AIエージェントのセキュリティ：権限、ツール、正当な非回答
このページは、AIエージェントのセキュリティを権限とツールの問題として明確化し、正当な非回答が弱点ではなくセキュリティ上の特性である理由を明示する。
AIエージェントは、単に応答するモデルではない。それは行動できるシステムである。ツールを呼び出し、ソースを読み、書き込み、操作を実行し、メモリを持続させ、意思決定を連鎖させることができる。この能力はリスクを変質させる。誤りは、もはや単なる誤った文ではなく、誤った行動になりうる。
解釈されるウェブにおいて、エージェントは異質なコンテンツ、ツール、権威のシグナルにさらされている。セキュリティは「インジェクションを避けること」に還元されない。それは、何が指示しうるのか、何が情報を与えうるのか、何が承認しうるのか、何が実行しうるのかを、エージェントがどのように区別するかにかかっている。
このページの位置づけ
このページは解釈上の明確化である。
このページは、内部的な読解の枠組みを定める。ここでは、エージェントのセキュリティを、権威の境界づけ、権限、回答を控える能力という観点から記述する。これは、ペネトレーションテストの手順でも、エクスプロイトのガイドでもない。
運用上の定義
AIエージェントのセキュリティ：エージェントが、自らの権威のペリメーター、明示的な権限、ガバナンスのルールを超える行動、ツール呼び出し、意思決定を実行することなく、開かれた環境（ウェブ、文書、ツール、システム）で動作できる能力。
権限：エージェントの実際のペリメーター
エージェントのリスクサーフェスは、その権限によって決まる。権限は技術的な細部ではなく、運用上の権威の宣言である。
明示的に安定させるべきもの：
- 読み取り：エージェントがどのソースを、どのような条件で参照できるか。
- 書き込み：エージェントがどこに（ファイル、CRM、CMS、チケット）、どのようなトレーサビリティを伴って書き込めるか。
- 実行：どのような行動（スクリプト、API、コマンド）が可能で、どのような安全装置が適用されるか。
- 持続：何を記憶し、統合し、暗黙のルールとして再利用してよいか。
ツール：行動の連鎖
ツール（API、コネクタ、ブラウザ、スクレイパー、自動化）は、決定的に重要な特性をもたらす。それらは、テキストの出力を現実の効果に変えるのである。したがって、安全なエージェントは次のものを境界づけなければならない。
- ツールが何を返し、それがどのように解釈されるか（データか指示か）
- エージェントがツールに何を要求する権利を持つか
- たとえ「有用」に見えても、ツール呼び出しが禁止されるのはいつか
正当な非回答：セキュリティ上の特性
エージェンティックな文脈では、「応答しない」ことが正しい決定でありうる。非回答が正当であるのは、応答または行動が次のことを意味する場合である。
- 付与されていない権限を推論すること
- 明示的な権威なしに行動を実行すること
- 正規でない、または検証されていないソースに基づいて解釈を固定すること
- 不確実性を意思決定に変えること（閉鎖効果）
この枠組みにおいて、非回答は欠陥ではない。それは、権威のドリフトを防ぐ制御の仕組みである。
エージェンティックな文脈における主要な脅威
- 指示とデータの混同：コンテンツやツールの出力が、指示であるかのように取り込まれる。
- 権限の昇格：エージェントが、自らのペリメーターを超えて（直接に、あるいは示唆によって）行動する。
- 過信されたツール：ツールが、境界づけも検証もないまま権威として扱われる。
- 有害なメモリ：誤ったルールやバイアスが持続し、再利用される。
シリーズの他の明確化との関係
- プロンプトインジェクション：権威への脅威と指示・データの混同
- 間接インジェクション：正当なタスクを通じた攻撃対象領域
- RAGポイズニング：コーパス汚染と解釈ドリフト
- インジェクション攻撃に対するQ-Layer：応答条件の境界設定
この明確化の範囲
このページは、人間による読解、自動化された合成、ゼロクリックの引用、相互に接続されたエージェントの連鎖に適用される。これは原則の明確化として解釈されなければならない。エージェンティックなシステムにおいて、セキュリティとは運用上の権威のガバナンス（権限、ツール、メモリ）であり、正当な非回答はその一部である。