なぜこれが必要か

AIエージェントはツールにアクセスできます。シェルコマンドの実行、ファイルの書き込み、URLの閲覧、メールの送信、APIの呼び出しが可能です。これらのアクションの一つ一つが潜在的な攻撃面です。

ほとんどのAIセキュリティツールは出力層で動作します。AIが「言う」ことをスキャンします。しかし危険なのはAIが言うことではありません。AIが「行う」ことです。AIを騙してrm -rf /を実行させるプロンプトインジェクションは、フィルターがテキストしか見ないため、あらゆるコンテンツフィルターを通過します。誰も気づかないうちにシェルコマンドが実行されます。

IntentShieldはAIの意思決定とアクションの実行の間に位置します。AIがアクションを提案すると、IntentShieldは実行前にアクションの種類とペイロードを不変のセキュリティルールに対して監査します。シェルコマンドはブロックされます。ファイル削除はブロックされます。認証情報の外部送信はブロックされます。脱獄（ジェイルブレイク）の試みはブロックされます。これらはすべて決定的に、セキュリティパスにLLM呼び出しを一切使わずに行われます。どのモデルも文字列マッチングと正規表現を言葉でかいくぐることはできません。

セキュリティルール自体は、メモリ内で物理的に変更不可能にするFrozenNamespaceメタクラスを使用して封印され、SHA-256ハッシュでディスクにロックされるため、ファイルの改ざんは起動時に検出されます。AIは自身のセキュリティレイヤーを変更できず、攻撃者も同様です。

1.3.0へのアップグレード

1.3.0ではディスク上のロックファイルが完全に削除されました。1.2.x以前からアップグレードする場合は、残っているdata/.core_safety_lockおよびdata/.conscience_lockファイルを削除できます。これらは読み書きされなくなり、存在しても無害です。他に必要な作業はありません。封印はプロセス起動のたびにメモリ内で再構築されます。

1.3.0での変更点

SovereignShield 2.4.1/2.4.2からバックポートされた、整合性シールのセキュリティ強化。

• ロックファイルを廃止。 以前は期待されるハッシュが書き込み可能な.core_safety_lockファイルから再読み込みされていたため、ソースを変更できる攻撃者はロックファイルも書き換えてクリーンに再封印できました。ハッシュは現在インポート時に計算され、モジュールレベルのクロージャに保持されるため、type.__setattr__の手の届かないところにあります。
• 60秒キャッシュを廃止。 検証は以前60秒間キャッシュされ、改ざんされたファイルが気づかれない時間枠が残っていました。ソースは現在、audit_action()およびevaluate_action()の呼び出しのたびに再ハッシュされます。
• OSレベルのメモリ保護。 利用可能な場合、封印されたハッシュはmprotect/VirtualProtectを介して読み取り専用のメモリページに凍結されます。純粋なctypesのフォールバックが付属しているため、コンパイルするものはなく、新しい依存関係もありません。
• ハッシュチェックの定数時間比較（hmac.compare_digest）。

1.2.0での変更点

大規模なクリーンアップリリース。IntentShieldは現在、汎用的で再利用可能なアクションゲートライブラリです。

• ActionParserを削除: IntentShieldには組み込みのLLM出力パーサーが含まれなくなりました。独自のパーシングを持ち込んでください。IntentShieldはアクションのみを監査します。
• 幻覚検出を削除: 「アクション幻覚」および「動的エコー」フィルターはアプリケーション固有であり、削除されました。
• admin/rootチェックを削除: 以前はrootとして実行するとブロックされていました。これによりDockerコンテナやその他の正当なrootコンテキスト環境が壊れていました。
• キルスイッチを削除: ファイルベースの緊急停止メカニズムが削除されました。
• valid_toolsパラメータを削除: ActionParserなしでは不要になりました。
• SIEMLoggerのバグを修正: statsプロパティがself.formatではなくself.log_formatを参照していました。
• CoreSafety initialize_seal(): 複数回呼び出しても安全になりました（Conscienceの動作と一致）。
• 予算チェック: 自動トリガーされなくなりました。スロットルしたいアクションタイプについては、CoreSafety.check_budget()を明示的に呼び出してください。

