信頼できるメンバーでも、AIには必要な権限だけを。

観測境界から開始する

セキュリティ レビューは、あたかも 1 つの管理されたシステムを指すかのように、「エージェント」という単語で始まることがよくあります。実際には、エージェントはモデル、クライアント、ローカル サーバー、リモート MCP サーバー、ブラウザ、およびアップストリームの認証情報を組み合わせることができます。プロキシは、エンドポイントに到達するリクエストを管理します。その境界は、具体的であるからこそ価値があるのです。

その外部にあるものを説明します。プロバイダーの直接呼び出し、管理対象外クライアント、ブラウザーのアクション、シェル コマンド、返されたツール結果のモデルプロバイダーの処理です。これにより、コントロールのレビューが誠実になり、補償コントロールが適切な所有者に送信されます。

例示的なシナリオ: 説得力のあるツールの結果

ルーティングされたツールが、コントロールを無効にするかデータを公開するようにモデルに指示する命令を含むドキュメントを返すと想像してください。プロキシは書き込み前に ID、ポリシー、承認を要求することができますが、すべてのコンテンツが信頼できるかどうかを判断することはできません。このシナリオは例示的なものであり、報告された侵害ではありません。

プロンプト インジェクション防御は、モデル、クライアント、アプリケーション、人間の承認パス全体に属します。プロキシを多層防御の 1 つのレイヤーとして扱い、危険なアクションに対する本番ゲートと不確実な結果を検査する方法を備えます。

セキュリティレビューチェックリスト

コントロールをリクエストとその結果にマッピングする証拠を求めます。

• 現在のメンバーシップまたは取り消しを含む、最終的な承認チェックで本人確認が行われていますか?
• アップストリームの認証情報の範囲は接続と対象者に限定され、同意はゲートウェイ ログインとは区別されますか?
• ツールとリソースのマッピングはレビューされ、バージョン管理され、適用範囲が不明な場合は拒否されますか?
• 機密書き込みは、正確な引数、スキーマ、ポリシー、有効期限、および使用回数に対して個別に承認されていますか?
• 監査記録は、不確実性を含め、ポリシーの結果と実行の結果を区別していますか?
• チームは、意図した展開に対するダイレクト パスおよびバイパス テストをデモンストレーションできますか?

Durinがサポートできること

Durinは、原則許可の認可チェックに加え、変更操作の事前確認・拒否、接続範囲の制限、監査記録に対応しています。試用ワークスペースでは、判定モデルを確認できます。Enterpriseの稼働率やサポート内容は個別の契約で定めます。公開情報だけで認証の取得やデータ保存地域を保証するものではありません。

この区別は、CISO レビューで役立ちます。つまり、意思決定モデルと証拠パスを評価し、本番パスの ID、プロバイダー、ネットワーク、保持、回復、運用証明を検証します。