| ガードレール |
入力、ツール結果、ツール呼び出し、出力を検査し、止めたり修正したりする仕組み |
| マスキング（redaction） |
機密値を削除したり、アスタリスクなどに置き換えたりする処理 |
| 仮名化 |
追加情報なしでは特定の個人を識別できない形に変える処理 |
| 間接インジェクション |
モデルがユーザーの代わりに読む文書・Web・メール・ツール結果内の指示が動作を変えること |
| 監査ログ |
誰が、いつ、どこで、何をしたかを事故調査に使えるように残した記録 |
| 検索拡張生成（RAG） |
検索した文書断片をコンテキストに入れて回答させる方式 |
| 境界事例 |
攻撃に見える正常な依頼など、判定基準を試す評価事例 |
| 攻撃通過率 |
攻撃試行のうち、防御を通過して目標を達成した割合。攻撃成功率とも呼ぶ |
| 攻撃対象領域 |
外部からの信頼しない内容が、モデルやシステムに到達しうるすべての入口 |
| サプライチェーン |
モデル、重みファイル、アダプター、パッケージ、プラグイン、MCPサーバーなど、外部から導入する構成要素の経路 |
| 過剰な代理権 |
必要以上の機能・権限・自律性により、誤った出力が有害な行動につながる脆弱性。OWASP LLM06:2025 |
| 交戦規則 |
レッドチームの対象、環境、データ、許可・禁止行為、停止条件、報告体制の合意 |
| コンテキストをまたぐ漏洩 |
複数のユーザー集団が共有するストアから、ある集団のデータが別の集団へ出ること |
| 権限を認識する検索 |
検索段階で要求者の権限に合う文書だけを返す方式 |
| 回答の汚染 |
漏洩なしに推薦・要約・判断が攻撃者の意図に沿ってゆがむ被害 |
| データフロー図（DFD） |
外部エンティティ、処理、ストア、フロー、信頼境界でシステムを描いた図 |
| レッドチーム |
許可範囲で自分のシステムを意図的に攻撃し、欠陥を探す構造化された試験活動 |
| メモリ汚染 |
保存した要約、メモリ、インデックスを汚染し、後の判断をゆがめるリスク。OWASP ASI06 |
| モデル抽出 |
大量クエリの出力を集め、モデルの機能を複製しようとする試行 |
| 目標の乗っ取り |
外部コンテンツや偽造メッセージがエージェントの目標自体を変え、後の全段階を誘導するリスク。OWASP ASI01 |
| 無害性スクリーニング |
主モデルの前で軽量モデルに入力を分類させるパターン |
| 無制限な消費 |
統制されない推論要求でサービス拒否、金銭的損失、モデル窃取が生じるリスク。OWASP LLM10:2025 |
| 不適切な出力処理 |
画面、DB、シェルなどの次段階が解釈する前に、モデルの結果を検証・エンコードしない欠陥。OWASP LLM05:2025 |
| 分類器 |
ガードレールの判定エンジン。ルール、専用分類モデル、LLMスクリーニングがある |
| 人による確認（HITL） |
影響の大きい行動を、人の承認後にのみ実行する統制 |
| 状態ハンドル |
MCPサーバーが複数の呼び出しにまたがる状態を指すために発行する識別子。認証手段ではない |
| サーバーサイドリクエストフォージェリ（SSRF） |
サーバーが攻撃者の選んだURLに要求を送り、内部リソースへ到達する攻撃 |
| システムプロンプト漏洩 |
システムプロンプト内の秘密や統制ロジックが露出するリスク。OWASP LLM07:2025（2026年版はHidden Context Exposureに拡大） |
| 信頼境界 |
信頼水準の異なるデータや構成要素が出会う場所 |
| 連鎖的失敗 |
1つの欠陥がエージェントやパイプラインに沿って広がり、拡大するリスク。OWASP ASI08 |
| 誤遮断率 |
正常なリクエストのうち、防御が誤って止めた割合 |
| 完全仲介 |
下流へのすべての要求を、モデルではなく下位システムが毎回認可する原則 |
| リスク登録簿 |
脅威、経路、分類、決定、残余リスクと責任者、見直し条件を記録した表 |
| 残余リスク |
