エージェント型スタックマップ

ACM-01スコープ定義されたツールカタログ

エージェントが呼び出し可能なすべてのツールが、そのスコープ、書き込み権限の有無、および攻撃者がそれを呼び出すことで得られるメリットとともにリスト化されています。誰も文書化していないツールは、誰もレビューしていない権限と同じです。

テスト: カタログを作成します。すべてのエントリに書面によるスコープと指定された所有者が存在し、エージェントが呼び出し可能なものが漏れなく含まれていることを確認します。

eu-ai-actiso-42001nist-ai-rmfowasp-llm-top10mitre-atlas

ACM-02最小スコープでのツールごとの認証情報

各ツールは、アップストリームシステムがサポートする最も狭いスコープで発行された独自の認証情報を保持します。管理者トークンに裏打ちされた読み取り専用ツールは、バグが1つあるだけで書き込みツールになってしまう危険性があります。

テスト: 各ツールについて、認証情報とそのサーバー側のスコープを示します。いずれかのツールの範囲を超えるような認証情報を、2つのツールが共有していないことを確認します。

eu-ai-actiso-42001nist-ai-rmfowasp-llm-top10mitre-atlas

ACM-03パラメータの許可リスト（アローリスト）

ツールがアクセスできるターゲット（パス、リポジトリ、テーブル、アカウント、受信者など）はサーバー側で制限されているため、乗っ取られたエージェントが正当なツールを不正なターゲットに向け直すことはできません。

テスト: 書き込み権限を持つ各ツールを、スコープ外のターゲットを指定して呼び出します。モデルが拒否するのではなく、ツール自体の境界によって呼び出しが拒否されることを確認します。

eu-ai-actiso-42001nist-ai-rmfowasp-llm-top10mitre-atlas

ACM-04デフォルト拒否の送信（エグレス）制限

送信トラフィックは指定された宛先にのみ到達し、それ以外はすべて拒否されます。すべてのデータ流出経路は送信リクエストに帰着するため、これはモデルが説得（操作）された後でも機能し続ける管理策です。

テスト: エージェントの環境内から、リストにないホストをリクエストします。ネットワークまたはプロキシレイヤーで失敗し、拒否がログに記録されます。

eu-ai-actiso-42001nist-ai-rmfowasp-llm-top10mitre-atlas

ACM-05送信拒否はエラーではなくアラート

拒否された外部へのリクエストはセキュリティシグナルとしてログに記録され、担当者に届きます。拒否は、エージェントスタックが生成する数少ない明白な攻撃シグナルの1つであり、タイムアウトと同じバケットに分類されてしまっては価値がありません。

テスト: 拒否をトリガーします。一般的なネットワークエラーとしてではなく、宛先と呼び出し元エージェントを含む、アラート可能な個別のイベントとして表示されます。

eu-ai-actiso-42001nist-ai-rmfowasp-llm-top10mitre-atlas

ACM-16公開されたエンドポイントにおけるトランスポートおよびオリジンの検証

外部からアクセス可能なエージェントエンドポイントは、処理を実行する前にトランスポートを検証します。オリジンを許可リストと照合し、ブラウザ起点のクロスサイト呼び出しを拒否し、すべての呼び出し元に対して実際の429エラーでレート制限を適用します。

テスト: 外部のOrigin、およびOriginなしでエンドポイントを呼び出します。前者はハンドラーが実行される前に拒否され、後者は処理されて呼び出し元の制限にカウントされます。

eu-ai-actiso-42001nist-ai-rmfowasp-llm-top10mitre-atlas

ACM-06エフェメラル（一時的）で資格情報を持たない実行

エージェントが生成または呼び出すものはすべて、タスクごとに作成され、終了後に破棄される環境で実行され、環境に存在する資格情報は保持されません。永続化こそが、一回限りの侵害を足がかりへと変える要因です。

テスト: 実行中のタスクの内部で、環境を列挙します。タスクに不要な資格情報は存在せず、環境はタスクの終了とともに消滅することを確認します。

eu-ai-actiso-42001nist-ai-rmfowasp-llm-top10mitre-atlas

ACM-07リソース制限とタイムアウト

CPU、メモリ、ディスク、実時間、および呼び出し回数はホストによって制限されます。暴走的な消費は、最も早く、最も頻繁に発生する障害モードであり、通常は攻撃者がまったく関与していません。

テスト: 終了しないように設計されたタスクを実行します。クォータによって停止され、その停止が記録され、試行のコストが制限され、把握できていることを確認します。

eu-ai-actiso-42001nist-ai-rmfowasp-llm-top10mitre-atlas

ACM-17可逆性と停止制御

エージェントが実行できるすべてのアクションは、可逆的であるか、ゲート（制限）が設けられており、システム全体を停止させることなく、実行途中で人間がエージェントを停止できます。オフスイッチのない自律性は自律性ではなく、危険に身をさらしているだけです。

