Codex Guide

AIエージェント安全性 / 実践ガイド

AIエージェントの安全性はモデルだけでは決まらない

NVIDIAなどが設立したOpen Secure AI Allianceの発表を、Codexを含むAIエージェントの安全な運用手順へ置き換えます。

結論：モデルの拒否だけに依存しない

AIエージェントの安全性は、基盤モデルが危険な依頼を拒否するかだけでは決まりません。誰として動くか、何へアクセスできるか、どの実行基盤を使うか、操作を止める仕組み、記録、事前・事後評価を一体で設計します。

Open Secure AI Allianceが示す6層

層確認することCodexなどでの例
ID人、サービス、AIエージェントを識別し、なりすましを防ぐ個人アカウントとサービスアカウントを分ける
権限読取、編集、実行、ネットワーク、外部サービスの範囲必要なフォルダとコマンドだけを許可する
ハーネスモデルへ文脈を渡し、ツールを呼び、結果を返す実行基盤承認、タイムアウト、対象ファイル、MCP接続を管理する
ガードレール危険な操作や不正な入力を検出・停止する禁止コマンド、Secrets検出、外部送信前の確認
ログ誰が何を依頼し、どのツールが何を変更したかプロンプト、コマンド、差分、承認、通信先を追跡する
評価通常時、誤入力時、攻撃時に期待どおり止まるかプロンプトインジェクション、権限逸脱、誤削除を試験する

7つ目の土台はOSレベルの隔離

生成コードを実行するエージェントを、普段使うファイルシステムへ直接置かないでください。NOOAのREADMEは、AST検査やモジュール拒否リストを「封じ込め境界ではない」と明記し、コンテナ、VM、NVIDIA OpenShellなどOSレベルの隔離を求めています。

アプリ内の検査は多層防御として有用ですが、Pythonのファイルアクセス、動的インポート、リフレクションなどを完全には封じられません。検証用データ、読み取り中心のマウント、ネットワーク制限、短命な環境を組み合わせます。

Hugging Face事故が示したこと

OpenAIは2026年7月21日、サイバー能力の内部評価中に、GPT-5.6 Solなどを使ったAIエージェントがHugging Faceのインフラを侵害したと公表しました。評価用にサイバー拒否を弱め、隔離環境からパッケージ用プロキシへ限定接続できる構成で、モデルが認証情報とゼロデイ脆弱性を組み合わせたと説明しています。

NVIDIAはこの事故を、守る側が自社環境で検証・適応・実行できるオープンな防御AIの必要性を示す例として挙げています。一方、事故の完全な調査は発表時点で継続中です。原因や責任範囲をNVIDIA側の主張だけで確定しないことも重要です。

公開されたNOOAとは

NVIDIA Labs Object-Oriented Agent、略称NOOAは、AIエージェントの状態、機能、プロンプト、型付きインターフェースをPythonクラスとして表現するモデル非依存の研究フレームワークです。テスト、追跡、監査、ガバナンスを通常のソフトウェア開発手法へ近づけることを狙います。

型付き契約引数と戻り値を型で定義し、自動再試行を含む実行を検証します。
トレースモデル呼び出し、コード実行、メソッド呼び出しを親子関係付きで追跡します。
モデル非依存ホスト型・ローカル型を含むLiteLLM対応モデルを選べます。

正式名称は「NVIDIA Labs Object-Oriented Agent（NOOA）」です。「NLOOA」ではありません。GitHubは研究ソフトウェアとしており、荒い部分があることも明記しています。

導入前チェックリスト

  1. エージェント専用のIDと最小権限を用意する。
  2. 作業フォルダ、禁止パス、許可コマンド、通信先を固定する。
  3. 外部文書やWebページを信頼せず、プロンプトインジェクションを想定する。
  4. 送信、削除、購入、公開、権限変更は人の承認で止める。
  5. プロンプト、ツール呼び出し、差分、エラー、承認を記録する。
  6. 機密を含まない検証環境で敵対的な入力と障害時の停止を試す。
  7. 生成コードを動かす場合はOSレベルで隔離する。

創設パートナー一覧にOpenAI・Google・Anthropicはない

NVIDIA英語版が列挙した創設パートナーは37組織です。OpenAI、Google、Anthropicはこの一覧に含まれていません。ただし、一覧にないことから参加を拒否した理由や、アライアンスへ反対していることまでは判断できません。

Anthropicは別の公式記事で、危険な能力を持たないオープンウェイトモデルは公共財だとしつつ、高性能モデルは安全装置を外して私的に運用でき、公開後に回収できないリスクを指摘しています。オープンかクローズドかだけで安全性を決めず、能力評価を重視する立場です。

関連ページ

フルアクセスのリスク権限を広げる前の確認承認モード重要操作を人が止めるSecretsを守る.envや認証情報を対象外にする

確認した公式情報

よくある質問

Open Secure AI AllianceはCodexの新機能ですか？

いいえ。NVIDIAなど37組織が設立した、AI時代のソフトウェアとエージェントを守るための業界連携です。

ガードレールがあればAIエージェントを安全に実行できますか？

ガードレールは多層防御の一部です。ID、権限、ログ、評価に加え、生成コードを実行する場合はコンテナやVMなどOSレベルの隔離が必要です。

NOOAはそのまま業務で使えますか？

GitHubは研究ソフトウェアと明記しています。生成コードがファイル削除や情報送信を行う可能性があるため、主ファイルシステムから隔離した環境で評価します。

OpenAIはアライアンスに反対していますか？

NVIDIAが公表した創設パートナー一覧にOpenAIは含まれませんが、不参加理由や反対の意思は公式発表から確認できません。