AIエージェントのセキュリティ：権限・MCP・監査ログ

まず確認する3つの境界

AIエージェントのセキュリティは、モデルの出力だけでなく、外部情報の読み込み、利用できるツール、認証情報、実行先APIまで含めて考えます。ログを署名しても、不適切な操作を防げるとは限りません。

単一のツール操作を評価するための設計チェック
リスク	予防・制限の例	確認する証拠と限界
権限過多	必要な操作・対象だけを許可し、読み取りと書き込みを分ける。	実行主体、委任元、適用ポリシーと変更履歴。設定の存在だけでは全経路への適用は証明できない。
プロンプトインジェクション	外部入力を未信頼のデータとして扱い、機密情報と強い操作権限を必要以上に与えない。	入力の参照、提案操作、拒否・承認の記録。拒否記録だけで攻撃耐性全体を判定しない。
承認後の対象・引数変更	承認を具体的な操作内容と有効期間に結び付け、実行直前に再確認する。	承認内容と実際の要求の対応。モデルの「承認済み」という自己申告は承認証拠の代わりにならない。
記録経路の迂回	直接APIを呼べる鍵・ネットワーク経路・OS権限を確認する。	許可経路と拒否された直接呼び出しの試験。確認していない別経路まで保証しない。
タイムアウトと重複操作	実行先が提供する照会・重複抑止の仕組みを確認し、無条件に再送しない。	試行ごとのID、送信・受理・結果の記録。応答がない場合は「結果不明」を残す。

これはVSOによる説明用の確認表です。完全な脅威モデルや、本番環境のセキュリティ評価を代替しません。

MCPはツール接続の仕組みであり、接続しただけでツールの安全性が確認されるわけではありません。MCP公式のセキュリティ指針（2025-11-25版）を参照し、接続形態に合わせて確認します。

このガイドはVSO製品のMCP対応・適合認証を示すものではありません。

以下は説明用の合成シナリオで、実行試験の結果ではありません。エージェントが顧客レコードの住所更新を提案し、対象と新しい値を確認して承認を得たとします。

この流れを設計しただけでは、ゲート外の操作を防いだ証明にはなりません。具体的な記録例はAIエージェント監査ログのガイドで扱います。

機密のプロンプト・個人情報・認証情報を、そのままログや問い合わせへ貼り付けないでください。必要な項目、参照先、閲覧者、保持期間を先に決めます。

本ページは説明資料であり、規範要件の追加や製品保証ではありません。実験的拡張は未採択、第三者による独立再現は未成立です。自社CI・合成データでの確認は、独立した第三者の新規実行や本番適合とは区別します。

対象操作・現在の権限・残る記録・困っている確認事項をまとめて、VSOへ相談してください。最初の問い合わせに秘密情報や生ログを含める必要はありません。