AWS、AIエージェントのツール境界に3段階のガードレールを適用する設計を公開

概要

※本記事は公開情報をもとに編集部が再構成したサマリです。一次情報は出典欄をご参照ください。

AWSは2026年8月27日、Amazon Bedrock GuardrailsとStrands Agents SDKを組み合わせ、AIエージェントのツール連携を検査する設計例を公開した。モデルへの入力と出力だけでなく、ツール呼び出しの直前と外部から戻る結果も検証し、実行境界の抜けを補う。

事実のポイント

• 利用者入力などをモデルへ渡す前に検証する「入力境界」を置く
• ツール実行前に引数を検査し、個人情報や許可外の操作を遮断する
• Web検索やMCPサーバーなど外部ツールの戻り値を、次の処理へ渡す前に検証する
• Strandsのライフサイクルフックで実装し、既存ツールのロジック変更を抑える

用語・背景の補足

モデル境界のガードレールは、プロンプトとモデル回答を確認する。一方、エージェントはモデル外でAPIやデータベースを呼び出すため、危険な引数がそのまま実行されたり、外部データに含まれる不正な指示が次の推論へ混入したりする可能性がある。今回の3地点は、この情報の流入と実行を分けて監視する考え方である。

業務システムでは、すべてを生成AIによる判定に任せる必要はない。形式、文字数、許可されたID、送信先などはスキーマや許可リストで高速に確認し、文脈や機微情報の判定のみガードレールへ回す方が安定する。遮断時の記録、担当者への通知、再実行方法も含めて設計しなければ、利用者が別経路で制御を回避する原因になりうる。

注意点

• ガードレールは最小権限、認証、業務ルールの検証を代替しない
• 検査を増やすと遅延や誤検知も増えるため、ツールごとの強度調整が必要となる
• 外部入力は信頼済みと決めつけず、複数エージェント間の受け渡しも検査対象に含める必要がある

編集部見解

（追記予定）