技術概要：マルチテナント企業環境におけるエージェントのセキュリティ確保

1. 問題定義

本論文は、企業環境内での検索拡張生成（RAG）およびエージェント型 AI システムの展開において、根本的なセキュリティの欠陥を扱っている。学術的な取扱いや消費者向け API は、単一テナントで均質なデータアクセスを前提とすることが多いが、現実世界の企業展開では、複数のテナントがインフラを共有し、多様なデータ、厳格な規制遵守、およびきめ細かなアクセス制御要件を伴う。

特定された核心的な問題は、関連性と権限のギャップである。既存の検索システム（ベクトル、キーワード、またはハイブリッド）は、意味的な関連性やキーワードの一致を最適化するが、権限ポリシーを強制するネイティブなメカニズムを欠いている。その結果、あるテナントからのクエリが、関連性指標で最高スコアを獲得した場合、別のテナントに属する機密データを検索して露呈させる可能性がある。このギャップは、以下の要因によりエージェント型システムにおいてさらに悪化する：

• ツールを介した開示：エージェントがエンドユーザーの権限ではなく、広範な資格情報でツールを呼び出す場合に発生する。
• コンテキストの蓄積：多ターン会話において、ターンごとのポリシー再検証なしにテナント間データの漏洩を許容する。
• クライアント側のオーケストレーション：セキュリティ上重要なロジックを潜在的に信頼できないクライアントに分散させ、権限チェックの回避を可能にする。

テナントごとに完全なエージェントスタック（ベクトルストア、推論エンドポイント）を複製するなどの標準的な分離アプローチは、コスト面で非現実的であり、運用面で断片化されると見なされている。

2. 手法とアーキテクチャ

著者らは、エージェント型 AI のデータパスと制御パスを保護するために、サーバー側オーケストレーションを通じて強制される階層化された分離アーキテクチャを提案する。このアプローチは、OpenAI 互換 API を提供するベンダー中立のオープンソースフレームワークであるOGX（Open GenAI Stack）において実装されている。

2.1 階層化された分離（データパス）

このアーキテクチャは、サーバーの信頼境界内で 3 つの明確なレイヤーを通じてデータフローを保護する：

1. ポリシー対応の取り込み：テナントメタデータ（所有権、属性）は、取り込み時にドキュメントに付与される。これにより、すべてのドキュメントチャンクが一貫したテナント属性を継承し、偶発的なテナント間結合を防止する。
2. 検索ゲート：二段階の強制メカニズムが適用される：
   • 検索前：検索開始前に属性ベースアクセス制御（ABAC）による権限付与が評価される。
   • 検索後：検索後にチャンクレベルのフィルタリングが適用される。
   • システムは、大規模なスケールで完全なリコールを維持するために、ベクトルバックエンドが検索中にネイティブにフィルタを適用するプレッドケートプッシュダウンをサポートする。プッシュダウンが利用できない場合、検索後のフィルタリングはセキュリティ（漏洩ゼロ）を確保するが、大規模なコーパスではリコールが低下する可能性がある。
3. 共有推論：大規模言語モデル（LLM）の推論レイヤーはテナント間で共有される。レイヤー 1 と 2 が承認されたドキュメントのみをプロンプトコンテキストに流入させることを保証するため、モデル自体にテナントごとの分離は不要となり、インフラコストが $O(N \cdot M)$ から $O(M)$ に削減される。

2.2 サーバー側オーケストレーション（制御パス）

クライアント側の回避リスクに対処するため、著者らは推論 $\to$ ツール $\to$ 推論ループのサーバー側オーケストレーションを提唱する。

• 信頼境界：すべてのセキュリティ上重要な操作（ツール実行の権限付与、状態の分離、ポリシー強制）は、サーバープロセス内で一元化される。
• トレードオフ：これはローカル実行と比較してツール呼び出しにレイテンシをもたらすが、フィルタのスキップやツール呼び出しの操作を回避する侵害されたクライアントを防ぐ。
• ハイブリッドアプローチ：このアーキテクチャは、エージェントの構成やレイテンシに敏感な操作の制御をクライアント側フレームワークに保持させつつ、サーバーがセキュリティ不変条件を強制することを可能にする。

