AIエージェントセキュリティ・フィールドマニュアル

AIエージェントセキュリティ・フィールドマニュアル

1. 自律システムの脅威・コントロール・検証可能な保証

前書き

1. 本書の対象読者
2. 本書の読み方
3. スコープと誠実さについての注記

エージェントセキュリティという問題

1. モデルが行動できるようになると何が変わるか
2. なぜ既存のセキュリティモデルは必要だが十分ではないのか
3. 攻撃者の4つの前提
4. 本書が貫くチェーン
5. 「良い状態」とはどのようなものか

脅威分類

1. なぜ分類が必要か、そしてどう使うか
2. 10の脅威クラス
3. 分類をシステムとして読む

コントロール分類

1. 脅威から対抗手段のカタログへ
2. 4つのハードニングサーフェス
3. 15のコントロール領域
4. カタログを一貫させる4つの原則

アイデンティティと権限

1. ログが答えるべき問い
2. エージェントのアイデンティティは人間のアイデンティティとは別物である
3. ワークロードアイデンティティ — 短寿命かつスコープ限定
4. 委譲された権限はスコープ限定・時間制限付き・監査可能でなければならない
5. 委譲先は親と同等以上のスコープを決して持たない
6. 委譲チェーンを貫く相関ID
7. これが何をもたらすか、そして次に来るもの

ツールとアクションの安全性

1. 一段落が結果に変わる場所
2. ツールレジストリと許可リスト
3. スコープ最小化と入力検証
4. サンドボックス化と実行の分離
5. 意図ではなく権限を確認する承認ゲート
6. MCP: エージェントが暗黙的に信頼するサプライチェーン
7. EMA と MCP Gateway パターン
8. MCP と EMA の設定チェックリスト

信頼できないコンテンツ・RAG・メモリ

1. 境界のないチャネル
2. 来歴・信頼メタデータ・TTL
3. RAGポイズニング: 設計上信頼される、それこそが問題である
4. メモリ書き込みは特権的かつ可逆的である
5. 第一級の能力としてのロールバック
6. 3つをまとめる

モニタリング・評価・インシデント対応

1. エージェントが稼働して初めて存在するもの
2. エピソードを再構成できるロギング
3. モニタリングとフィード統合
4. 常設リグレッションとしての評価
5. ロールバック演習
6. エージェントのインシデント対応
7. 濫用の経路：エージェントが武器になるとき

ランタイムセキュリティポスチャ

1. 知ることと直すことの間の空白
2. 二重ループ設計
3. ポスチャステートマシン
4. トリガークラスとその SLA
5. キルスイッチときめ細かな取り消し
6. ポリシーバージョンの紐付け、シグナルキュー、リコンシリエーション

要件仕様

1. なぜコントロールは要件にならなければならないのか
2. RFC 2119 を誠実に使う
3. スコープ
4. アイデンティティと委譲 (TH-05, TH-06)
5. ツールとアクションの安全性 (TH-02, TH-07)
6. 信頼できないコンテンツ・RAG・メモリ (TH-01, TH-03, TH-04)
7. モニタリング・評価・インシデント対応（一般。TH-09、TH-10 の悪用）
8. ランタイムセキュリティポスチャ（一般）
9. ガバナンスとコンプライアンス（一般）
10. 表全体をどう読むか

検証とテスト

1. SHALL を合格/不合格に変える
2. 4つの検証手法
3. 要件からテストへのマッピング
4. 運用ルール
5. ゲートではなくリグレッション
6. コンパニオンキットと署名付き成果物

ガバナンスとコンプライアンス

1. 技術的コントロールが前提としている説明責任
2. ガバナンスレコード
3. 役割と責任
4. リスクアセスメントとレビューの記録
5. 高リスク判定と人間による監督
6. 生きた成果物としてのガバナンス

コンパニオンキットについて

付録A — 相互参照表

1. マスタートレーサビリティ表（TH → CT → REQ → VT）
2. 要件から脅威への索引（REQ → TH）
3. コントロールから章への索引（CT → 扱われる箇所）

付録B — ソースレジスタ（出典一覧）

1. 一次出典
2. 二次シグナル
3. カバレッジとギャップに関する注記

変更履歴と正誤表

1. 改訂履歴
2. 正誤表プロセス
3. 引き継がれる既知の事項