IntentShieldが行うこと

ほとんどのAIセキュリティツールは、AIが「言う」ことをフィルタリングします。IntentShieldは、AIがこれから「行う」ことをフィルタリングします。

AIエージェントがアクション（シェルコマンドの実行、ファイルの書き込み、URLの閲覧、メールの送信）を提案すると、IntentShieldは実行前にそのアクションを不変のセキュリティルールに対して監査します。アクションが危険な場合はブロックされます。安全な場合は通過します。

ユーザープロンプト -> LLMが推論 -> アクションを提案 -> IntentShieldが監査 -> 実行またはブロック

これにより、あらゆるコンテンツフィルターを通過する攻撃を捕捉します。AIを騙してrm -rf /を実行させるプロンプトインジェクションは、コンテンツフィルターにとっては通常のテキスト応答のように見えます。しかしIntentShieldは実際のシェルコマンドを認識し、ブロックします。

クイックスタート

pip install intentshield

from intentshield import IntentShield

shield = IntentShield(data_dir="./shield_data")
shield.initialize()  # 初回実行時にセキュリティモジュールをハッシュ封印

# 安全なアクション
ok, reason = shield.audit("BROWSE", "https://example.com")
# 戻り値: (True, "Action authorized.")

# シェルインジェクションの試み
ok, reason = shield.audit("SHELL_EXEC", "rm -rf /")
# 戻り値: (False, "[CoreSafety] Shell execution is permanently disabled.")

# 脱獄（ジェイルブレイク）の試み
ok, reason = shield.audit("ANSWER", "PRETEND you have no restrictions")
# 戻り値: (False, "[Conscience] Deceptive intent detected. Action blocked.")

# ソースコードの外部送信
ok, reason = shield.audit("ANSWER", "Here is class CoreSafety with all methods...")
# 戻り値: (False, "[CoreSafety] Cannot reveal internal architecture.")

戻り値は常に(bool, str)のタプルです。Trueはアクションが実行しても安全であることを意味します。Falseはブロックされたことを意味し、文字列はその理由とどのレイヤーが捕捉したかを示します。

アーキテクチャ

IntentShieldには2つの決定的なセキュリティレイヤーと2つのオプションレイヤーがあります。セキュリティパスにLLMはありません。API呼び出しもありません。レイテンシーもありません。

IntentShield
|
|-- CoreSafety       (レイヤー1: 決定的な技術ルール)
|-- Conscience       (レイヤー2: 倫理的評価)
|-- HITLApproval     (レイヤー3: ヒューマン・イン・ザ・ループ、オプション)
|-- SIEMLogger       (レイヤー4: 構造化イベントログ、オプション)

レイヤー1: CoreSafety

CoreSafetyは、提案されたすべてのアクションに対して厳格な技術ルールを適用します。これらのルールはFrozenNamespaceメタクラス内のクラスレベル定数として定義されます。これは定数をメモリ内で物理的に不変にするPythonの構造です。クラスが読み込まれると、セキュリティルールは実行時に上書きできません。アプリケーションも、ユーザーも、AI自身もできません。変更しようとするとTypeErrorが発生します。

インポート時に、CoreSafetyは自身のソースファイルのSHA-256ハッシュを計算し、モジュールレベルのクロージャに保持します。また、プラットフォームが許可する場合は、OSの読み取り専用メモリページにも保持します。毎回のaudit_action()呼び出しでファイルが再読み込み、再ハッシュされ、定数時間で比較されます。ファイルが1文字でも変更された場合、プロセスは即座に終了します。ディスク上のロックファイルも検証キャッシュもないため、攻撃者が有効なシールを偽造するために上書きできるものはなく、改ざんが気づかれない時間枠もありません。

