AIに任せる操作と、確認する操作を分ける

この記事の目次

対象と前提

コードの変更、調査、ブラウザ操作などをAIに任せる人向けです。AIエージェントは、結果を見ながらツールの利用を繰り返して作業する仕組みです。便利さと同時に、利用できるツールの権限が影響範囲を決めます。

プロンプトインジェクションは、読ませた文章などに含まれる指示によって、AIが本来の依頼と違う行動へ誘導される問題です。OWASPの説明にあるように、外部データも入口になります。

誤字を直す依頼で、任せる境界を決める

架空例です。すでに明確に許可した操作の確認を、毎回繰り返す必要はありません。

すべての操作で同じ確認を繰り返すより、任せる範囲と人が判断する境界を具体化します。

「削除しないで」という指示は有用ですが、削除権限そのものを外すこととは違います。保存先の権限、使えるツール、ネットワークの制限など、仕組み側でも範囲を狭めます。OWASPのExcessive Agencyは、過剰な機能・権限・自律性を分けて扱っています。

表がはみ出す場合は、横にスクロールして読めます。

読み取り専用でも、読める秘密を外へ送れるなら流出は起こり得ます。動作する範囲を隔離するサンドボックスでも、ファイルと通信の両方を考える必要があることは、Anthropicのサンドボックス解説でも説明されています。

分類：再現実験。 Invariant Labsの2025-05-26の報告は、外部Issueを読む通常の依頼から、非公開情報を公開PRへ出す流れを再現しています。攻撃文の転載や実行を、ここでの確認手順にはしません。

この実験は現在の全製品で同じように成功する証拠ではありません。学ぶ点は、読んだ文章を操作の許可として扱わず、情報を読む権限と公開する権限を分けることです。

「危ない操作を止めるフックを入れたから、秘密には触れないはず」。そう思っていても、文字列を検知する仕組みと、実際に読める権限は別です。フックは、実行前後の決まったタイミングで処理を確認する仕組みですが、見ている範囲には限界があります。

Tsukinekoの2026年10月18日公開の記事では、自作ガードが検知する呼び出し方と、別の方法で同じ情報へ触れる経路とのずれを確認しています。これは著者自身の検証報告です。実際の認証情報を読む手順を、ここで再現する必要はありません。

フックの検知と、実行できる権限を分ける

どちらも設定と検証が必要です。フックの成功だけで権限制限を確認したことにはなりません。

自分の環境では、まず「読んでよい練習用ファイル」と「触れてはいけないダミーの練習用ファイル」を分け、管理者が用意した検証環境で権限を確かめます。本物の秘密が入ったフォルダーを、抜け道の実験に使いません。フックが止めたという結果だけでなく、実行アカウントにどこまで権限があるかも確認します。

ガードの抜けを見つけても、AIへの指示を強くするだけで終えず、読める場所・使えるツール・送信先を必要な範囲へ狭めます。

表がはみ出す場合は、横にスクロールして読めます。