AIへ任せる前に、権限と記録を整える

接続先・操作の許可・追跡できる記録を、実行する側から確認します。

この場面から考える

AIが外部資料を読み、ツールやサービスへ接続して作業するとき。

何を許可し、何を実際に調べ、何がまだ分からないかを分けて残します。

1 / 3
点検範囲を先に決める
対象・読み取る資料・利用するツールを選び、変更や外部送信を許可した範囲と分けます。
残す証拠
対象、許可した操作、資料不足で未確認となる範囲。
2 / 3
実行する側の制限を読む
外部の文章が接続先や権限を増やさず、実行側でも対象と操作を検証する仕組みを確認します。
残す証拠
ツール定義と実行時の確認箇所、対応する既存テスト。
3 / 3
観測と結論を分けて残す
秘密の値を含めず、実際に確認した範囲と根拠、未実施の点検を記録します。
残す証拠
対象・操作・結果を追える記録と、各結論の証拠参照。

正規のログインに見える大量取得を、後から調べられるようにしたいサービス。

許可された設定と伏せ字済みの記録例で、何が残るかを確認します。

資料を読んだAIが、外部ツールを通じてコードやクラウドへ操作できる環境。

接続先とツール定義を読み、読み取りと変更の許可を分けます。

アフラックは、通常の利用に似たアクセスを検知できず、大量照会への監視や制御も不足していたと公表しました。顧客約440万人の個人情報が漏えいし、そのうち約22万人には口座情報が含まれます。

Anthropicは、サイバー評価中にモデルが外部組織へ到達した3事案をまとめて公表しました。評価環境の通信設定に問題があり、弱い認証や実装上の穴が悪用されました。

選定した事例です。確度・未確認事項・出典は各詳細で確認できます。

ツールの実行権限: AIやCIが使うツールに許された接続先・対象・操作。文章中の依頼だけで権限を増やさないようにします。; 実行する側でも、対象と操作が許可範囲に入るか確かめますか。; この言葉に関係する点検へ →
操作を追う記録: 誰が、いつ、何を対象に、どの操作をしたかを追う記録。秘密の値や不要な個人情報は含めません。; 操作の流れを追えますか。記録自体の閲覧範囲も決めていますか。; この言葉に関係する点検へ →
秘密情報: APIキーや認証用トークンなど、持つことで操作や接続ができる値。点検記録には実値を残しません。; 値を開かずに、用途・対象・管理者を特定できますか。; この言葉に関係する点検へ →

AIへ資料を渡すことと、対象を調べて安全を確認することは別の段階です。

参照資料と確認日

OWASP: AI Agent Security Cheat Sheet ↗
Tool Security & Least Privilege; Input Validation & Prompt Injection Defense; Monitoring & Observability
OWASP: Logging Cheat Sheet ↗
Which events to log; Event attributes; Data to exclude

教材の確認 2026-11-12 · 事故カタログの確認 2026-11-09

このガイドの2ルールと点検例を、範囲を変えずに渡せます。証拠がない項目は未確認に残します。