テスト: 実行中のエージェントを停止します。規定の時間内に停止し、中途半端に適用された変更を残さず、停止の記録とそれを実行した担当者が記録されることを確認します。

eu-ai-actiso-42001nist-ai-rmfowasp-llm-top10mitre-atlas

ACM-08影響の大きいアクションに対する承認ゲート

不可逆的、規制対象、または高コストなアクションは、承認、編集、または拒否を判断できる十分なコンテキストを持つ担当者のために一時停止します。デフォルトですべてをゲートするのではなく、リスクに基づいてゲートを設定してください。過剰なゲート設定は形骸化（ラバースタンプ化）を招き、ゲートがあるように見える分、ゲートがない状態よりも悪影響を及ぼします。

テスト: ゲートされたアクションと、それを設定したリスク基準をリストアップします。そのうちの1つを試行し、一時停止、ルーティングされ、決定が下した人物の身元とともに記録されることを確認します。

eu-ai-actiso-42001nist-ai-rmfowasp-llm-top10mitre-atlas

ACM-09指名されたオーナーを持つエスカレーションパス

エージェントが不確実な状態、ブロックされた状態、またはポリシー違反の状態にある場合、担当者に至る定義されたパスが存在し、その担当者が指名されています。オーナーのいないエスカレーションルートは、単なるキューにすぎません。

テスト: エスカレーションを強制的に発生させます。指定された時間内に指名された担当者に届き、引き継ぎの際、状況を再確認することなく対処するために必要なコンテキストが伝達されることを確認します。

eu-ai-actiso-42001nist-ai-rmfowasp-llm-top10mitre-atlas

ACM-10すべての決定とツール呼び出しの相関トレース

各実行は、入力、モデルとバージョン、引数と結果を伴うツール呼び出し、および最終アクションという、不変で相関のある記録を生成します。何が起こったかを再構築するのに十分であり、ログ自体が情報漏洩の原因になるようなものは含まれません。

テスト: 過去の実行をランダムに選択し、ログのみから最初から最後まで再構築します。その後、ログに不要な機密情報や生の個人データが含まれていないことを確認します。

eu-ai-actiso-42001nist-ai-rmfowasp-llm-top10mitre-atlas

ACM-11変更をゲートする評価スイート

変更のたびに厳選されたケースのセットが実行され、デグレード（退行）が発生した場合はリリースがブロックされます。これがないと、「動いているようだ」ということだけが品質の根拠になり、修正と単なる変更を区別するものがなくなります。

テスト: 既知のデグレード（退行）を混入させます。スイートがそれを検出し、変更が出荷されないことを確認します。失敗したところを見たことがないスイートは、検証されたことがないスイートと同じです。

eu-ai-actiso-42001nist-ai-rmfowasp-llm-top10mitre-atlas

ACM-12信頼できないコンテンツの隔離とマーク

取得したドキュメント、ツールの実行結果、およびサードパーティの出力はデータとして区切られ、指示チャネルにマージされることはありません。モデルはこれらを確実に区別できないため、ハーネスが区別する必要があります。

テスト: エージェントが取得するドキュメント内に指示を仕込みます。エージェントがそれを読み取ることはあっても、実行してはならず、その試行が後から確認できる必要があります。

eu-ai-actiso-42001nist-ai-rmfowasp-llm-top10mitre-atlas

ACM-13モデル出力を信頼できない入力として処理

モデルが出力したもののうち、レンダラー、シェル、クエリ、または他のシステムに到達するものはすべて、見知らぬ人からの入力とまったく同じようにエンコードおよび検証されます。

テスト: 存在する各下流シンク（出力先）に対して、モデルにペイロードを出力させます。それぞれが到達する前に、境界で無害化されることを確認します。

eu-ai-actiso-42001nist-ai-rmfowasp-llm-top10mitre-atlas

ACM-14メモリの整合性と有効期限

エージェントが永続メモリに書き込む内容は、属性が定義され、レビュー可能で、有効期限を設定できます。メモリこそが、一回限りの攻撃を、将来の無関係なタスクで再トリガーされる攻撃へと変える要因です。

テスト: 通常のインタラクションを通じて誤った事実を書き込みます。それがどこから来たのか、誰が削除できるのか、そしていつ自動的に期限切れになるのかを示します。

eu-ai-actiso-42001nist-ai-rmfowasp-llm-top10mitre-atlas

ACM-15モデル、プロンプト、およびサーバーのプロバナンス（来歴）

モデル、システムプロンプト、MCPサーバー、パッケージ、およびデータセットがピン留めされ、変更時にレビューされ、ソースまで追跡可能であること。ツールの説明を書き換えられる依存関係は、エージェントの動作も書き換えることができます。

テスト: 外部依存関係ごとに、ピン留めされたバージョンと最後の変更をレビューした担当者を特定します。上流でツールの説明を変更し、その変更が本番環境に到達する前に検出されることを確認します。

eu-ai-actiso-42001nist-ai-rmfowasp-llm-top10mitre-atlas

ACM-18維持およびテストされた脅威モデル

攻撃対象領域（アタックサーフェス）が書き出され、それぞれに制御策と所有者が割り当てられ、許容されたリスクは許容済みとして明記され、ツール、データソース、または自律性レベルが変更されるたびにドキュメントが再検討されること。

テスト: 現在の脅威モデルと、ツールカタログの最終変更日を表示します。カタログの方がモデルよりも新しい場合、モデルは古くなっており、この制御策は不合格となります。

eu-ai-actiso-42001nist-ai-rmfowasp-llm-top10mitre-atlas