3. 主要な貢献

本論文は、以下の 4 つの主要な貢献を行う：

1. 関連性と権限のギャップの形式化：著者らは、関連性ランキングのみが分離に不十分である理由を数学的に定義し、ゲートなしの検索がプローブの 98〜100% でテナント間データを漏洩させるという実証的証拠を提供する。
2. 階層化された分離アーキテクチャ：ポリシー対応の取り込み、検索時のゲート、共有推論を組み合わせ、強制レイヤーとしてサーバー側オーケストレーションを備えた設計を提案する。
3. 実証的検証：オーケストレーションモード（クライアント対サーバー）と検索ゲート（ゲートなし対 ABAC ゲート）の $2 \times 2$ 行列全体におけるセキュリティ（漏洩、プロンプトインジェクション耐性）、システムパフォーマンス（レイテンシ、スループット）、および検索品質を測定する 6 つの実験による評価。
4. オープンソース実装：このアーキテクチャは、OpenAI 互換 API（マルチターンオーケストレーション用のレスポンス API を含む）とデプロイ用の Kubernetes オペレーターを提供するベンダー中立フレームワークOGXにおいて実装されている。

4. 実験結果

評価には、3 つのテナント（財務、エンジニアリング、法務）と 300 件のドキュメントを用いた合成テストベッドが使用された。

• セキュリティ（テナント間漏洩）：

  • ゲートなし構成：オーケストレーションモードに関わらず、ゲートなし検索はテナント間データの98〜100% の漏洩をもたらした。
  • ゲートあり構成：ABAC ゲートはテナント間漏洩を完全に排除し（0% の漏洩）、セキュリティ目標（G1）を達成した。
  • プロンプトインジェクション：ゲートあり構成では、90 件のプロンプトインジェクションプローブすべてがブロックされ（0% の漏洩）、ゲートなし構成では 62〜80% のプローブが不正なデータの検索に成功した。
  • 強制：本研究は、クライアント側ゲート（構成 B）が 0% の漏洩を達成し得るが、それはクライアントの完全性に依存することを強調している。サーバー側オーケストレーション（構成 D）は、ロジックを信頼境界内に移動させることで、必要な強制保証（G2）を提供する。

• パフォーマンス：

  • レイテンシ：検索ゲートは、検索パスに約19ms（認証ラウンドトリップ + ポリシー評価 + 参照）を追加したが、推論時間（秒単位）と比較して無視できるレベルであった。サーバー側オーケストレーションは、ラウンドトリップにより約 3 秒の総レイテンシを追加したが、初回トークンまでの時間を短縮するためにストリーミングをサポートする。
  • スループット：ゲートはスループットを低下させなかった。スループットは同時実行性に対して線形にスケーリングした。クライアント側オーケストレーションは、より短いリクエストパスにより、高同時実行時にサーバー側オーケストレーションの約 2 倍の QPS を達成した。

• 検索品質：

  • チャンクレベルのゲートは、テナント間ノイズをフィルタリングすることで Precision@5 を2.2 倍（0.200 から 0.433）向上させた。
  • プレッドケートプッシュダウン：プレッドケートプッシュダウンをサポートするバックエンドは、すべてのコーパスサイズでRecall@5 = 1.0を維持した。プッシュダウンなしのバックエンド（検索後フィルタリングを使用）は、コーパスサイズが 5 万チャンクに増加するにつれてリコールが著しく低下した（1.0 から 0.002 へ）が、セキュリティ保証は維持された。

5. 意義と範囲

本論文は、標準化されたエージェント API 設計、サーバー側オーケストレーション、および共有インフラ上のマルチテナント分離の交差点を扱った最初の研究であると主張している。

• 意義：このアーキテクチャは、テナントごとのインフラ複製なしに、安全なマルチテナンシー、ベンダー中立の OpenAI 互換 API、および自律型エージェント機能の同時実現が可能であることを実証する。セキュリティのパラダイムを「関連性ベース」から「ポリシーベース」の検索へと転換する。
• 範囲と限界：
  • このソリューションはマルチテナント企業環境向けに設計されており、単一テナント展開や公開データには不要である。
  • このアーキテクチャはコンテキスト構築を保護するが、パラメトリックメモリは保護しない。モデルは事前学習中に吸収された情報を生成する可能性がある。
  • 信頼境界はサーバープロセスであり、このアーキテクチャは侵害されたサーバープロセス、内部関係者によるオペレーター、またはサイドチャネル攻撃から保護するものではない。
  • クライアント側の機能ツールはサーバーの信頼境界の外に留まるが、OGX は明示的なツール分類を通じてこれを緩和する。

著者らは、クライアント側オーケストレーションが信頼できる環境では低いレイテンシを提供するが、厳格な分離とコンプライアンスを必要とする企業シナリオには、ABAC ゲートを備えたサーバー側オーケストレーションが不可欠であると結論付けている。