AIエージェントのための 隔離された安全なインフラ設計

Transcript

1. AIエージェントのための 隔離された安全なインフラ設計 2026-10-09 第154回NearMe技術勉強会 Takuma KAKINOUE 0
2. AIにコマンドを実行を許可するリスク AIの影響範囲は与えた権限で決まるが、権限設定を一歩間違えると .. 想定されるリスク 他フォルダに対する誤変更 AIがコマンド実行 認証情報の読み取り・漏洩 DB・APIの意図しない操作 インフラ側で強く隔離を行う必要がある 01
3. Dockerだけでは不足する理由１ コンテナに渡した環境変数は、起動したプロセスから見えてしまう 同じdevコンテナの中 コマンド実行 AI agent 参照できる 起動したプロセス シェル・ Python 環境変数・起動引数 読める設定ファイル アクセス権のある情報は、コンテナ内から読み取れる場合がある ホストとの隔離だけでは、機密情報を完全に隠蔽し切るのは難しい 02
4. Dockerだけでは不足する理由２ DBや配車APIに対して自由にクエリを実行できてしまう 接続先と認証情報があれば、コンテナ内の誤操作も外部システムに届く Proxyで実行前に止める DB 登録済み SQLだけ許可 配車API --dryで全転送を拒否 アプリ側のモードに依存しない 許可外の要求を拒否 外部への操作を制限する Proxyが必要 認証情報と許可ルールを実行環境から分離し、 Proxyを迂回する経路も制限する
5. 開発コンテナと Proxyコンテナで分離する構成 DB・配車APIの認証情報を、 Proxy側へ分離する DB・API・SSH認証情報 Docker network DB devコンテナ AI agentが作業 Proxyコンテナ 上流認証・ SQL判定 配車API 図はアプリの通信経路 もちろん AIはProxyコンテナの中身は全く知らない（ア クセスできない） 03
6. ネットワーク通信を Proxyだけに限定 devからProxy以外への接続を遮断し、許可判定の迂回を防ぐ 許可する接続先 Proxyのみ 遮断する接続先 DB・ride-apiへの直接接続 その他すべての接続先 すべての外部要求に proxyの許可判定を適用
7. Proxyで操作を制限する 通してよい要求のみを受け付ける DB：SQLテンプレートを限定 SQL本文 ＋ params 登録済み SQLと 完全一致 一致のみ DB 不一致は 403で拒否 配車API：許可した query / mutation のみ通す query / mutation 許可リストで照合 （設計方針） 許可のみ 配車API 許可していない操作は拒否 04
8. Proxy側にもドライランを設ける理由 Proxy側でドライランの保証をする make run-prod-proxy ARGS="--dry" AIがプログラムを実行 --dry を付け忘れ Proxy --dry 転送前に強制遮断 × 配車API 送信しない アプリの指定に依存せず、 Proxy側で強く制限する 503 + PROXY_DRY_RUN：プログラム側も --dry で実行するよう案内 05
9. AIに与える権限を設計する 制御を重ねて、権限を小さく保つ Docker フォルダアクセスの制御 ＋ Proxy 認証情報の分離 DB・API操作の制御 フォルダアクセス、認証情報、 DB・API操作 に対する確実な制御の組み合わせ 06
10. Thank you 9