大規模言語モデル（LLM）ファイアウォール：プロンプトインジェクションとRAGポイズニングの実践的防御

典型的な攻撃対象領域

• プロンプトへの直接攻撃：ハルシネーションを誘発する入力や逆方向からの誘導によって、モデルにシステム指示を無視させる
• サードパーティ経由のポイズニング攻撃：悪意ある指示を含む文書をRAGナレッジベースに書き込む、ツールの戻り値を改ざんするなど
• システムプロンプトの漏洩：モデルを誘導してシステムプロンプトを出力させ、業務ルールとツール定義を露出させる
• 外部へのデータ送信：機微な顧客情報を含むリクエストがそのままクラウドモデルへ送られる
• ナレッジベースの侵害：権限外アクセス、窃取、改ざん

第1層：入力側ファイアウォール

ユーザー入力がモデルに到達する前に検知します。ルールと分類モデルでインジェクションのパターン（ロールプレイによる誘導、指示の上書き、エンコーディングによる回避）を識別し、該当した場合は遮断して記録します。RAGで検索されたパッセージにも同じ検知を適用します。ポイズニングされた文書に仕込まれた指示は、検索結果を通じてコンテキストに入り込んでくるためです。

第2層：ツール呼び出しのガードレール

ツール呼び出しは、インジェクション攻撃が実害につながる経路です。各ツールに許可するパラメータの範囲と呼び出し条件を宣言させ、呼び出し前にパラメータを検証します。高リスクの操作（データ変更、メッセージ送信、送金など）には、再確認または人による承認を必須にします。ツールの戻り値は信頼できない入力とみなし、改めて検知にかけます。

第3層：出力側の審査

モデルの出力に対して、機微情報の検知（身分証番号、銀行カード番号、社内の管理番号）、システムプロンプトの断片との照合、コンプライアンスチェックを行います。該当した場合はマスキングまたは遮断し、そのイベントをリスク指標として計上します。

4コンポーネントのデータ保護アーキテクチャ

業務上クラウドモデルを使う必要がある一方で、データを社内環境の外に出せない場合は、4つのコンポーネントを1本の処理チェーンとしてつなぎます。01）PIIマスキング：ファイアウォールを出る前に、氏名、口座番号、金額などの機微情報を取り除きます。02）合成データへの置換：外部で処理する際に実際の値をダミー値に置き換え、データ構造と意味は保持します。03）外部での意図処理：クラウドモデルは意図の認識とワークフローの選択のみを行い、実データには触れません。04）応答の再構成：社内ネットワーク内で実際の値を応答に差し戻し、ユーザーには完全な結果が表示されます。

各種コンプライアンスへの対応

中国の等級保護（MLPS）第3級には、オンプレミス導入とセキュリティ強化で対応します。ISO 27001は情報セキュリティマネジメントシステムの整合で、GDPRはデータ主体の権利の保障、DPA条項、EUリージョンへの導入で、それぞれ対応します。PIPL（中国個人情報保護法）が求めるのは、中国国内でのデータ保存、必要最小限の原則、個別の同意です。セキュリティは最後に付け足す関門ではなく、全層を貫く設計上の制約です。