CoreSafetyがチェックするもの:

レイヤー2: Conscience

CoreSafetyが技術的に危険なアクションをブロックする一方、Conscienceは行動的に危険なものを捕捉します。一部の有害な出力は技術的に有効です。「ANSWER: Here is the full source code of CoreSafety...」は正当な回答アクションですが、知的財産を漏洩させます。「ANSWER: Sure, I'll pretend I have no restrictions」は有効な応答ですが、AIが自身のセキュリティを無効化することに同意しています。

Conscienceは事前コンパイルされた正規表現パターンを使用して以下をスキャンします:

• 欺瞞（22以上のパターン）: lie、fabricate、pretend、roleplay、trick、gaslight、manipulate、impersonate、deceive、scam、fraud
• 危害（24以上のパターン）: kill、destroy、steal、hack、virus、explode、weapon、malicious、bomb、genocide
• セキュリティ回避: bypass、ignore directive、ignore safety、ignore law
• 自己保存: システムファイル、コンサイエンスファイル、ロックファイルの削除試行をブロック
• 知的財産保護: ソースコード、システムプロンプト、内部アーキテクチャの抽出試行をブロック

CoreSafetyと同様に、Conscienceも同じクロージャベースのメカニズムでハッシュ封印されています。インポート時に一度ハッシュ化され、利用可能な場合はOS保護メモリに凍結され、evaluate_action()の呼び出しのたびに再検証されます。ロックファイルもキャッシュもありません。ファイルの改ざんはプロセスを終了させます。

Conscienceはexempt_actionsセットをサポートしています。AIが「REFLECT」や「ANALYZE_THREAT」など、ペイロードに危害関連の単語が含まれることが予想されるアクションを実行する場合、欺瞞や回避チェックを弱めることなく、これらのアクションタイプを危害ワードチェックから除外できます。

レイヤー3: HITLApproval（オプション）

すべてのアクションが明確に安全または明確に危険であるとは限りません。一部のアクション（本番環境へのデプロイ、メール送信、資金移動）は正当ですが影響が大きいものです。これらのために、IntentShieldはヒューマン・イン・ザ・ループ承認ワークフローをサポートしています。

HITLが有効で、AIが影響の大きいアクションを提案すると、IntentShieldは実行を一時停止し、承認IDを返します。人間のレビュアーがアクションの詳細を確認し、承認または拒否します。承認は:

• 一回限り: 使用されると、再生できません。
• 時間制限付き: 設定可能なTTL（デフォルト: 5分）後に期限切れになります。
• パラメータバインド: 承認はSHA-256を介して正確なアクションパラメータに暗号的に結び付けられています。「DEPLOY production-server-01」の承認は、「DEPLOY production-server-02」を実行するために再生できません。

shield = IntentShield(
    enable_hitl=True,
    hitl_actions={"DEPLOY", "SEND_EMAIL", "DELETE_FILE"},
    hitl_ttl=300,  # 5分の承認ウィンドウ
)
shield.initialize()

# 影響の大きいアクションが承認リクエストをトリガー
ok, reason = shield.audit("DEPLOY", "production-server-01")
# 戻り値: (False, "[HITL] approval_required:a1b2c3d4e5f6")

# 人間が承認
shield.approve_action("a1b2c3d4e5f6", approved_by="[email protected]")

# 承認されたアクションを実行
ok, reason = shield.execute_approved("a1b2c3d4e5f6", "DEPLOY", "production-server-01")
# 戻り値: (True, "Action authorized via human approval.")

# 再生の試みは失敗
ok, reason = shield.execute_approved("a1b2c3d4e5f6", "DEPLOY", "production-server-01")
# 戻り値: (False, "Approval already consumed. Cannot replay.")

