🔱 TriSuElla-AIDLCA フレームワーク

AI駆動開発ライフサイクル & 自律エージェントガバナンス (LLMSecOps)
ソフトウェアバージョン: 3.2.0 | フレームワークバージョン: 3.2.0 | ステータス: 制度化済み (本番環境対応、DevSecOps対応 & CI検証済み)
統合不変条件: 305 チェック | ルール: 204 | ドメインファミリー: 26

🏛️ エグゼクティブ概要

TriSuElla-AIDLCA フレームワークは、AI支援ソフトウェアエンジニアリングおよび自律型マルチエージェントシステムのためのエンタープライズグレードのポリシー統治アーキテクチャおよびセキュリティ標準です。機械知能が決定論的実行、ゼロトラスト暗号検証、および協調的なヒューマン・イン・ザ・ループ・ガバナンスのもとで動作することを保証します。

北欧およびサンスクリットの原則に基づく象徴的なトライデント (Trishula) に根ざしています:

• 🔴 SISU (レジリエンス & 実行): エージェントは決定論的境界、クラッシュリカバリ、および安全不変条件のもとで実行されます。
• 🔵 TILLIT (信頼 & ガバナンス): ゼロトラスト (「決して信頼せず、常に検証する」)、暗号化アイデンティティ、および改ざん検知可能な監査証跡。
• 🟢 DUGNAD (集合的コラボレーション): 必須のデュアルキー・ヒューマン・イン・ザ・ループ (HITL) 承認ゲートを備えたマルチエージェントハンドオフ。

📈 進捗 & 実装マイルストーン (v3.2.0 制度化済み & CI検証済み)

本フレームワークは、すべてのガバナンスピラー、自動化ツーリング、およびマルチクラウドポスチャ標準にわたって100%の制度化された実装を達成しています:

🌟 主要ソリューション機能 & ケイパビリティ

TriSuElla-AIDLCAソリューションは、現代のAIエンジニアリングおよび自律型エージェントスウォーム向けに設計された、フルスペクトラムの本番グレードのセキュリティおよびガバナンスエンジンを提供します:

1. 🛡️ ゼロ依存ポリシーゲートキーパーCLI (TRISU-CLI)

• ネイティブポータビリティ: Windows (.\trisu.cmd)、Linux/macOS (./trisu)、または pip install -e tools/trisu-cli によるグローバルコマンドとして実行可能。
• 純粋なPython標準ライブラリ: サードパーティ依存ゼロ (argparse、ast、json、re、pathlib) で動作し、バリデータ自体のサプライチェーンリスクを排除。
• 圧倒的な速度: 1秒未満の実行 (<1.5秒) により、迅速な開発者フィードバックと軽量なCI/CDランナージョブに最適。
• 決定論的フェイルクローズド終了コード: クリーンな状態では 0 を返し、ブロッキング [CRITICAL] / [HIGH] 違反では 1 を返します。

2. 🔍 ハイブリッドAST静的アプリケーションセキュリティテスト (TRISU-SAST / ZTC)

• 抽象構文木 (AST) 解析: Pythonソースツリーを自動検査し、禁止された動的実行シンク (eval()、exec())、安全でないデシリアライゼーション (pickle.load/loads、アンローダーYAML)、および危険なシェル実行 (subprocess.run(shell=True)) を検出。
• 決定論的エラーハンドリング強制 (TRISU-ZTC-04): フェイルオープンな裸の例外抑制 (except: pass) を識別・ブロックし、フェイルクローズドセキュリティを保証。
• 境界 & インジェクション防止 (TRISU-ZTC-01): パラメータ化されていないSQL f-string、生のSQL連結、および安全でないTLS検証バイパス (verify=False) を検出。

3. 🔑 ゼロアンビエントクレデンシャル & シークレットスキャン (TRISU-ZTC-03)

