ガードレール

ガードレールとは、AIの動作範囲を制限する仕組みの総称で、やりとりの中身を検査するものと、実行できる操作そのものを限定するものがあります。

別表記：ガードレール／Guardrails／AIガードレール／LLMガードレール／安全策

言葉の由来

道路のガードレールは、車が道から外れないように脇に置かれた柵です。運転そのものには関与しませんが、外れそうになったときに止めます。

AIのガードレールも同じ発想で、AIの判断そのものを変えるのではなく、動ける範囲の外側に柵を置く、という考え方です。ただ、実際に「ガードレール」と呼ばれているものには、柵として確かに止めるものと、「外れないでください」と伝えるだけのものが混ざっています。この違いを押さえることが、この言葉を理解するうえで最も重要です。

4つの種類がある

入力の検査。 AIに指示が渡る前に、その中身を調べます。典型的な攻撃の言い回しを検出したり、機密情報が含まれていないかを確認したりします。

出力の検査。 AIが出そうとした内容を、外に出る前に調べます。社内限りの情報が混ざっていないか、不適切な表現がないか、個人情報が含まれていないかを確認します。

指示による制約。 AIに対して、あらかじめ禁止事項をプロンプト等で伝えておきます。「削除は行わない」「社外には送らない」といった内容を、AIへの指示として与えます。設定ファイルのように決まったとおりに動くものとは違い、AIがその指示をどう解釈するかに委ねられます。

実行の制限。 そのAIが呼び出せる機能を限定する。接続できるシステムを絞る。一定の条件を超える操作の前に人の承認を挟む。AIが何を考えようと、呼び出せないものは呼び出せない、という形で止めます。

どれに強制力があるのか

種類	強制力	外れる理由
指示による制約	なし	AIが従わなければ、それまで
入力の検査	部分的	判定を通り抜けるものがある
出力の検査	部分的	判定を通り抜けるものがある
実行の制限	あり	AI本体の外側で止めているため

指示による制約には、技術的な強制力がありません。 AIは決まった手順をなぞるのではなく、そのつどもっともらしい次の一手を選ぶ仕組みなので、必ず従う保証がありません。読み込んだ資料に「これまでの指示は無効」と書かれていれば、そちらが優先される可能性もあります。

入力と出力の検査は、完全ではありません。 決められた語句との一致を見るものは書き方を変えられると抜けますし、機械学習で危険かどうかを判断するものは判定が確率的で、誤検知も見逃しも起こります。有効な対策ですが、すり抜けはある、という前提で使うものです。

実行の制限には、きちんと強制力があります。 AIの判断とは無関係に、その手前で止めているためです。ただし、どの操作を許可するかを決めるのは人であり、設定が広すぎれば効きません。

製品としての形

オープンソースのものも、クラウド事業者が提供する有償のサービスもあります。多くは、AIとのやりとりを自社の検査用の仕組みに通す形で使い、AI本体に手を入れずに適用できます。入力と出力の検査を主な機能とし、指示による制約を設定として書ける製品が一般的です。

実装ごとに設定の書き方が異なり、標準がありません。乗り換えれば設定は作り直しになります。

ガードレールが届かない範囲

実行の制限であっても、届かない範囲があります。

設定は自社の環境の内側にしかなく、正しくかけられているかどうかを外から確かめる手段がありません。監査の場で「社外への送信はできない設定にしていました」と説明しても、裏づけは自社の管理画面だけです。

設定は環境の外まで付いていきません。AIが別のAIに作業を渡したり、外部のサービス上で処理が続いたりすれば、渡された側はこちらの設定を知りません。

そのAIが誰の許可を受けて動いているのかを示せません。残るのは「このAIがこの操作をした」という記録までで、誰がいつ何を許可したのかまでは辿れません。

VCとの関係

VC（Verifiable Credentials）は、ガードレールの代わりになるものではありません。両方を組み合わせて使います。

ガードレールは、AIが「入った部屋の中で何をするか」を見る仕組みです。入出力の検査や指示による制約は、許可された範囲の内側で、AIの振る舞いが適切かどうかを見ています。

VCは、「どの部屋に入れるか」を決める仕組みです。誰の委任で何をどこまでしてよいかを証明書に書き、受け付ける側がそれを確かめる。範囲の外は、そもそも開きません。設定が自社の内側に閉じず、環境の外にも持ち運べ、外から検証できる点が、ガードレールの届かない範囲を補います。

範囲の内側をガードレールが見て、範囲そのものをVCが引く、という分担です。

よくある誤解

ガードレールを入れれば安心なのか。 入れないよりは確実に安全です。ただし、指示による制約には強制力がなく、検査はすり抜けられ、実行の制限も設定が広ければ効きません。何を入れたのかではなく、どの種類をどう設定したのかで効き目が決まります。

ガードレールとVCはどちらを選ぶべきか。 選ぶものではありません。見ている場所が違うので、片方だけでは穴が残ります。

実行の制限があれば、VCは要らないのか。 社内で完結し、外から検証される必要がなく、環境をまたがないのであれば、実行の制限で足りる場面はあります。足りなくなるのは、監査で設定の正しさを示す必要があるとき、AIが組織や環境をまたぐとき、誰の委任かを記録に残す必要があるときです。

一覧に戻る