slack 中心で業務を行っており、ソースシステムを第三者のエージェントクラウドに送ることなく、運用・法務・財務のスタッフに共有エージェントを使わせたい組織
• チャンネル単位のエージェント（ディールデスクのチャンネルエージェント、契約受付エージェントなど）に cron と Webhook を組み合わせて使う必要がある RevOps および Legal Ops チーム
• すでに個人向けに OpenClaw を運用しており、Gateway ごとに信頼境界が1つという制約に突き当たったチーム

代替ツールと、それを選ぶべき場合

• OpenClaw：エージェントが1人のためのものなら、こちらを選んでください。ノートPCや小規模な VPS 上の1つのデーモンは、QM のクラウドデプロイよりもはるかに運用負担が軽く、そもそも OpenClaw 自身のドキュメントが、チームで共有する Gateway は設計の想定外だと明言しています。
• Dust：調達部門がベンダーの連署を必要とする場合は、こちらを選んでください。Enterprise プランの SOC 2 Type II、SSO、US/EU のデータレジデンシー、DPA は、QM ではあなた自身が答えなければならない質問に答えてくれます。
• Claude Cowork と ChatGPT のビジネスプラン：多くの企業がすでにライセンスしているアシスタントであり、QM が比較対象とされる市場シェアのリーダーです。1つのモデルラボに標準化しており、インフラを所有する人がいない場合は、こちらを選んでください。
• Lindy：構築する人がエンジニアではなく、クラウドの請求よりもプール型のクレジットモデルのほうが予算化しやすい場合は、こちらを選んでください。
• QM 自体がこの分野で最も急成長している新規参入者で、2か月足らずで 15,000 スターを獲得しています。パイロットを行う理由であり、同時にリリースを固定する理由でもあります。

注意点

• プロジェクト自身が、初期段階の実験的なソフトウェアだと述べています。 SECURITY.md には、その設計目標は「データが漏洩しないことを約束するものではない」とあり、デプロイ固有のレビューの代わりにはならないと記されています。リリースはまだ 0.1.x の範囲で、毎週出荷されています。対策：デプロイ用リポジトリで @yc-software/qm のバージョンを固定し、アップグレードの前には必ず plan コマンドを使い、規制対象データを移す前に独自のセキュリティレビューを実施してください。
• 自社のオペレーターや管理者からは保護されません。 脅威モデルは、認証済みの社内ユーザーからなる1つの組織を前提としています。管理者は機密性の高いスコープのコンテンツを閲覧でき（監査はされますが、同意は求められません）、サンドボックスの認証情報は使用中は平文で保持されます。対策：オペレーターのロールは名前の決まった1〜2人に限定し、秘匿特権のある法務案件は別のデプロイに分け、管理者の監査ログを毎月レビューしてください。
• コマンドポリシーは減速帯であり、壁ではありません。 プロジェクト自身がそう明言しており、ブラウザのアクションはコアのゲートとエグレスプロキシを迂回します。対策：新しいスコープは Strict モードで、読み取り専用または下書き専用のスキルから始め、数週間レビュー済みの実行を重ねてから Auto に移行してください。
• ベンダーがいないということは、SLA もないということです。 YC Software がメンテナンスしていますが、公開されたサポートの約束はなく、コントリビューションはプルリクエストではなく書面による提案として求められています。対策：アップグレードのための時間を確保した担当者を指名して予算化してください。その担当者を指名できないなら、代わりに Dust か Cowork を購入してください。