セーフティガードレール＆バリデーションレイヤー

お客様のAIアプリケーションは、わずか1回の不正な出力で訴訟に発展するリスクを孕んでいます。エア・カナダのチャットボットは社内規定に反する忌引運賃の払い戻しを約束し、カナダの裁判所は航空会社の法的責任を認めました。シボレー販売店のチャットボットは、プロンプトインジェクション攻撃を受け、タホを1ドルで販売することに同意しました。DPDの配送ボットはジェイルブレイク（脱獄）されて暴言を吐くようになり、24時間で800,000回の閲覧数を記録しました。

これらは仮定の話ではありません。適切な安全レイヤーを備えずにAIをリリースした企業で実際に発生した本番環境のインシデントです。「デモで動く」と「本番環境で安全である」の間のギャップこそが、大半のAI導入が頓挫する原因であり、私たちの安全インフラストラクチャが解消するために設計されているギャップです。

本番環境のガードレールが実際にどのような構造を持つか

本番向けガードレールスタックは単一のツールではありません。他の層が見落としたものを各層が捕捉し、単一レイヤーの障害がシステム全体を破綻させることのない階層型アーキテクチャです。私たちのアプローチは、これらのスタックを5つの独立した層から設計・構築することです。

入力スクリーニング

プロンプトインジェクション検知には、正規表現ではなくファインチューニングされた分類器を使用します。最高のオープンソース検知器でもF1スコアは約0.91にとどまりますが、本番グレードの検知には新たな攻撃パターンに対する継続的な再学習が不可欠です。私たちはハイブリッド検知を展開します。信頼できない入力に対しては高速分類器が高スループットのスキャンを処理し、判断が不確実なケースは推論ベースのLLMバックストップにルーティングされます。カナリートークン監視により、両方の層をすり抜けたインジェクション試行を捕捉します（詳細は 敵対的AI防御に関する当社の研究を参照）。

コンテンツ分類

安全性分類器は、設定可能なタクソノミに基づいて入力と出力を評価します。Llama Guard 3、ShieldGemma、Qwen3Guardは、それぞれ異なる精度プロファイルで異なるリスクカテゴリーをカバーしています。2025〜2026年のベンチマークから得られた重要な知見として： Llama Guardは無害な入力に対して97〜99%の精度を達成するものの、敵対的コンテンツはわずか4.5〜21.8%しか検知できません。

総合で最高の性能を示したQwen3Guard-8B（85.3%）であっても、公開データセットに由来しない未知のプロンプトに対しては33.8%まで低下します。既製の分類器はベースラインにすぎず、完全な防御にはなり得ません。私たちは、お客様固有の脅威モデルに基づいてこれらを選定、統合、拡張します。

ポリシー適用

ランタイムルールは、AIが発言、確約、あるいは実行できる内容を制約します。これこそがエア・カナダとシボレーの失敗が生じた領域です。モデルは契約上の確約や価格決定を含むあらゆる出力を生成可能であり、生成とユーザーの間には何も介在していませんでした。

私たちのアプローチでは、出力がダウンストリームの利用者に届く前に、すべての出力をビジネスルールに照らして評価するように設計された決定論的ポリシーエンジンを実装します（詳細は 確率的モデルを決定論的アーキテクチャでラップすることに関する当社の技術ホワイトペーパーを参照）。価格の確約、法的文言、認可スコープ、データ開示境界は、プロンプトの指示ではなく、それぞれ機械的に評価可能なルールとして定義されます。

出力バリデーション

このレイヤーは、PII（個人を特定できる情報）の墨消し（秘匿化）、有害性フィルタリング、事実の一貫性チェック、ドメイン固有の制約検証をカバーします。PII検知は階層化が重要である理由を如実に示しています。正規表現ベースの検知は約65%の再現率にとどまり、機密データの最大35%を漏洩させます。NER（固有表現認識）ベースの検知は標準的なエンティティに対して94〜96%のF1スコアを達成しますが、新規のフォーマットや敵対的な難読化には対処できません。

私たちは、構造化パターン（クレジットカード番号、SSN、電話番号）を処理する正規表現と、コンテキスト依存のエンティティ（氏名、住所、自由形式の識別子）を捕捉するMLモデルの双方を実行し、お客様の誤検知許容度に合わせてキャリブレーションします。

エージェント型AIの安全性

ツールを使用したり、コードを実行したり、APIを呼び出したりするAIシステムにおいて、出力フィルタリングだけでは不十分です。ガードレールは実行後ではなく、実行前に介入しなければなりません。私たちのアプローチは、何らかのアクションがトリガーされる前に、ツール呼び出し、パラメータ値、実行計画を検査するよう設計された計画段階のバリデーションを構築することです（詳細は エンタープライズAI法的責任ガードレールの実稼働デモを参照）。リスク階層化承認により、低リスクのアクションは自動的に通過し、中リスクのアクションはロギング用にフラグ付けされ、データベース書き込み、金融取引、外部通信などの高リスクな操作には人間による承認が義務付けられます。

