この教本の使い方

本書の対象読者

この本は、LLMアプリケーションとエージェントを守る人のための教材です。AI製品のセキュリティレビュー担当者、セキュリティエンジニア、エージェントプラットフォームの開発者を主な読者としています。LLM APIで機能を作った経験（赤帯・LLM API開発者レベル）と、Webアプリケーションセキュリティの基本（認証と認可、XSS、SQLインジェクション、シークレット管理）があることを前提とします。その程度の背景があれば、この本だけでAIセキュリティの特技課程の全範囲を学べるように書きました。

この本は防御者の視点に立ちます。「どのような攻撃があるか」よりも、「どこにどのような統制を置けば被害を小さくできるか」を判断する力を養うことに集中します。攻撃手法は、攻撃を見分け、防ぎ、自分のシステムで試すために必要な範囲で説明します。実際に動作する攻撃文字列や、他の組織のシステムを狙う手順は掲載しません。レッドチームの実習も、常に許可を得た自分のシステムと架空のデータで行うよう案内します。

一般的なネットワークセキュリティ（ファイアウォール、侵入検知、ネットワーク分離）やモデル学習への攻撃研究（敵対的サンプルの生成、学習データの抽出研究）は深く扱いません。ただし、サプライチェーンやデータ汚染など、運用者が判断すべき点は実務レベルで扱います。

本書の構成

本文では、試験の5つの領域を1章ずつ扱います。第1章の脅威モデリングで地図を描き、第2章のプロンプトインジェクションで最大の脅威を分析し、第3章のデータ保護と権限で被害の範囲を縮める設計を学び、第4章の防御の検証とレッドチームでその設計が実際に機能するかを測り、第5章の運用セキュリティとインシデント対応で運用中の出来事を扱います。前の章の成果物が次の章の入力になるように、実習課題をつなげています。

すべての章は、同じ10の節で構成されています。「学習目標」と「はじめに」で方向を定め、「重要な概念」と「さらに深く」で本論とトレードオフを学び、2つの「実務の場面」で意思決定の過程をたどります。続いて「間違えやすいポイント」「ひと目でわかるまとめ」「公式ドキュメントで確認する」「セルフチェック」（解答は付録B）、30〜60分の「実習課題」があります。

付録Aは用語集、付録Bはセルフチェックの解答と解説、付録Cは試験当日のガイド、付録Dは本書が引用した公式文書の一覧です。初めて読むときは章の順に読み、2回目以降は「間違えやすいポイント」と「ひと目でわかるまとめ」を中心に復習してください。

試験の概要

AIセキュリティの特技審査では、35問を60分以内に解きます。問題ごとに配点があり、概念の確認や1つの原則の適用を問う問題は2点、複数の条件をあわせて考える分析型の問題は3点です。100点満点換算の得点（素点）が75点以上なら合格し、素点に応じて1〜9の等級も表示されます。無料の練習セットは10問・25分です。

最も配分が大きい領域はプロンプトインジェクションですが、実際の問題では複数の領域が組み合わされます。インジェクションの問題の正解が権限の縮小（第3章）であったり、レッドチームの問題の正解が脅威モデル（第1章）にあったりすることは珍しくありません。章ごとに暗記するよりも、「経路を見つけ、被害を減らし、効果を測り、運用する」という一連の流れとして理解してください。

問題はこのような形です

問題用紙は修能（韓国の大学入試）の問題冊子とOMR解答用紙に似ています。どの形式でも、答えは番号（①〜⑤）を1つ選びます。問題の作成形式は5つあり、問題用紙では次のように見えます。

問題の大半は、短い実務シナリオを示して判断を問います。場面には太字の条件が1つか2つ入っています。たとえば「リリース日程は変えられない」という条件があれば、数か月かかる再設計は、どれほど安全でも正解にはなりません。「コードで強制できる統制」を問うなら、システムプロンプトに文章を足す選択肢は除外します。分析型の問題は、条件を1つ変えると正解も変わるように作られているので、キーワードだけを見て選ぶと、もっともらしい誤答に行き着きます。選択肢を読むたびに「この措置は場面の条件をすべて満たすのか、それとも一部しか満たさないのか」を考える習慣をつけてください。

6週間の学習計画

1日1時間、週5日を基準にした計画です。実務経験が豊富なら、第1週と第2週を1週間にまとめてもかまいません。

表記と出典の方針

本書の標準・ベンダー・法令情報は、2026年10月20日に各公式ページで確認しました。基準となる版は、試験と同じOWASP Top 10 for LLM Applicationsの2025年版（2026年8月に順位を変更した2026年版が公開されており、対応表は第1章にあります）、OWASP Top 10 for Agentic Applicationsの2026年版（2025年12月公開）、MCP（Model Context Protocol）の2026-07-28版、韓国の個人情報保護法と同法施行令の2026年9月11日施行版です。製品名、設定画面、機能の範囲は変わることがあるため、実務に適用する前に各章の公式ドキュメントで確認してください。

表記の方針は次のとおりです。

1. 製品、API、パラメータ名は原表記を使います（tool_result、safety_identifier、Prompt Shields）。
2. 用語は初出時に日本語の説明を添え、その後は同じ言葉を使います。たとえばexcessive agencyは「過剰な代理権」に統一します。
3. ベンダー文書で確認できない機能、制限、価格は記載しません。未確認の内容は、特定のベンダーを指さない原則としてのみ説明します。
4. 法令は韓国の国家法令情報センターの現行条文を基準に引用します。本書の法令の説明は法律上の助言ではありません。実際の事故では、個人情報保護責任者と法務担当者の判断に従ってください。
5. 事例に登場する組織と人物はすべて架空です。