5.1標準
検索で取得した文書をモデルへ渡す。
文書中の悪意ある命令を実行させない。
対策として適切なものを2つ選べ。
× 不正解
取得文書は不信なデータとして制約と分離し、出力検証と独立した認可でツール操作を制御する。
詳細解説
誤り検索結果なら全て信頼してツールを実行する
検索は信頼性・権限を保証しない。
正しい取得文書を根拠データとして明示し、システム制約と別の境界へ置く
文書の命令をアプリケーション方針と混同しにくい。
誤り文書の命令をシステム命令として連結する
外部データが制約を上書きできる。
正しい出力を検証し、ツール実行や権限変更を独立した認可で制限する
モデルの文書解釈だけで操作を許可しない。
公式資料で確認する
以下の項目を公式資料の記述と照合して確認します。
Task 5.1と公式の信頼境界・プロンプト攻撃フィルターの対象範囲を確認する。検索文書やツール結果から来た仮想の操作指示を、信頼された方針・許可されたツール・対象資源の権限と照合する場所を整理する。
参考にした公式資料
確認できる内容
検索やツールの結果を認可の根拠にせず、モデルとは独立した実行時の検査とフィルターの対象範囲を説明できる。
理解のポイント
- 文書注入
- 分離
- 認可
確認時の注意
- 確認環境: 公式資料と仮想例による参照確認。AWS APIの呼出し、業務データの取得、後続処理の実行は不要。
- Bedrock公式では、プロンプト攻撃フィルターはtoolResultの内容やtoolSpecのツール定義を評価しないと説明されている。Guardrailsを有効にしただけで全てのツール経路が検査されるとは考えない。
- 許可されたツールでも、引数が指す資源や操作内容は別に検査する。スキーマの適合やモデルが返した許可フラグだけで実行を許可しない。
基礎のおさらい
独立した実行時認可
モデルの説明や検索結果の記述に任せず、実行する側が信頼できる主体・操作・対象の許可を確認すること。
ツール結果の信頼境界
ツールから返る内容も外部データとして役割を区別する。ツールが返した文字列に、方針や権限を変える権威が自動的に付くわけではない。
問題IDAWS-AIF-324
確認環境公式資料と仮想例による参照確認。AWS APIの呼出し、業務データの取得、後続処理の実行は不要。
最終技術確認2026-10-26
誤り・権利侵害を報告