AIエージェントによるレガシーシステムアクセスを制約する3層の契約モデルに関する技術白書を公開しました

AIエージェントがレガシーデータベースや業務システムを利用する際に、入力契約、実行制約、出力契約がどのような防御効果を持つかを整理した技術白書「capability.yamlにおける入力契約・実行制約・出力契約の防御効果」を公開しました。

本白書では、受理するパラメータを定義するparams、読取専用・タイムアウト・最大行数・最大バイト数などを定めるpolicy、外部へ返却できるフィールドを限定するresultの3層を個別に評価しています。

契約を設けない方式、入力検証のみ、実行制約のみ、出力allow-listのみ、それぞれを組み合わせた方式を、18種類の決定論的なシナリオで比較しました。過大な取得要求、インジェクションを意識した入力、長時間クエリ、意図しない機密列、SELECT *への変更、データベースのスキーマ拡張、読取専用設定下での書込試行などを対象としています。

評価では、3層を組み合わせた構成が比較対象の中で最も広い範囲のシナリオを制約しました。さらに、ケイパビリティ単位の認可と最小権限のデータベースアカウントを組み合わせることが、より強い多層防御につながると結論づけています。

一方で、許可済みフィールド内に含まれる機密情報、行単位のアクセス制御、反復呼出しによる負荷、設定不備、オンプレミスエージェントのホスト侵害などは、3層の契約だけでは解決できません。本白書は、これらの限界を前提として、AIエージェントにデータベースそのものではなく、狭く定義された業務ケイパビリティを公開する設計を技術的に検討するものです。

詳細は研究ページをご覧ください。