⬜ 7/30（木）15:00-15:30 🟨 日本電気 「導入で終わらない AI 活用へ ～成功事例から学ぶ AX 推進の勘所～」 ✏️ NEC と Google Cloud が提供する、セキュアかつデータの AI Ready 化を実現する基盤の全体像をご紹介いただきます！ #GoogleCloudNext🗼#

🟧 Expo - Developer Gemini Enterprise Agent Ready / GEAR（EX41） AI エージェントを開発、運用できる人材の育成を支援する、無料のメンバーシップ プログラム「GEAR」。新規登録された方には、Google Cloud のグッズをプレゼントしています。 #GoogleCloudNext🗼#

# AIエージェントをソフトウェアに組み込むプラクティス # 読取自由・書込ゲート 🎯 「全ツール呼び出しに承認を求める」設計は、承認疲れで自壊します。 読取と書込を非対称に扱うだけで、安全性と生産性の両立が実現できます。承認すべき操作に人間の注意を集中させましょう。 🔥 解決する課題 エージェントのツール呼び出しには副作用のある操作とない操作が混在しています。すべてに一律の承認を求めると、読取が大半を占める実運用では承認疲れが発生し、肝心の書込操作の承認が形骸化してしまいます。かといってすべてを自由にすれば、不可逆な書込操作で取り返しのつかない変更が走るリスクが残ります。 💡 提案パターン ツール呼び出しを「読取（検索・取得・参照）」と「書込（作成・更新・削除・送信）」に二分し、読取は自由に許可、書込にだけ認可・検証・承認・監査のゲートを設けます。R/W分類はツール定義時に静的に付与し、LLMの判断には委ねません。書込ゲートの厳格度は可逆性で段階化し、不可逆操作（メール送信・決済）は人間承認必須、可逆操作（下書き保存）はポリシー検証のみとします。これにより承認疲れを劇的に減らしつつ、副作用の安全性を維持できます。 ✅ 選定条件 使うとき： - 読取と書込が混在し、読取が多数を占める - 不可逆な書込操作（メール送信、決済、本番DB変更）が含まれる - 承認疲れを防ぎ、人間のレビュー帯域を高リスク操作に集中させたい 使わないとき： - 読取自体が機密データへのアクセスを含む場合（個人情報検索など）は、読取にも認可が必要 - 全操作が読取専用で書込がそもそも存在しない場合 - 実験環境で全操作が可逆かつ低コストな場合 ⚠️ 落とし穴 - R/W分類をLLMに任せてはいけません。インジェクションで書込ツールが「読取」と判断される経路を作ります - 「読取だが副作用がある」操作（API呼び出し回数カウント、閲覧履歴記録など）を見落とさないでください - 可逆な書込と不可逆な書込を同じ厳格度にすると、承認疲れの問題が再発します 🔧 実装方針 - ツール定義時にtype（read/write）とgate種別（none/auto/human_approval）を静的に付与し、実行時にLLMが分類を変更できない構造にします - 読取パスではメタデータのみをログに記録し、書込パスでは入力検証・ゲート判定・実行・監査ログの全量記録をパイプラインとして実装します - 書込ゲートの厳格度をreversibleフラグで段階化し、不可逆操作にはdry-runの前段必須化も組み合わせます - ゲート判定ロジックはゲートウェイ層のコードで強制し、プロンプトによる制御は一切使用しません #AIエージェント# #ソフトウェアアーキテクチャ#

