分類器ベースとLLM駆動型のガードレール：AIランタイムで実際に機能するのはどちらか

Jessica BrennanAIセキュリティ担当シニアプロダクトマーケティングマネージャー | F5

このブログ記事は、AIガードレールに関するシリーズの第6回です。

すべてのAIガードレールが同じように機能するわけではありません。その違いは、もはや無視できないものになりつつあります。組織が推論時、つまりモデルがプロンプトを処理して応答を生成する時点で制御を適用するようになる中、2つのアプローチがしばしば混同されています。

一方は、速度を重視して最適化された、特定用途向けにトレーニングされた分類器を使用します。もう一方は、意図、コンテキスト、ポリシーを考慮して判断するよう設計されたLLMベースの制御を使用します。どちらもランタイムガードレールと呼ばれることが多いものの、本番環境での動作は大きく異なります。そのため、ガードレールが実際に何を保護するのか、どこに限界があるのか、そしてパフォーマンス指標だけでは全体像を把握できないのはなぜかについて、混乱が広がっています。

AIシステムが初期導入の段階を越えて成熟するにつれ、静的分類器の限界はより顕著になります。特に、実環境での利用、新たな脅威、変化するポリシー要件に合わせてガードレールも進化することが求められる場合、その傾向が強まります。

ランタイムにおけるガードレールとは

アプローチを比較する前に、モデルレベルのガードレールとランタイムのガードレールを区別することが重要です。

モデルガードレールは通常、トレーニングまたはアラインメントの段階で適用され、モデルに期待される動作に影響を与えます。一方、ランタイムガードレールは推論時に機能します。AIシステムがユーザー、エージェント、API、企業データとやり取りする際に、プロンプトと応答をリアルタイムで検査し、ポリシーを適用します。

この違いが重要なのは、深刻な障害の多くがトレーニングやベンチマークの段階では表面化しないためです。プロンプトインジェクション、間接的なデータ漏えい、権限昇格、ポリシー回避は実際のやり取りの中で発生するため、制御機能は、多くの場合、敵対的な状況下で継続的に判断を下す必要があります。

MLベースのガードレールが効果を発揮する領域

多くのベンダーが専用分類器と呼ぶものを含むMLベースのガードレールは、ラベル付きデータでトレーニングされた従来型の機械学習（ML）または小規模言語モデル（SLM）を使用して、既知のリスクカテゴリーを検出します。パターンが安定し、定義が限定的で、極めて迅速な判断が求められる場合に高い性能を発揮します。

これらのアプローチは、低レイテンシーで予測可能なパフォーマンス、大規模環境でのコスト効率、既知の有害性カテゴリー、一般的な個人識別情報（PII）形式、シグネチャベースのプロンプトインジェクションパターンなど、明確に定義されたリスクに対する高い精度が評価されています。

専用に設計された分類器は、想定された適用範囲内で高い効果を発揮できます。最新の状態に保つことで、繰り返し発生する既知の脅威に対して信頼性の高い防御範囲を提供します。従来のセキュリティと同様に、これらの制御は多層防御戦略に不可欠な要素です。

コンテキストが重要な場面では、MLベースのガードレールは十分に機能しない

生成AIシステムは、従来の分類器では対応が想定されていなかった条件下で動作します。プロンプトは自由形式で、攻撃は状況に応じて変化します。違反は間接的であることが多く、複数回のやり取りを経て初めて明らかになる場合もあります。

こうした制約は構造的なものです。専用に設計された分類器は過去の事例に依存するため、新しい表現、難読化、プロンプトチェイニングなどのエッジケースへの対応が困難です。MLモデルはパターンを検出できますが、意図、役割、ポリシーの微妙な違いを踏まえて推論することはできません。対応範囲を拡大するには通常、再トレーニングや再ラベル付けが必要となるため、脅威の進化に対応するまでに遅れが生じます。複雑なビジネス上、法的、または規制上のポリシーを固定ラベルに変換することは、多くの場合、現実的ではありません。

こうした制約は、初期導入後に特に顕在化します。MLを活用したガードレールが最も効果を発揮するのは、リスクが静的なパターンに当てはまり、ポリシーの変更が緩やかな場合です。しかし、生成AIシステムはそのような条件下では動作しません。プロンプト、ユーザー、エージェント、統合が進化する中、継続的な再トレーニングや手作業によるルール拡張を行わずに、制御を適応させる必要があります。MLのみのアプローチが十分に対応できないのは、価値がないからではなく、長期にわたる継続的かつ適応型の適用を支援するようには設計されていないためです。

LLM駆動型ガードレールが状況を一変させる理由

LLM駆動型ガードレールは、大規模言語モデルを使用して、プロンプトと出力を文脈に基づいて評価します。インタラクションが既知のパターンに一致するかどうかではなく、その意図、ユースケース、関連するデータ、前後のインタラクション履歴を踏まえて、ポリシーに違反しているかどうかを評価します。

これにより、分類器だけでは実現が難しい機能が可能になります。
LLM駆動型ガードレールは、間接的なリクエスト、多段階攻撃、難読化された意図を解釈できます。これは、パターンベースの検知を回避する最新のプロンプトインジェクションやジェイルブレイクの手法を検知するうえで極めて重要です。
また、自然言語で記述されたポリシーに照らしてインタラクションを評価することも可能になります。ただし、LLMベースの実装がすべて真のカスタマイズに対応しているわけではありません。多くは、ユースケースを問わず一律に適用される、ベンダー定義の固定ポリシーに依存しています。