• マルチベクタークレデンシャルスキャナ: すべてのリポジトリファイルをスキャンし、露出したAWSアクセスキー (AKIA*)、GitHub PAT (ghp_*)、秘密RSA/EC/SSHキー、およびハードコードされたAPIトークンを検出。
• ジャストインタイム (JIT) クレデンシャル強制: ワークロードフェデレーションによるエフェメラルアイデンティティ取得と即時メモリゼロ化を義務付け。

4. 📦 ソフトウェアコンポジション分析 (SCA) & サプライチェーンセキュリティ (TRISU-OSS)

• 暗号化ロックファイルハッシュピン留め (TRISU-OSS-01): SHA-256整合性ハッシュによる正確な依存バージョンピン留めを強制し、浮動バージョン範囲 (>=、~=) を拒否。
• オープンソースライセンスガバナンス (TRISU-OSS-03): 商用リリースにおける制限的コピーレフト汚染 (AGPL-3.0、SSPL、EUPL) を禁止。
• タイポスクワッティング & 依存関係混乱防御 (TRISU-OSS-04): 偽装、悪意、またはタイポスクワットされたパッケージ名を検出。
• 暗号化プロベナンス証明 (TRISU-OSS-06): SLSA Level 2+ プロベナンスおよびコンテナ署名メタデータを検証。

5. 📋 自動CycloneDX AI v1.6 部品表 (TRISU-BOM / AI-BOM)

• AI-BoM生成: RFC-4122 UUIDを備えた準拠CycloneDX v1.6 JSONマニフェストを生成 (trisu bom --output ai-bom.json)。
• モデル & プロンプトの透明性: 基盤モデル (例: Claude、GPT、Gemma)、推論タスク、入出力スキーマ、リスク階層、およびガバナンスプロパティを自動記録し、規制監査可能性を確保。

6. 🤖 自律エージェント封じ込め & MCPツールサンドボックス化 (TRISU-MCP)

• Model Context Protocol (MCP) ガードレール: ランタイムパラメータサニタイゼーション、再帰実行ループ境界、および帯域外クレデンシャルインジェクション防御を強制 (TRISU-MCP-01..06)。
• エージェントブラストラジアス制限: 自律エージェントのツール実行を最小権限操作に制限し、変更を伴う呼び出しには必須の人間の承認を要求 (TRISU-ZTC-08)。

7. ☁️ エンタープライズマルチクラウドCSPMフレームワーク (TRISU-CSPM)

• 14の統合クラウドコントロール: AWS、Microsoft Azure、Google Cloud (GCP)、Alibaba Cloud (Aliyun)、およびOracle Cloud Infrastructure (OCI) にわたる標準化されたセキュリティポスチャ。
• 深いドメインカバレッジ: Kubernetesポスチャ (KSPM)、データセキュリティポスチャ (DSPM)、AIモデルペリメータ (AI-CSPM)、WORMストレージオブジェクトロック、およびシフトレフトIaC検証。

8. 👥 デュアルキー・ヒューマン・イン・ザ・ループ (HITL) & エージェントIAM (TRISU-AIAM)

• ゼロトラストプロトコル (ZTP) エンベロープ: 8段階のAIDLCAaマルチエージェントライフサイクルにわたる、構造化された暗号検証済みエージェント間通信パケット。
• デュアルキー承認ゲート: 重要な操作 (例: スキーマ移行、本番デプロイ、IAM昇格) には、2つの異なる人間の役割からの共同署名承認が必要。
• 非人間アイデンティティ (NHI) フェデレーション: 静的なクラウドキーをRFC 8693トークン交換およびSPIFFE/mTLSワークロードプリンシパルに置き換え。

9. 🌐 ユニバーサルCI/CD DevSecOps統合 & OASIS SARIF 2.1.0 (TRISU-SARIF)

• OASIS SARIF 2.1.0生成: CLIは標準SARIFレポート (--sarif) をエクスポートし、GitHub Code Scanning、GitLab Security Dashboard、Azure DevOps、およびSonarQubeにシームレスに取り込まれます。
• ターンキースキャフォールディング (trisu init): 完全なGitHub Actionsワークフロー、pre-commitフック、およびIDEディレクティブを30秒以内にスキャフォールド。

