ツールは、文章を現実の結果へ変える境界です。

何が危険なのか

通常のアプリケーションでは、関数の引数は自分たちが書いたコードから来ます。AIエージェントでは、ツールの引数を組み立てるモデルが、Webページ、メール、PDF、RAG、ツール出力に含まれる信頼できない文章から影響を受けます。

ツール境界を、信頼境界として扱う。
型、範囲、宛先、データ分類、許可された操作は、プロンプトではなくツール側で検証します。

TH-01のプロンプトインジェクションは侵入口です。過剰な権限を持つツールが呼び出されたとき、TH-02のツール悪用として実害に変わります。MCPサーバーやプラグインがすり替わる場合は、TH-07のサプライチェーン侵害が同じ境界へ到達します。

実装するコントロール

1. ツールレジストリと許可リスト

CT-04は、各ツールの所有者、スキーマ、バージョン、リスククラス、ネットワーク・ファイル・金銭・コード実行能力を記録します。拒否リストではなく、名指ししたものだけを許可するポジティブモデルを使います。

2. 最小権限と入力検証

CT-05とREQ-011は、ツールができることと、個々の呼び出しで依頼できることを別々に縮小します。書き込み先のディレクトリ、送信先、上限金額、利用できるAPI操作を、ツール実装側で制約します。

3. サンドボックスと外向き通信の制限

CT-06とREQ-012は、コード実行、ブラウザ、ファイル操作を、本番環境・資格情報・無制限ネットワークから分離します。ネットワークは宣言がない限り閉じ、外向き通信は許可した宛先だけに限定します。

4. 具体的な効果を示す承認ゲート

CT-08とREQ-015が求めるのは、「エージェントが送信したいと言っています」という意図の承認ではありません。差分またはペイロード、宛先、行使する特権、データ分類、ロールバック条件を示し、その具体的な効果を人が判断できることです。

5. MCPのバージョン固定と定義ハッシュ

REQ-050は、MCPサーバーを審査済み許可リストから選び、バージョンとツール定義を固定・ハッシュ化し、変更時に使用を止めて再レビューすることを求めます。これにより、レビュー後のラグプルを「静かなすり替え」ではなく「検知できるハッシュ不一致」に変えます。

確認可能な要件へ変える