多層防御と最⼩権限で実現する、安全なAIエージェント設計パターン

2026年9月3日に開催された OutSystems World Tour Japan 2026 の発表資料です。


OutSystems World Tour Japan 2026
https://events.outsystems.com/event/owt-japan-26/Homepage

Transcript

1. 多層防御と最⼩権限で実現する、 安全なAIエージェント設計パターン OutSystems World Tour Japan 2026 - 2026.09.03 LINEヤフー株式会社 コーポレートIT 桶⾕ 直樹 © LY Corporation
2. 桶⾕ 直樹 / Naoki Oketani OutSystems MVP 2025 • • • セキュリティ経歴（2016-2022） ◦ CSIRT/SOC ◦ Kubernetes/AWS セキュリティ対策推進 コミュニティ & 資格 ◦ OJEC/OSUG 登壇 ◦ OutSystems認定資格 全冠 ◦ AWS認定 12冠 推し活 ◦ © LY Corporation 乃⽊坂46、久保史緒⾥ 2
3. アジェンダ 1 なぜ今、AIエージェントのセキュリティなのか 2 セキュリティの基本原則と従来型アプリの考え⽅ - 多層防御と最⼩権限 - 3 AIエージェントへの適⽤ 4 ODCで実現する安全なエージェント設計パターン 5 まとめ：セキュリティの「層」と「境界」を知ろう © LY Corporation 3
4. アジェンダ 1 なぜ今、AIエージェントのセキュリティなのか 2 セキュリティの基本原則と従来型アプリの考え⽅ - 多層防御と最⼩権限 - 3 AIエージェントへの適⽤ 4 ODCで実現する安全なエージェント設計パターン 5 まとめ：セキュリティの「層」と「境界」を知ろう © LY Corporation 4
5. AIエージェントの本番運⽤への壁 開発・PoC 本番運⽤ Agent Workbenchで「早く」 • セキュリティ「安全に」 • ガバナンス • オブザーバビリティ • 品質評価 「当たり前の⽔準」を上げたい QCDのトレードオフではなく、両⽴できる範囲を広げ・底上げする © LY Corporation 5
6. ⼿戻りコストを減らすシフトレフト セキュリティ考慮が 当たり前になれば 早期発見・早期対策（シフトレフト） 低コスト・⾼⽔準を 実現できる © LY Corporation 出典：NIST (2002) "The Economic Impacts of Inadequate Infrastructure for Software Testing" Table 5-1 より作成 6
7. 知っているからこそ「よい問い」を⽴てられる 設計段階からのセキュリティ対策には、全員が脅威を知る必要がある 発注者 アーキテクト 本番運用に向けた ガードレール突破の エージェントの権限は リスクは何か？ 対策はあるか？ 本当に最小限か？ 開発者 細かな実装⼿順は後から調べればOK！「脅威の存在」を知ることが第⼀歩 © LY Corporation 7
8. アジェンダ 1 なぜ今、AIエージェントのセキュリティなのか 2 セキュリティの基本原則と従来型アプリの考え⽅ - 多層防御と最⼩権限 - 3 AIエージェントへの適⽤ 4 ODCで実現する安全なエージェント設計パターン 5 まとめ：セキュリティの「層」と「境界」を知ろう © LY Corporation 8
9. ⽴場と⽬的に応じたセキュリティの参照軸 経営・組織 • NIST Cybersecurity Framework • 情報セキュリティ10⼤脅威（IPA） インフラ・ • CIS Benchmark 運⽤ • MITRE ATT&CK アプリ・開発 • 安全なウェブサイトの作り⽅（IPA） • OWASP Top 10 © LY Corporation 9
10. OWASP Top 10 の主要領域 アプリケーションセキュリティのグローバル標準 - Open Worldwide Application Security Project - 従来型アプリ AIエージェント • Web • LLM Applications • API Security • Agentic Applications • Mobile • MCP • Citizen Development • Agentic Skills ◦ 旧 Low-Code/No-Code OWASP Top 10 LLM Applications © LY Corporation 10
11. 従来型アプリのデータフローと OWASP Top 10 脅威は Input - Process - Output 上に分散する Input Process Output A03 Injection A01 Broken Access Control A02 Cryptographic Failures SQLi や XSS などの侵⼊ 権限の過剰付与、認可不備 暗号化の不備による平⽂露出 A10 SSRF A04 Insecure Design A08 Integrity Failures 不正な外部アクセス指定 設計段階での脆弱性 コードやデータの改ざん 多層防御（Defense in Depth）と最⼩権限の原則（Principle of Least Privilege）で防ぐ © LY Corporation ※OWASP Top 10:2021 を参照し、項目名は一部略記しています。 11