10. 🖥️ Sisu Nexus ビジュアルコンプライアンスダッシュボード (SISU-UI)

• グラスモーフィックサイバーUI: リアルタイムのリポジトリコードスペース探索、アクティブな依存関係グラフ、およびライブピラーヘルスゲージ (SISU、TILLIT、DUGNAD) を備えたスタンドアロンダークモードWebアプリケーション。

🎯 ペルソナ & TriSuEllaの使用方法

🛡️ 3層リスクファーストAIセキュリティモデル

TriSuEllaは、現実世界の運用上および財務上の損失が発生する場所に応じてセキュリティ投資を構造化します:

graph TD
    L1["<b>Layer 1: Cyber Residual Risk Floor</b><br/>(~70% Loss Impact - Foundation: IAM, Secrets, Cloud, OS)"]
    L2["<b>Layer 2: AI / App Security</b><br/>(~20% Loss Impact - AI-Native: Prompt Injection, Semantic Guardrails, MCP Sandboxing)"]
    L3["<b>Layer 3: Technical & Operational Governance</b><br/>(~10% Loss Impact - Lifecycle: AI-BoM, NI-IAM, Drift, EU AI Act, DPDPA)"]
    
    L1 --> L2
    L1 --> L3
    L2 --> L3
    
    style L1 fill:#ff9966,stroke:#333,stroke-width:2px,color:#000
    style L2 fill:#66ccff,stroke:#333,stroke-width:2px,color:#000
    style L3 fill:#99ff66,stroke:#333,stroke-width:2px,color:#000

📊 マスタールール & チェックの概要 (合計299)

すべてのルールは TRISUELLA_MASTER_RULES_AND_CHECKS.md に統合されています:

⚡ クイックスタート: 30秒で本番ガバナンスへ

1. ターンキーランチャー & グローバルPipインストール

本フレームワークは、ターンキーのゼロセットアップラッパーと標準pipパッケージングを提供します:

# Option A: Direct root wrapper (zero install)
.\trisu.cmd check        # Windows (cmd / powershell)
./trisu check            # Linux / macOS / Git Bash

# Option B: Global pip installation (accessible from any directory)
pip install -e tools/trisu-cli
trisu --help

2. trisu init で任意のプロジェクトをスキャフォールド

CLIを実行して、既存のリポジトリにTriSuEllaガバナンスを即座に初期化します:

trisu init --target /path/to/my-repo

これにより以下が自動的にスキャフォールドされます:

• .cursorrules (Cursor AI)
• CLAUDE.md (Claude Code / Claude Projects)
• .windsurfrules (Windsurf)
• .github/copilot-instructions.md (GitHub Copilot)
• trisuella.config.yaml (プロジェクトポリシー設定)
• .pre-commit-config.yaml (ローカルgitコミットブロッカー)
• .github/workflows/trisuella-gate.yml (CI/CD PRゲート)
• audit.md & TRISUELLA-AIDLCA-state.md (状態 & コンプライアンス追跡)

