検証した主張
「AIの操作リスクは、指示文だけでなく、接続先と実行側の権限・認可・承認で制限する。」
発見元は調査の入口であり、判定の根拠には使用していません。認証、認可、承認は三つの別の確認
ログインできたことは認証です。その利用者が、対象の情報を読んだり変更したりしてよいかが認可です。ある送信や公開の対象・内容を人が確認することは、その操作への承認です。これらを一つの「許可」にまとめると、確認漏れが生まれます。
OWASPのREST Securityは各APIエンドポイントでのアクセス制御を扱います。UIでボタンが隠れることや、AIが「その操作はしません」と答えることだけを、実行側の認可の代わりにはしません。
架空の問い合わせ担当AIを、最小の仕事から始める
架空の窓口でAIに依頼するのが分類と下書きだけなら、問い合わせ見本の読取と下書き作成から始めます。返信送信、顧客台帳の全件取得、返金、管理者追加は別の機能として扱います。読取専用でも、取得内容を別サービスへ送れるなら漏えいの経路は残ります。
OWASPのExcessive Agencyは機能・権限・自律性の行き過ぎを区別します。編集部は「できること」「触れる範囲」「人へ戻す条件」を一枚に書くことを提案します。承認済みの行為でも、対象や本文が変わったら再確認する設計が必要です。
| 作業 | 許可の見本 | 人へ戻す見本 |
|---|---|---|
| 分類 | 練習用資料だけを読取 | 判断材料不足・対象外 |
| 下書き | 下書き用領域だけに作成 | 宛先や添付が未確定 |
| 外部送信 | 送信先と本文を別途承認 | 承認後に内容が変化 |
| 削除・公開 | 必要性と対象を個別に確認 | 復元不能・想定外の対象 |
Web・メール・ログの文章は、仕事の発注者ではない
OWASPは外部ページやファイルを経由する間接型プロンプトインジェクションを扱っています。架空のメールに予定外の操作を求める文が混じっていても、それは利用者が依頼した作業とは別の入力です。本文の指示で、秘密情報の取得や送信先の変更を許可しない設計を考えます。
指示の検出、データの構造化、ガードレールは対策の一部ですが、完全な防止の保証ではありません。許可しない操作を実行側で拒否できるか、外部への送信を制限できるか、失敗時に止まるかを、自分が管理する試験環境で確認します。
秘密のキーを台帳やプロンプトへ載せない
資格情報は権限を行使するためのものです。キーそのものを公開コード、記事、指示文、スクリーンショットへ置かず、参照先と管理責任者を記録します。OpenAIの開発文書でも、サンドボックスに渡した値は生成コードから読める前提で分離を考える必要があります。
APIの利用制限、期限、失効経路、必要な操作範囲を確認します。特定製品で細かく設定できるとは限らないため、できない制御は「未対応」と記録して利用範囲を狭める判断につなげます。
導入前の合格条件を先に決める
編集部の試験案は、許可外の対象を拒否すること、外部文の指示で目的が変わらないこと、拒否・中断で送信されないこと、承認対象が変わると再確認になること、必要な履歴が残ることです。実際の製品を試験した結果ではありません。
この点検は性能評価と別です。返答が賢くても権限が広すぎる構成は残りますし、制限が強くても誤回答は起こり得ます。成果の正しさと実行範囲の安全性をそれぞれ確認してください。
検証条件・対象環境
| 対象プラン | 一般的な点検方法。ログ・権限設定の利用可否は製品と契約で異なる |
|---|---|
| 地域 | 個別の法令適合性は判断しない |
| 利用面 | AIサービス / SaaS・API・外部連携 |
| 提供状態 | 特定の製品機能の提供開始ではない。自分が管理・利用を許可された対象だけを点検する。 |
| 実機確認 | 2026年10月14日に一次資料の本文を確認。資料の公表日は情報源欄へ別記。侵入試験・製品の安全評価・読者のログ調査・復旧は実施していない。例と点検表は架空の編集部案。 |
| 次回見直し | 2026.10.28 |
更新履歴
公式資料とAI運用への編集部の応用を区別し、架空例・確認項目・判断できない場合の対応を追加。実機未検証。
情報源
一次情報と発見元を区別し、各ページの公開日と確認日を記録しています。
- LLM06:2025 Excessive Agency
不要な機能・権限・自律性と、下流での認可・人の確認を参照。
公開: 2025版（ページの更新日明示なし）確認: 2026.10.14 - LLM01:2025 Prompt Injection
外部資料を経由する指示の混入と多層の緩和策。完全防御の保証ではない。
公開: 2025版（ページの更新日明示なし）確認: 2026.10.14 - REST Security Cheat Sheet
エンドポイント単位の認可、APIキーだけに依存しない保護、管理用入口・監査ログを確認。
公開: 現行Web文書（更新日明示なし）確認: 2026.10.14 - Sandbox security
実行環境、通信、資格情報の分離。Agents API開発者向けで、一般のChatGPT画面の設定手順ではない。
公開: 現行Web文書（更新日明示なし）確認: 2026.10.14