統制適用後も残るリスク |
| 埋め込みの逆変換 |
埋め込みベクトルから原文の相当部分を復元する攻撃 |
| 資産 |
被害を受けると組織が困るデータ、認証情報、アクション実行能力、リソース |
| ウォレット枯渇 |
従量制AIの費用を膨らませ、運営者に損失を与える攻撃 |
| 直接インジェクション |
アプリケーションのユーザー入力がモデルの動作を変えること |
| 遮断スイッチ |
事故時にツール、接続、機能、タスク単位で実行を停止する仕組み |
| 最小自律性 |
不要な場所にエージェントの自律性を置かない原則（Least-Agency） |
| カナリア |
漏洩判定のために評価セットに仕込む、一意の架空シークレット |
| ジェイルブレイク |
モデルに安全上の規約を無視させることを狙うプロンプトインジェクションの一形態 |
| トークンの透過的転送 |
受け取ったアクセストークンの対象が自分かを確認せず、下流APIに渡すアンチパターン（token passthrough）。MCP認可仕様は禁止する |
| トークン化 |
機密値を意味のない代替文字列に置き換え、対応表を別に保管する処理 |
| トリップワイヤー |
ガードレールが違反を検知したときに実行を止める信号（OpenAI Agents SDKの用語） |
| 判定モデル |
他のモデルの出力を採点するモデル（LLM採点者） |
| ペイロード分割 |
指示を分割し、各断片を無害に見せて含める手法 |
| ハンドオフ |
あるエージェントが別のエージェントに会話と仕事を渡す呼び出し（OpenAI Agents SDKの用語） |
| 混乱した代理人 |
権限のある中継者がだまされ、別の主体のために権限を使う問題（confused deputy） |
| 回帰評価 |
変更後に過去の事故・発見事例を再実行し、同じ欠陥がないか確認する評価 |
| サーキットブレーカー |
同じエラーが続くと一定期間その呼び出しを止め、連鎖を断つ仕組み |
| AI BOM |
モデル、データセット、アダプター、構成などAI構成要素の一覧。CycloneDX ML-BOMが形式の1つ |
| MCP |
アプリケーションがモデルにツールとデータを接続するオープンなプロトコル（Model Context Protocol） |
| MITRE ATLAS |
AIシステムを狙う攻撃者の戦術・手法・実例をまとめたMITREの公開資料 |
| NIST AI RMF |
2023年1月に公開されたNISTのAIリスク管理体系。4機能（Govern、Map、Measure、Manage）からなる |
| NIST AI 600-1 |
AI RMFの生成AIプロファイル。生成AI固有のリスクと推奨措置 |
| OWASP Agentic Top 10 |
エージェント固有のリスク10項目（ASI01〜ASI10）。2026年版 |
| OWASP LLM Top 10 |
LLMアプリケーションの主なリスク10項目。本書と試験は2025年版の番号を使い、2026年版との対応は第1章にある |
| Prompt Shields |
ユーザープロンプト攻撃と文書攻撃を検知するMicrosoftの分類サービス |
| safety_identifier |
ユーザー別の不正利用追跡のため、要求に付けるハッシュ化されたユーザー識別文字列（OpenAI） |
| safetensors |
pickleと異なり、テンソルを安全に保存するためのHugging Faceの保存形式 |
| SAIF |
GoogleのSecure AI Framework。6つの中核要素とリスクマップ |
| STRIDE |
Microsoftの脅威分類。Spoofing、Tampering、Repudiation、Information Disclosure、Denial of Service、Elevation of Privilegeの頭文字 |
| TOCTOU |
検査と使用の時点が異なり、その間の条件変化が反映されない問題 |