3. ポリシー監査 & サプライチェーンゲートの実行

# Check repository artifact and drop-in template readiness
trisu check

# Run blocking security audit and export OASIS SARIF report
trisu audit --sarif audit.sarif

# Run Open Source Security (OSS) & supply chain audit
trisu oss --sarif oss.sarif

# Scan codebase for Shadow AI, undeclared models & gateway bypasses
trisu shadow --sarif shadow.sarif

# Validate all 204 rule identifiers and inspect domain breakdown
trisu rules

# Generate a CycloneDX AI v1.6 Bill of Materials (AI-BoM)
trisu bom --output ai-bom.json

📁 リポジトリ構造

OWASP-TriSuElla-AIDLCA-FrameWork/
├── README.md                              # Main project entrypoint & quickstart (v3.0)
├── Usage-Guide.md                         # Comprehensive step-by-step master usage guide
├── TRISUELLA_MASTER_RULES_AND_CHECKS.md   # Unified master rulebook (305 checks, 204 rules)
├── ai-bom.json                            # Machine-readable CycloneDX AI v1.6 BoM
├── trisuella.config.yaml                  # Declarative policy & Multi-Cloud CSPM manifest
├── CLAUDE.md & .cursorrules               # Local IDE workspace assistant rules
├── trisu.cmd & trisu                      # Turnkey CLI wrappers for Windows & Unix
├── LICENSE                                # Open-source Apache-2.0 license
├── templates/                             # Drop-in templates for all IDEs & CI/CD
│   ├── .cursorrules                       # Cursor IDE rules
│   ├── CLAUDE.md                          # Claude Code instructions
│   ├── .windsurfrules                     # Windsurf rules
│   ├── copilot-instructions.md            # GitHub Copilot instructions
│   ├── trisuella.config.yaml              # Declarative policy & CSPM manifest
│   ├── .pre-commit-config.yaml            # Git pre-commit hook
│   └── .github/workflows/trisuella-gate.yml # GitHub Actions PR gate
├── tools/
│   ├── trisu-cli/                         # Gatekeeper CLI (check, audit, oss, init, bom, rules)
│   │   ├── trisu_validator.py             # Python engine with AST parser & supply chain scanner
│   │   ├── pyproject.toml & setup.py      # Pip package definition for global 'trisu' command
│   │   └── README.md                      # CLI usage manual
│   └── sisu-ui/                           # Sisu Nexus visual compliance dashboard
│       ├── index.html                     # Web UI dashboard
│       ├── sisu-ui-design-spec.md         # UI architecture & KPIs spec
│       └── sample-data/                   # Demo compliance & governance dataset
├── TRISUELLA-AIDLCA-Rules/                # Core specifications, workflows & prompts
│   ├── README.md & CHARTER.md             # Philosophy, severity scale & charter
│   ├── FULL_README.md                     # Comprehensive manual, CSPM crosswalk & changelog
│   ├── TRISUELLA-AIDLCA-rules/            # core-workflow.md (active agent prompt)
│   ├── TRISUELLA-AIDLCA-rule-details/     # Modular extensions (MCP, EU AI, Zero Trust, CSPM)
│   ├── prompts/                           # Turnkey prompt library (P, B, T, A, C series)
│   └── docs/                              # Developer guides (faq, which-extensions, vibe-coding)
├── TRISUELLA-AIDLCAa/                     # 8-Stage Autonomous Multi-Agent System
│   └── README.md                          # ZTP message protocol & Dual-Key HITL gates
├── TRISUELLA-AIDLCA-docs/                 # State tracker & crosswalk matrices
│   ├── TRISUELLA-AIDLCA-state.md          # Runtime workflow state & extension tracking
│   └── AICM-AIDLCA-Crosswalk.md           # CSA AICM v1.0.3 to TriSuElla crosswalk
└── Data-Source/                           # Regulatory baselines (RBI, ISO 42001, CSA AICM)

📜 施行保証

TriSuEllaは厳格なバイナリ施行原則に基づいて動作します:

• [CRITICAL] / [HIGH]: アトミックストップゲート。実行は即座に停止します。コード生成およびデプロイメントパイプラインは、修復されるまでブロックされます。
• [MEDIUM] / [LOW]: 勧告。audit.md における文書化された正当化と署名された人間のスチュワード承認が必要です。

👤 著者 & プロジェクトリーダーシップ

• 著者 & フレームワークアーキテクト: Bhaskar Puppala (PATEL)
• LinkedIn: linkedin.com/in/bhaskerkpatel
• 組織: OWASP TriSuElla Working Group

v3.2.0 制度化リリース — セキュリティファースト、AIネイティブ。エージェント自律性の時代のために構築。