# AIエージェントをソフトウェアに組み込むプラクティス # ツールゲートウェイ・MCP仲介 🎯 エージェントのツール呼び出し、全部「野良API」になっていませんか？ AIエージェントが複数のツールやMCPサーバを直接呼び出す構成は、認可漏れ・二重実行・監査不能の温床です。単一のゲートウェイを挟むだけで、セキュリティの一貫性が劇的に変わります。 🔥 解決する課題 エージェントが外部ツールを直接叩く構成では、認可・レート制限・ログがツールごとにバラバラになります。プロンプトインジェクションで悪意ある引数が混入しても個別ツール側では弾けず、権限昇格や意図しない操作が起きえます。さらに呼び出しログが分散し、「誰の権限で・なぜこのツールが呼ばれたか」の事後追跡コストが跳ね上がります。 💡 提案パターン 全ツール呼び出しを単一のゲートウェイ層に集約し、認可・入力サニタイズ・レート制限・監査ログを一元管理します。タスク種別やユーザ権限に応じてツールを動的にスコーピングし、LLMに不要なツールを見せない設計にします。書込系ツールには操作単位の細粒度認可とHITL承認を、読取系にはカテゴリ単位の緩い認可を適用する非対称ポリシーが鍵です。ツールの追加・削除もゲートウェイの設定変更だけで完結し、エージェント本体のコード変更は不要になります。 ✅ 選定条件 使うとき： - エージェントが複数ツールを呼び出し、少なくとも一つが副作用を持つ - ユーザ入力や外部データがツール引数に含まれうる（input_trustが低い） - 「どのツールが・どの引数で・誰の権限で呼ばれたか」の説明義務がある 使わないとき： - ツールが1つだけかつ読み取り専用で、ゲートウェイのオーバーヘッドが見合わない - 全ツールが社内信頼済みの実験環境で、まずプロトタイプ速度を優先したい ⚠️ 落とし穴 - ゲートウェイ自体が単一障害点になります。ヘルスチェックと縮退モード（読取のみ許可など）の設計が必須です - 認可やサニタイズをプロンプトで行ってはいけません。「このツールは使わないで」はインジェクションで迂回されます - レート制限はセッション単位だけでは不十分です。大量セッション攻撃に備え、グローバル単位との二層で設けましょう 🔧 実装方針 - ゲートウェイのポリシーをYAML等の宣言的定義で管理し、ツールごとにtype（read/write）・認可粒度・レート制限・サニタイズ・ログレベルを設定します - タスク種別・ユーザ権限・会話フェーズに応じてLLMに露出するツールを動的にスコーピングし、不要なツールを選択肢から除外します - ヘルスチェックと縮退モード（読取のみ許可）を設け、ゲートウェイ障害時にもシステム全体が停止しない設計にします - MCPサーバ間のスキーマ不統一をゲートウェイ層で正規化し、エージェントには一貫したインターフェースを提供します - 高リスクなコード実行はサンドボックスへルーティングし、長時間セッションには短命の権限リースで権限範囲を時間制限します #AIエージェント# #ソフトウェアアーキテクチャ#

AIエージェントをエンタープライズシステムに組み込むプラクティス 【信頼境界の二層分離（Trust Boundary Split）】 💡 ポイント 「社内向けエージェントと顧客向けエージェント、同じスタックで動かしていませんか？それ、情報漏洩の時限爆弾です。」 従業員向けと顧客向けでは信頼レベル・データ境界・失敗コストが根本的に異なります。同一設計で済ませると、顧客経路から内部情報が漏れる最悪のシナリオが現実になります。 🔥 解決する課題 - 顧客向けエージェント経由での内部情報漏洩（最も致命的なリスク） - 敵対的入力（ジェイルブレイク・間接プロンプトインジェクション）による暴走 - 従業員向けの「緩い前提」を顧客向けにそのまま適用してしまう設計事故 - 顧客向け障害がブランド毀損・法的責任に直結する不可逆リスク 🏗️ 提案パターン 従業員向けと顧客向けを物理的/論理的に分離した二層のプレーンとして設計します。従業員向けは社内IdP（Okta/Entra）でSSO認証し、社内データに広くアクセスできます。一方、顧客向けエージェントはDMZ相当の隔離環境に配置し、内部データは「公開可能と明示したread model（投影）」のみ参照可能にします。顧客向けの出力にはDLP（データ漏洩防止）検査を必須通過させ、ガードレールも格段に厳格にします。オーケストレーション基盤やモデルゲートウェイは共有してもよいですが、データ到達経路は必ず分離します。 ✅ 選定条件 - 採用する場合：顧客と従業員の両方がエージェントを利用する。B2C/B2B両面を持つ企業。顧客接点と社内業務が同一基盤を共有しようとしている。 - 採用しない場合：純粋に社内専用の用途のみ（過剰な分離はコスト増になります）。 ⚠️ 落とし穴 - 「オーケストレーション基盤を共有しているから大丈夫」と思い込み、データ到達経路まで共有してしまうケース。基盤の共有とデータ経路の分離は両立が必要です。 - 顧客向けガードレールの設計を後回しにすると、本番稼働後に重大インシデントが発生します。ジェイルブレイク検知・トピック制限・拒否方針は初期設計に含めてください。 - 監査ログの設計で顧客識別子とPIIの保持期間管理を怠ると、コンプライアンス違反に繋がります。 🛠️ 実装方針 - まずネットワークセグメンテーションで顧客向けプレーンを隔離します。VPC/サブネット分離で顧客向けエージェントをDMZ相当の環境に配置し、内部ネットワークへの直接到達を遮断します。 - 顧客向けプレーンが参照するデータをCQRSのread model（公開可能データの投影）として構築します。内部DBへの直接アクセスではなく、公開可能と明示したデータのみを投影するビューを用意します。 - DLP（データ漏洩防止）検査パイプラインを顧客向け出力経路に設置します。全出力を通過させ、内部由来情報のリークを検知・ブロックします。 - 顧客向けプレーンにガードレールポリシーを配備します。ジェイルブレイク検知・トピック制限・トーン制御・拒否方針を含む、従業員向けより格段に厳格なポリシーセットを適用します。 - 認証基盤を分離します。従業員向けは社内IdP（Okta/Entra ID）でSSO、顧客向けは顧客IdP（Auth0/CIAM）を使い、認証経路を完全に分けます。 #AIエージェント# #エンタープライズアーキテクチャ#