誰も語らない誤検知（偽陽性）問題

安全性分類器を重ねることは、数学的な計算をするまでは優れたエンジニアリングのように思えます。仮に各ガードが90%の精度を達成しており、それらを5つ実行した場合、所定のリクエストに対して5つすべてが正解である確率は59%まで低下します。これは、正当なリクエストの41%が誤ってフラグ付けされることを意味します。ユーザーはシステムを信頼しなくなり、サポートチームはエスカレーションに忙殺され、安全性への投資はUX上の負債へと変貌します。

私たちのアプローチは、力任せの積み重ねではなく、階層型アーキテクチャを通じてこれを解決します。高速なルールベースチェック（マイクロ秒単位のレイテンシ）が明白な違反を処理します。ML分類器（50〜200ms）がニュアンスを含むコンテンツを処理します。LLM-as-a-judge（秒単位）は、より安価なレイヤーでは解決できない曖昧なエッジケースのみを処理します。

各レイヤーにはキャリブレーションされた信頼度閾値が設定されており、前のレイヤーの信頼度がその閾値を下回った場合にのみ、リクエストはより高コストなレイヤーへとエスカレーションされます。この設計により、真正な脅威に対する高い検知率を維持しながら、リクエストの90%以上においてガードレール全体のオーバーヘッドを200ms未満に抑えます。

既製のガードレールが必要条件であっても十分条件ではない理由

ガードレール市場は、オープンソースフレームワーク、マネージドプラットフォーム、クラウドプロバイダーの機能へと細分化されています。それぞれがパズルのピースの1つを解決しますが、エンドツーエンドで解決できるものは存在しません。

2026年の本番運用チームでは、同一システム内で会話管理にNeMo Guardrailsを、出力バリデーションにGuardrails AIを実行するのが一般的です。その統合はカスタム開発となります。クラウドプロバイダーは強力なベースラインのカバレッジを提供しますが、ドメイン固有のポリシーに対するカスタマイズ性には限界があります。

フロンティアモデル全体で単純な画像変換を通じて攻撃が75〜82%の成功率を達成しているにもかかわらず、マルチモーダルガードレール（画像、音声、動画の入力）のツール環境はほとんど整備されていません。プラットフォームが提供するものと本番環境の安全性が要求するものの間にあるギャップこそ、私たちが取り組む支援内容です。

現実味を帯びる規制圧力と、未整備の標準規格

EU AI法の高リスク規制条項は、 2026年8月2日に完全施行されます。CEN/CENELEC JTC 21は高リスクAIシステムにおける「適切なリスク緩和」の意味を定義する整合技術規格を策定中ですが、当初の2025年8月の期限に間に合わず、現在は2026年第4四半期を目標としています。コンプライアンスの判断基準となる規格は、いまだ存在していません。

NIST AI RMF 1.0および生成AIプロファイル（AI-600-1）は、コンテンツフィルターを含むガードレールを想定される管理策として規定しています。OWASPのLLMアプリケーション向けTop 10（2025年版）には、システムプロンプトの漏洩とベクトル／埋め込みの脆弱性が新たなカテゴリーとして追加され、大半のエンタープライズセキュリティチームがいまだ対策を講じていない脅威を反映しています。

安全アーキテクチャの構築にあたって最終的な規格を待つ組織は、猶予期間のないまま期限に追われることになります。私たちは、現行の規制枠組みに対して抗弁可能であり、ドラフト段階にある規格にも適応可能なガードレールアーキテクチャを設計します（詳細は エンタープライズAIエージェント向け法的責任ファイアウォールに関する当社の研究を参照）。

私たちの提供内容

すべてのプロジェクトは、貴社のアプリケーション、データ、規制上のエクスポージャーに特化した脅威モデルから始まります。私たちはプラットフォームを販売するわけではありません。私たちのアプローチは、貴社のレイテンシバジェット、誤検知許容度、コンプライアンス要件に合わせて、ベストオブブリードのツール（オープンソースおよびマネージド）を一貫したスタックへと統合するよう設計されたガードレールアーキテクチャを構築することです。

支援内容には以下が含まれます：

• レイヤーごとに測定されたレイテンシバジェットを備えた階層型ガードレールアーキテクチャ。
• ハイブリッド検知（分類器＋LLMバックストップ＋カナリー監視）によるプロンプトインジェクション防御。
• 貴社のエンティティタイプと誤検知許容度に合わせてキャリブレーションされたPII墨消しパイプライン。
• 一般的なテンプレートではなく、貴社のビジネス上の制約から導出されたポリシー適用ルール。
• ツール使用、コード実行、API呼び出しのためのエージェント型AI安全管理策。
• 最新の攻撃手法（PAIR、GCG、間接的インジェクション、マルチモーダルインジェクション）を用いて各レイヤーの回避を試みる敵対的テストスイート。
• ドリフト検知、分類器の劣化アラート、インシデントトリガーによる再学習パイプラインを備えたガードレール可観測性。
• EU AI法、NIST AI RMF、OWASP LLM Top 10の管理策への規制マッピング。

私たちはまた、率直な評価も提供します。すなわち、既存のプラットフォームガードレールですでにカバーされているリスク、カスタム開発が必要なギャップ、そして上に安全レイヤーを重ねるのではなく、上流のアーキテクチャ変更（データガバナンス、モデル選定、アクセス制御）によってより適切に対処できる脅威を明確にします。