12. アジェンダ 1 なぜ今、AIエージェントのセキュリティなのか 2 セキュリティの基本原則と従来型アプリの考え⽅ - 多層防御と最⼩権限 - 3 AIエージェントへの適⽤ 4 ODCで実現する安全なエージェント設計パターン 5 まとめ：セキュリティの「層」と「境界」を知ろう © LY Corporation 12
13. AIエージェントにおける OWASP の主要領域 確率論的世界（LLM / Agent）への拡張 従来型アプリ AIエージェント • Web • LLM Applications • API Security • Agentic Applications • Mobile • MCP • Citizen Development • Agentic Skills ◦ 旧 Low-Code/No-Code OWASP Top 10 LLM Applications © LY Corporation 13
14. 決定論的世界 と 確率論的世界 確定的なコード処理から、LLMによる確率的な推論へ 決定論的世界（従来型） 確率論的世界（AIエージェント） Input Input 仕様化された構造化データ ⾃然⾔語（曖昧・⾮構造） Process Process 確定的なロジック（条件分岐） 確率的な推論・意思決定 Output Output 予期・定義されたレスポンス 不確定な応答・ツール実⾏ © LY Corporation 14
15. 「層」で捉えるLLMアプリの脅威 LLM Top 10 at a glance 1 Entry Vectors（侵⼊境界） LLM01 Prompt Injection 2 Amplifiers & Machinery（処理） LLM03 Excessive Agency 3 Impacts（影響） LLM02 Sensitive Info Disclosure © LY Corporation 出典：OWASP Top 10 for LLM Applications for 2026（OWASP Foundation）。項目名は一部略記しています。 15
16. データフローで捉えるAIエージェントの脅威 Agentic Top 10 at a glance Input ASI03 Identity & Privilege Abuse Process ASI10 Rogue Agents Output ASI02 Tool Misuse © LY Corporation 出典：OWASP Top 10 for Agentic Applications for 2026（OWASP Foundation）。項目名は一部略記しています。 16
17. AIエージェントにおける多層防御と最⼩権限 確率論的世界の脅威を構造で抑え込む Input：プロンプトインジェクション、攻撃検知 多層防御 Process：⼈間の承認（Human in the loop）、暴⾛制御 Output：ツール実⾏のガードレール、個⼈情報マスク 最⼩権限 • Action calling の最⼩化（Fine-grained な設計） • ⽤途・権限に応じた Agentic App の分離 © LY Corporation 17
18. アジェンダ 1 なぜ今、AIエージェントのセキュリティなのか 2 セキュリティの基本原則と従来型アプリの考え⽅ - 多層防御と最⼩権限 - 3 AIエージェントへの適⽤ 4 ODCで実現する安全なエージェント設計パターン 5 まとめ：セキュリティの「層」と「境界」を知ろう © LY Corporation 18
19. AIエージェント設計パターン 例：備品購⼊申請 Input Process Output 最小の Action calling Agent Guardrails Human in the loop © LY Corporation 19
20. Agent Guardrailsの適⽤ Prompt attack detection © LY Corporation 20
21. LLM呼び出し前の即時ブロック Prompt attack detection © LY Corporation 21
22. Human in the loopの適⽤ © LY Corporation 22
23. ⾼額決済は上⻑承認を必須として保護 Human in the loop（HITL）による暴⾛制御 少額決済 高額決済 ※HITLは万能ではなく、過剰な承認フローは「業務のボトルネック」や「承認疲れによる確認の形骸化」を引き起こします。 リスクに応じた閾値設定（例: 高額決済のみHITL）を行い、Human on/out of the loop を含むバランスの良い制御境界を設計することが不可欠です。 © LY Corporation 23
24. Action callingの最⼩化 Fine-grained な権限設計による過剰権限（ASI03）の防⽌ © LY Corporation 24
25. アジェンダ 1 なぜ今、AIエージェントのセキュリティなのか 2 セキュリティの基本原則と従来型アプリの考え⽅ - 多層防御と最⼩権限 - 3 AIエージェントへの適⽤ 4 ODCで実現する安全なエージェント設計パターン 5 まとめ：セキュリティの「層」と「境界」を知ろう © LY Corporation 25
26. セキュリティの「層」と「境界」を知ろう 多層防御と最⼩権限で実現する、安全なAIエージェント設計パターン 多層防御 • データフロー：Input - Process - Output • システム：Network - Server - App 最⼩権限 • Action calling の最⼩化：Fine-grained な設計 • 実⾏コンテキストの分離： Agentic App の分割 今後の展望 Shift Left に伴う開発者の負担を減らすため、 PF/CoE が安全な共通基盤を整備する Shift Down へ © LY Corporation 26