AIエージェントをエンタープライズシステムに組み込むプラクティス 【信頼境界の二層分離（Trust Boundary Split）】 💡 「社内向けエージェントと顧客向けエージェント、同じスタックで動かしていませんか？それ、情報漏洩の時限爆弾です。」 従業員向けと顧客向けでは信頼レベル・データ境界・失敗コストが根本的に異なります。同一設計で済ませると、顧客経路から内部情報が漏れる最悪のシナリオが現実になります。 🔥 解決する課題 - 顧客向けエージェント経由での内部情報漏洩（最も致命的なリスク） - 敵対的入力（ジェイルブレイク・間接プロンプトインジェクション）による暴走 - 従業員向けの「緩い前提」を顧客向けにそのまま適用してしまう設計事故 - 顧客向け障害がブランド毀損・法的責任に直結する不可逆リスク 🏗️ 提案パターン 従業員向けと顧客向けを物理的/論理的に分離した二層のプレーンとして設計します。従業員向けは社内IdP（Okta/Entra）でSSO認証し、社内データに広くアクセスできます。一方、顧客向けエージェントはDMZ相当の隔離環境に配置し、内部データは「公開可能と明示したread model（投影）」のみ参照可能にします。顧客向けの出力にはDLP（データ漏洩防止）検査を必須通過させ、ガードレールも格段に厳格にします。オーケストレーション基盤やモデルゲートウェイは共有してもよいですが、データ到達経路は必ず分離します。 ✅ 選定条件 - 採用する場合：顧客と従業員の両方がエージェントを利用する。B2C/B2B両面を持つ企業。顧客接点と社内業務が同一基盤を共有しようとしている。 - 採用しない場合：純粋に社内専用の用途のみ（過剰な分離はコスト増になります）。 ⚠️ 落とし穴 - 「オーケストレーション基盤を共有しているから大丈夫」と思い込み、データ到達経路まで共有してしまうケース。基盤の共有とデータ経路の分離は両立が必要です。 - 顧客向けガードレールの設計を後回しにすると、本番稼働後に重大インシデントが発生します。ジェイルブレイク検知・トピック制限・拒否方針は初期設計に含めてください。 - 監査ログの設計で顧客識別子とPIIの保持期間管理を怠ると、コンプライアンス違反に繋がります。 🛠️ 実装方針 - まずネットワークセグメンテーションで顧客向けプレーンを隔離します。VPC/サブネット分離で顧客向けエージェントをDMZ相当の環境に配置し、内部ネットワークへの直接到達を遮断します。 - 顧客向けプレーンが参照するデータをCQRSのread model（公開可能データの投影）として構築します。内部DBへの直接アクセスではなく、公開可能と明示したデータのみを投影するビューを用意します。 - DLP（データ漏洩防止）検査パイプラインを顧客向け出力経路に設置します。全出力を通過させ、内部由来情報のリークを検知・ブロックします。 - 顧客向けプレーンにガードレールポリシーを配備します。ジェイルブレイク検知・トピック制限・トーン制御・拒否方針を含む、従業員向けより格段に厳格なポリシーセットを適用します。 - 認証基盤を分離します。従業員向けは社内IdP（Okta/Entra ID）でSSO、顧客向けは顧客IdP（Auth0/CIAM）を使い、認証経路を完全に分けます。 #AIエージェント# #エンタープライズアーキテクチャ#