00:00
よく、「絶対にピンクの像を想像しないでください。」って言われると、逆に頭がピンクの像でいっぱいになりますよね。
実は、今、AIエージェントに、このファイルは読まないでって指示を出している人たちに、全く同じ悲劇が起きているんですよ。
ああ、はい。プロンプトで読まないでってお願いするのは、一番高くつく失敗と言えますね。
やっぱりそうですよね。
今回のディープダイブのミッションは、APIキーとかデータベースのパスワードが入った心臓部、その.envファイルをAIからどう確実に守るかです。
7つのAIツールの公式資料を元に検証していきますよ。
よろしくお願いします。先ほどのプロンプトの件ですが、AIの仕組み上、一度でもその秘密のファイルが読み込まれてしまうと、値が会話のコンテキストに完全に刻み込まれてしまうんです。
えっ、それってつまり、その後のやり取りのたびに毎回パスワードがモデルへ送信され続けるってことですか?
その通りです。毎ターンです。だから最初の1回でも見られたらもうアウトなんですよ。
それは怖いですね。だから、AIツールが動く前に、システムの設定として物理的にアクセスを遮断する必要があると。
リスナーのあなたも、プロンプトに書いたから大丈夫なんて油断して重要なパスワードを外部に垂れ流していませんか?
本当にそこは注意が必要ですね。そして、ツールごとの守り方の設計思想を理解していないと、設定しても全く意味がありません。
大きく分けると、まずはファイル名で弾くタイプがあるんですが。
クラブの好もてな用心棒みたいに、お前は入れないって名前で弾くわけですね。
ええ、まさにそんな感じです。例えば、オープンAIのコーデックスなんかは、特定のパターンに一致するファイル名を事前に拒否できます。
ただ、処理の無限ループを防いだりするために、システムが検索できる階層の深さには上限があるんですよね。
なるほど。ということは、ディレクトリの奥深く、例えば5階層くらい下に置かれたパスワードファイルだと、その用心棒が見落とす危険があるってことですか?
そうなんです。そこが抜け道になり得ます。
クロードコードの仕組みはもっと厄介で、直接ファイルを開くコマンドはブロックするんですが、ディレクトリの中身を一斉検索するようなコマンドを使われると、突破されかねないんです。
ちょっと待ってください。ファイル名を指定しなくても、中身のテキストで検索をかけられちゃうから、用心棒をスルーできちゃうってことですか?
はい、そういうことです。だから、OSレベルでファイルへのアクセス自体をサンドボックス化、つまり完全に隔離された箱の中で動かさないと防ぎきれません。さらに特殊なのが、ヘルメスエージェントなんですが。
特殊というと、何か変わった仕様があるんですか?
ええ、.envファイルへの読み込みはきっちり拒否するんですが、なんと書き込みは許可されているんです。
えっ、ちょっと待って。読めないのに書けるんですか?なぜ開発者はそんな危険な仕様にしたんでしょうか?機密ファイルに目隠しで書き込みさせるなんて、ちょっと意味がわかりません。
一見おかしいですよね。
でも、AIにゼロから環境構築をさせる場合を想像してみてください。
03:00
AI自身に新しいパスワードを作らせて設定ファイルに書き込むことは許可したいけど、すでに人間が書いた本番環境のパスワードは絶対に盗み見されたくないわけです。
ああ、なるほど。書けるけど読めないっていう一方通行の仕組みになっているわけですか。
でも、ファイル名でのブロックはコマンド次第で突破されるし、一方通行の書き込みもやっぱり不安が残りますよね。
そうですよね。だからこそ、そもそもAIのいる環境にパスワードを置かない、つまり別環境に丸ごと隔離するアプローチを取るツールもあるんです。これが環境隔離タイプですね。
用心棒がダメなら最初から無人島に隔離しちゃえってことですね。
マニュースやオープンクローンにはパス単位でファイルを拒否する機能自体がないんです。その代わり、タスクごとにまっさらな仮想マシンを立ち上げたりして、完全に物理的な境界線を引くんですよ。
じゃあ、機密ファイルは最初からその仮想マシンに持ち込まないことがもう唯一の防御策になるわけですね。
まさにその通りです。ジェンスパークに至っては、人間が手作業でAIへファイルを渡す操作そのものが境界線になっています。
ただ、開発者の利便性を優先して、この隔離をわざと甘くしているツールもあるので要注意です。
隔離が甘いって、例えばどんなツールですか?
例えば、Googleのアンチグラビティなんかは、デフォルト設定のままだとプロジェクト内の読み書きを確認なしで許可してしまうんですよ。
えぇ、セキュリティよりもAIがすぐ作業できるスピードを優先しているってことですか。
気づかずにデフォルトのまま使っていたら、プロジェクト全体が丸見えじゃないですか。
そうなんです。ツールが名前で弾くのか、環境ごと隔離するのか、設計思想によって守り方が全く違います。
だからこそ、プロンプトの指示は守りの数に入りません。
なるほど。まずはダミーの.envファイルを置いて、実際にAIにこれを読んでみてって依頼する実測テストが必要ですね。
自分の環境の抜け道を確認するために。
はい。それが一番確実な防衛策になりますね。
リスナーのあなたも、自分の使っているAIツールの境界線がどこにあるのか、きょうぜひ確かめてみてください。
最後に一つ、あなたに考えてみてほしいことがあります。
先ほどの読めないが書き込めるというAIの盲点の部分ですね。
はい、その通りです。もし悪意あるプログラムがAIを騙して、私たちが気づかないうちに重要なシステム設定を上書きする様子向けたらどうなるでしょう。
AI自身はそれを読み返せないので、自分がシステムを破壊したことにすら気づけません。
あなたのシステムの用心棒は、目隠しをしたまま爆弾を組み立てるこの見えない脅威を本当に防ぎ切れるでしょうか。