カスタマイズ可能なLLM駆動型ガードレールにより、組織は実行時に独自のポリシーを定義、調整、適用できます。これらのポリシーは、特定のアプリケーション、データの機密性、ユーザーの役割、リスク許容度に合わせて設定できます。この違いは、同じモデルが社内調査、顧客向けワークフロー、規制対象プロセスを支援し、それぞれで異なる適用要件が求められる可能性があるエンタープライズ環境において極めて重要です。

LLM駆動型ガードレールは、分類ではなく推論を行うため、新たな攻撃手法にもより効果的に対応できます。継続的に更新される敵対的テストデータと組み合わせることで、防御策は現実の脅威の動向に後れを取ることなく、それに合わせて進化します。

ただし、LLM駆動型ガードレールだけでは、継続的な適用、カスタマイズ、運用上のレジリエンスは保証されません。これらの機能を実現できるかどうかは、LLMベースの推論を、より広範なランタイム制御フレームワークにどのように統合するかにかかっています

生成AIのガードレールが導入後も重要な理由

LLMを活用したガードレールにより、意図とコンテキストを踏まえて推論できるようになります。生成AIガードレールは、その機能をランタイム制御プレーンへと拡張します。この制御プレーンは、初期導入後も長期にわたり、生成AIシステム全体で動作し、適応し、ポリシーを適用するよう設計されています。この違いが重要なのは、AIシステムが実際のユーザー、データ、敵対的な振る舞いにさらされるようになると、推論だけでは不十分だからです。

AIの初期導入では、多くの場合、静的な制御と既知のパターン検出によってセキュリティを確保できます。利用が限定され、リスクを比較的予測しやすい初期展開の段階では、こうしたアプローチが有効な場合があります。しかし時間の経過とともに、生成AIシステムは進化し、プロンプトは変化し、新たなエージェントが導入され、連携範囲が拡大します。また、攻撃手法も変化し、規制、ビジネス、運用上の要件に応じてポリシーも変更されます。

この段階は「Day Two運用」と呼ばれることが多く、ガードレールには既知の違反を検出する以上の機能が求められます。意図を継続的に解釈し、新たなエクスプロイトに適応するとともに、本番環境におけるAIの実際の利用状況を反映したポリシーを適用する必要があります。そのためには、継続的な再トレーニングや再デプロイ、手作業によるルール拡張を行わずに進化できるランタイム制御が必要です。

生成AIガードレールは、こうした現実に対応するために構築されています。カスタマイズ、継続的な適用、モデル、エージェント、ユーザー、データフロー全体にわたるポリシーの進化を支える運用フレームワーク内で、LLMベースの推論を活用します。既存の制御に取って代わるのではなく、生成AIシステムの成熟に伴ってセキュリティを維持するために必要な柔軟性と意味理解を提供することで、ML主導のガードレールを補完します。

ハイブリッド防御の役割

最も効果的なランタイムセキュリティ戦略では、MLとLLMのガードレールのどちらか一方を選ぶのではなく、一貫したランタイム適用レイヤー内で推論を活用する生成AIガードレールを通じて、両者を組み合わせます。

専用に設計された分類器は、既知の脅威や繰り返し発生する脅威を効率的にブロックします。LLMによる推論は、曖昧さ、新規性、ポリシーの微妙な差異に対応します。両者を組み合わせることで、長年にわたるセキュリティ慣行に沿った多層防御アプローチを実現します。生成AIでは、Day Twoの利用が例外ではなく標準である点が異なります。時間の経過に応じて適応できない制御は、必然的に有効性を失います。

ランタイムでは明確さが重要

AIガードレールをめぐる混同は、単なる用語上の問題ではありません。実際にAIシステムをどのように保護するかにも影響します。MLベースのガードレールとLLM駆動型のガードレールでは、解決する問題、最適化するトレードオフ、障害の発生パターンがそれぞれ異なります。

速度とコストは引き続き重要な検討事項ですが、それだけでは十分ではありません。効果的なランタイム保護には、コンテキスト、適応性、そして実際のユースケースの変化を反映したポリシーを適用する能力が必要です。専用に設計された分類器を含むMLベースのガードレールは重要な役割を果たしますが、それだけでは本番環境における生成AIの継続的な要件に対応できません。

推論時のセキュリティを継続的に確保するには、LLMベースの推論を、実際のリスクが顕在化し、静的な防御だけでは不十分となるDay 2以降の運用に対応した、適応性と強制力を備えるランタイム制御へと変換する生成AIガードレールが必要です。

Learn how F5 AI Guardrailsが、モデル、エージェント、ユースケース全体でランタイム制御の適用をどのように支援するかをご覧ください。

また、本シリーズの過去のブログ記事もぜひご覧ください。

責任あるAI：Guardrailsでイノベーションと倫理を両立

AIガードレールとは？基盤モデルプロバイダーの枠を超えて進化する安全対策

AIデータプライバシー：機密データを保護するGuardrails

AIポリシー、ガバナンス、ガードレールの整備を先延ばしにできない理由

AIリスク管理：ガードレールによるリスク軽減

著者について

Jessica BrennanAIセキュリティ担当シニアプロダクトマーケティングマネージャー | F5

Jessica Brennanのその他のブログ記事