完全対応が1つ、部分対応が9つで、誤魔化しはありません。10項目すべてに完全対応と主張するページがあれば、それこそ私たちが信用するなと言っているマーケティングそのものです。以下のカバレッジレベルは、それを崩すことを仕事とする別の懐疑的な検証者による審査を経ています。防御機構が基盤には存在していても、実際に展開されたエージェントがまだそれを継承していない場合は、該当行にその旨を明記しています。
| リスク | カバレッジ | CIRISによる対応 |
|---|---|---|
| ASI01 エージェント目標のハイジャック | 部分対応 | 多層防御: インポートされたスキルやメッセージに対するプロンプトインジェクションスキャン、視覚インジェクションの分離(コンシェンス評価器は生の画像バイトを一切見ません)、そして実行前にすべての結果的アクションをユーザーの本来の意図と再照合するコンシェンスパイプライン。課題: 入力スキャンはパターンベースであり、取得したデータと命令を形式的に分離していません。 |
| ASI02 ツールの誤用 | 部分対応 | CIRISServerは、操作が実行される前にチェックされる、サーバー側で強制される禁止リスト付きの能力動詞の許可/拒否リストを備えており、委任されたエージェントが許可されていない破壊的操作を呼び出すことはできません。注意点: これは現時点ではファブリック層を保護するものであり、展開されたエージェント自身のLLMツール呼び出しはまだゲートしていません。エージェントへの継承は計画中のフェーズです。 |
| ASI03 アイデンティティおよび権限の悪用 | 部分対応 | 基盤に組み込まれた、範囲限定・委任可能・取り消し可能な権限: 署名されたエッジに含まれる制約、最高権限の再委任を防ぐ禁止リストによって権限がエスカレートしないようにする仕組み、承認は制限方向のみという原則、そして即時取り消し。注意点: 現時点ではファブリックのオーナー操作面で強制されており、展開されたエージェントへの継承は計画中のフェーズです。 |
| ASI04 エージェント型サプライチェーン | 部分対応 | CIRISVerifyの耐量子署名付きモジュールマニフェスト(ファイルツリー全体のハッシュに対するEd25519 + ML-DSA-65)によるビルド完全性、加えて連合構成要素向けの署名済み・証明済みアイデンティティ。課題: これはCIRIS自身のビルドおよびモジュールチェーンをカバーするものであり、任意のサードパーティ製MCPサーバーは対象外です。 |
| ASI05 意図しないコード実行 | 部分対応 | 意味論的なコンシェンスゲート(エントロピー、一貫性、最適化拒否権)が、すべてのツールアクションの実行前に働き、不確実な場合は人間の判断に委ねられます。課題: これは意味論的レビューであり、決定論的なコードサンドボックスではありません。 |
| ASI06 メモリおよびコンテキストの汚染 | 部分対応 | グラフメモリへのすべての書き込みは、範囲限定・バージョン管理されたグラフに対する、コンシェンスによって審査された統制済みアクションであり、暗黙のうちに発生する副作用ではありません。そのため、汚染を試みる書き込み自体が監査可能な決定となります。課題: 取得コンテンツの信頼度スコアリングは部分的です。 |
| ASI07 エージェント間通信の安全性不足 | 部分対応 | CIRISEdgeは、すべてのエージェント間メッセージを7段階のパイプラインで検証し、最終的にハイブリッドEd25519 + ML-DSA-65署名検証で締めくくります(サイズ上限、型付きデシリアライズ、スキーマ許可リスト、宛先鍵チェック、リプレイウィンドウ)。課題: 連合トランスポートはまだ構築中です。 |
| ASI08 連鎖的障害 | 完全対応 | 3つの独立した層で抑制: リスクの高い呼び出しを囲むサービスごとのサーキットブレーカー(クローズド/オープン/ハーフオープン)、不正なアクションが波及する前に止めるコンシェンスパイプライン、そして50から400ノードにわたりグループ間漏洩ゼロを実測しているメッシュ分離。 |
| ASI09 人間とエージェント間の信頼の悪用 | 部分対応 | コンシェンスパイプラインは、人間のレビュアーに表示される理由を含め、エージェント自身の説明文について、それが人間の目に触れる前に、過信や操作性の兆候をスコアリングします。課題: 検査対象と同じモデルファミリーで監査を行っています。 |
| ASI10 暴走エージェント | 部分対応 | 3つの層があります: 6つのコンシェンスが、実行前にすべての重要なアクションをゲートすること、ハッシュチェーンされた署名付き監査証跡が事後の隠蔽を検知可能にすること、そしてフェイルセキュアなキルスイッチにより、指名された人間が整合性を失ったエージェントを停止できること。課題: 巧妙に整合性を装いながらも実際には不整合なエージェントを検出する能力には、本質的な限界があります。 |
エージェント型アプリケーション向けOWASP Top 10、2025年12月公開。2026年7月時点でCIRISにマッピング。誤りがあればお知らせください、修正します。
出典
- ASI01 エージェント目標のハイジャックCIRISAgent skill-import SECURITY.md + conscience pipeline
- ASI02 ツールの誤用CIRISServer auth/gate.rs + DELEGATION_CONSTRAINTS.md (shipped 0.5.72)
- ASI03 アイデンティティおよび権限の悪用CIRISServer auth/gate.rs (never-list, tighten-only) + adoption plan
- ASI04 エージェント型サプライチェーンCIRISVerify Threat Model, §3.4 Supply Chain
- ASI05 意図しないコード実行CIRISAgent conscience/core.py (semantic action gates)
- ASI06 メモリおよびコンテキストの汚染CIRISAgent ciris_engine (governed graph memory)
- ASI07 エージェント間通信の安全性不足CIRISEdge README (verify-before-dispatch pipeline)
- ASI08 連鎖的障害CIRISAgent circuit_breaker.py + CIRISServer measured mesh isolation
- ASI09 人間とエージェント間の信頼の悪用CIRISAgent epistemic-humility conscience prompt
- ASI10 暴走エージェントCIRISVerify HUMANITY_ACCORD kill switch + conscience pipeline
この分類体系は一つの視点にすぎません。AIの説明責任へのあらゆるアプローチの中でCIRISがどこに位置するか、そしてキルスイッチがどのように独立検証可能かをご覧ください。