概要
AIエージェントの統制が「禁止リスト」になりがちなのは、判断の軸がひとつしかないからだ。使うか、使わないか。許すか、許さないか。
だが、実際のリスクは二次元で決まる。どんなデータを扱うか と、何をさせるか だ。公開情報の要約と、顧客の個人情報を外部APIに送るのでは、同じ「AIを使う」でもリスクが違う。ファイルを読むのと、シェルを実行するのでは、同じ「ツールを使う」でも危険度が違う。
この2軸で整理すると、禁止を「条件付きの許可」に分解できる。
2つの軸
データ区分
- 公開: すでに公開されている情報。マーケティング資料、公開ドキュメント、OSSのコード
- 社内: 社内限定だが、漏れても直ちに重大な損害にならない情報。議事録、設計メモ、社内Wiki
- 機密: 漏れると契約・信用・競争力に影響する情報。顧客情報、未公開の財務、ソースコード、NDA対象
- 制限: 漏れると法令違反や重大な被害になる情報。個人番号、医療情報、認証情報、決済情報
操作区分
- 読む・加工する: 要約、検索、分類、変換
- 書く: ファイル作成、コード変更、DB更新
- 外に送る: メール、Webhook、外部API、検索クエリへの埋め込み
- 実行する: シェル、クラウド操作、インフラ変更、不可逆な操作
マトリクスの例
これは出発点であり、組織の規程に合わせて調整する。
| データ区分 | 読む・加工 | 書く | 外に送る | 実行する |
|---|---|---|---|---|
| 公開 | 許可 | 許可 | 許可 | サンドボックス内で許可 |
| 社内 | 許可 | 作業ディレクトリ内のみ許可 | 承認 | 承認 |
| 機密 | ローカル／私設環境のみ | 承認＋出力先を限定 | 禁止（例外は二重承認） | 禁止（必要なら隔離環境） |
| 制限 | 人間のみ | 人間のみ | 禁止 | 禁止 |
ポイントは、「機密だから全部禁止」にしない ことだ。機密でも、ローカルモデルでの要約や、読取り専用の検索は許可できる。禁止するのは、外部送信や実行など、影響が大きい操作に絞る。
具体例
Web検索
- 公開情報の調査: 許可。ただし検索プロキシ経由（セキュア検索）
- 社内情報の調査: 許可ドメインを社内Wikiと公式ドキュメントに限定
- 機密情報の調査: 禁止。検索クエリに機密を混ぜる経路を塞ぐ
- 制限情報: 禁止
モデルの選択
- 公開: クラウドモデル可
- 社内: ZDR／学習オプトアウト済みのクラウド、またはローカル
- 機密: ローカルまたは私設デプロイのみ
- 制限: エージェントに渡さない。人間が直接扱う
MCP
- 公開: 読み取り専用のMCP可
- 社内: 許可リストのMCPのみ。書込みは承認
- 機密: 外部MCP禁止。ローカルの読み取り専用MCPのみ
- 制限: MCP禁止
コードエージェント
- 公開リポジトリ:
bash可。ただしサンドボックス内 - 社内リポジトリ: 読取り・編集可。
git pushと外部送信は承認 - 機密リポジトリ: ローカルモデル、ネットワーク遮断、出力先限定
- 認証情報: エージェントの環境に置かない。必要なら短命トークンを都度発行
実装に落とす
マトリクスは、文書だけでは機能しない。実行層に落とす必要がある。
- ハーネスの権限:
allow/ask/denyを、データ区分と操作区分に対応させる - ネットワーク: egressを許可リストに限定し、区分ごとにプロファイルを分ける
- 認証: トークンのスコープを操作に合わせる。読取り専用、書込み、外部送信を分ける
- 承認: 高リスク操作は、対象・引数・有効期限に紐づけた承認にする
- ログ: どの区分のデータを、どの操作で、どこへ送ったかを記録する
運用のコツ
分類を安くする
分類が面倒だと、現場はラベルを付けない。ファイルの場所、リポジトリ、プロジェクト、データベースの列など、既存の境界から自動的に分類 できるようにする。人間に毎回聞かない。
デフォルトを安全側にする
新規プロジェクトは「社内」から始める。公開するときは明示的に下げる。機密は明示的に上げる。何もしないと安全側 が原則だ。
例外を速くする
全部を審査すると、現場は迂回する。低リスクの例外は自動承認、高リスクだけ人間が見る。例外の履歴は、ポリシー改善の材料になる（守れないルールは守られない）。
定期的に見直す
モデル、ツール、データの置き場所は変わる。四半期ごとにマトリクスを見直し、実際のログと突き合わせる。使われていない禁止項目は、形骸化している可能性がある。
まとめ
「使うか使わないか」の二択をやめ、データ区分×操作リスク で考える。公開情報の要約は許可し、機密の外部送信は禁止する。同じAIでも、条件によって許可の形を変える。これが、AIの能力を殺さずにリスクを下げる一番現実的な方法だ。
関連ノート
参考資料
- OWASP: AI Agent Security Cheat Sheet（Data Classification and Handling）（確認日: 2026-11-02）
- NIST: AI Risk Management Framework (AI RMF 1.0)（確認日: 2026-11-02）
- OWASP: MCP Security Cheat Sheet（確認日: 2026-11-02）