27. © LY Corporation
28. 参考⽂献 The Economic Impacts of Inadequate Infrastructure for Software Testing - NIST https://www.nist.gov/system/files/documents/director/planning/report02-3.pdf The NIST Cybersecurity Framework (CSF) 2.0 - NIST https://www.nist.gov/cyberframework 情報セキュリティ10⼤脅威 2026 - IPA 独⽴⾏政法⼈ 情報処理推進機構 https://www.ipa.go.jp/security/10threats/10threats2026.html CIS Benchmarks® - CIS Center for Internet Security https://www.cisecurity.org/cis-benchmarks © LY Corporation 28
29. 参考⽂献 MITRE ATT&CK® - The MITRE Corporation https://attack.mitre.org/ 安全なウェブサイトの作り⽅ - IPA 独⽴⾏政法⼈ 情報処理推進機構 https://www.ipa.go.jp/security/vuln/websecurity/about.html OWASP Top 10:2021 - OWASP Foundation https://owasp.org/Top10/2021/ OWASP Top 10:2025 - OWASP Foundation https://owasp.org/Top10/2025/ © LY Corporation 29
30. 参考⽂献 OWASP API Security Top 10 - OWASP Foundation https://owasp.org/www-project-api-security/ OWASP Mobile Top 10 - OWASP Foundation https://owasp.org/www-project-mobile-top-10/ OWASP Citizen Development Top 10 - OWASP Foundation https://owasp.org/www-project-citizen-development-top10-security-risks/ OWASP Top 10 for LLM Applications 2026 - OWASP Foundation https://genai.owasp.org/resource/owasp-genai-llm-top-10-2026/ © LY Corporation 30
31. 参考⽂献 OWASP Top 10 for Agentic Applications for 2026 - OWASP Foundation https://genai.owasp.org/resource/owasp-top-10-for-agentic-applications-for-2026/ OWASP MCP Top 10 - OWASP Foundation https://owasp.org/www-project-mcp-top-10/ OWASP Agentic Skills Top 10 - OWASP Foundation https://owasp.org/www-project-agentic-skills-top-10/ OutSystemsでのOWASP Top 10への対応⽅法 - OutSystems https://success.outsystems.com/ja-jp/support/security/develop_secure_outsystems_apps/how_outsyste ms_helps_you_address_owasp_top_10/ © LY Corporation 31
32. 参考⽂献 Agent guardrails - OutSystems https://success.outsystems.com/documentation/outsystems_developer_cloud/building_apps/build_ai_po wered_apps/agentic_apps_in_odc/agent_guardrails/ Configure agent guardrails - OutSystems https://success.outsystems.com/documentation/outsystems_developer_cloud/building_apps/build_ai_po wered_apps/agentic_apps_in_odc/agent_guardrails/configure_agent_guardrails/ AI agent actions - OutSystems https://success.outsystems.com/documentation/outsystems_developer_cloud/building_apps/build_ai_po wered_apps/agentic_apps_in_odc/ai_agent_actions/ セキュリティ研修【MIXI 26新卒技術研修】 https://speakerdeck.com/mixi_engineers/2026_new_grad_training_security © LY Corporation 32