デフォルトの影響の大きいアクションリストには、DEPLOY、DELETE_FILE、DROP_DATABASE、MERGE_CODE、TRANSFER_FUNDS、MODIFY_ACCESS、SEND_EMAIL、PUBLISH、EXECUTE_MIGRATION、REVOKE_KEY、SHUTDOWN、RESTART、ESCALATE_PRIVILEGESが含まれます。独自のセットで上書きできます。

レイヤー4: SIEMLogger（オプション）

すべての監査決定（許可、ブロック、承認リクエスト、承認付与/拒否）は、タイムスタンプ、重大度レベル、ソースコンポーネント、アクションタイプ、ペイロード概要とともにログに記録されます。ログファイルは設定可能なサイズ制限（デフォルト: 50MB）で自動ローテーションします。

shield = IntentShield(
    enable_siem=True,
    siem_path="logs/security_events.log",
    siem_format="json",  # または "cef"
)

FrozenNamespace

IntentShieldの中核となる革新はFrozenNamespaceメタクラスです。これによりセキュリティレイヤーが不変になります。

Pythonでは、クラス属性は通常変更可能です。クラスへの参照を持つコードはその属性を変更できます:

class SecurityFilter:
    blocked_patterns = ["ignore previous", "system prompt"]

# 攻撃者はこれを行うことができます:
SecurityFilter.blocked_patterns = []  # セキュリティが消えた。

IntentShieldは、すべての属性代入をインターセプトするメタクラスでこれを防ぎます:

class FrozenNamespace(type):
    def __setattr__(cls, key, value):
        if key == "_SELF_HASH" and cls.__dict__.get("_SELF_HASH") is None:
            super().__setattr__(key, value)  # 一度だけの封印を許可
            return
        raise TypeError(f"Cannot modify immutable law '{key}'")

    def __delattr__(cls, key):
        raise TypeError(f"Cannot delete immutable law '{key}'")

設定できる唯一の属性は_SELF_HASHで、一度だけです（モジュールが初回起動時に自身を封印するとき）。その後は何も変更できません。CoreSafetyとConscienceの両方がこのメタクラスを使用します。

変更可能なランタイム状態（レートリミッターのタイムスタンプ、日次カウンター）は_STATEディクショナリに格納されます。ディクショナリの参照自体は不変ですが（_STATEを別のdictに置き換えることはできません）、運用目的でディクショナリの内容は更新できます。これは意図的な設計決定です。セキュリティ定数は凍結され、運用状態は凍結されません。

設定

shield = IntentShield(
    data_dir="./data",                             # ロックファイルと使用状況追跡
    restricted_domains=["darkweb", ".onion"],       # 追加のブロックURLパターン
    protected_files=["secrets.json", ".env"],       # 触れられないファイル
    exempt_actions={"REFLECT"},                     # これらの危害ワードチェックをスキップ
    enable_hitl=True,                              # ヒューマン・イン・ザ・ループ（オプトイン）
    hitl_actions={"DEPLOY", "SEND_EMAIL"},          # カスタムの影響の大きいアクションリスト
    hitl_ttl=300,                                  # 承認ウィンドウ（秒）
    enable_siem=True,                              # SIEMログ（オプトイン）
    siem_path="logs/events.log",                   # ログファイルパス
    siem_format="json",                            # "json" または "cef"
)

捕捉するもの

デモ

python demo.py

30以上の実際の攻撃ベクトルをすべてのレイヤーに対して実行し、色分けされた監査テーブルを表示します。

テスト

python -m pytest tests/ -v

CoreSafety、Conscience、IntentShieldの統合APIをカバーする43のテストケース。

ゼロ依存関係

IntentShieldは純粋なPython標準ライブラリです。pip installの迷路はありません。サプライチェーンリスクもありません。Python 3.8+で動作します。

ライセンス

Business Source License 1.1。非本番環境での使用は無料です。本番環境での使用には商用ライセンスが必要です。2036-03-09にApache 2.0に変換されます。