ソース・シンク分析とは、攻撃者が必要とするものを一つではなく二つとして捉えるセキュリティエンジニアリングの枠組みである。すなわち、システムに影響を与える手段である ソース（source） と、誤った文脈では危険になる能力である シンク（sink） である。プロンプトインジェクションに耐える AI エージェントの設計 でエージェントに適用された形では、この組み合わせは典型的には、信頼できない外部コンテンツと、第三者への情報送信、リンクの追跡、ツールとのやり取りといったアクションとの組み合わせを意味する。
この文脈でこの枠組みが有用なのは、介入できる場所をもう一つ与えてくれる点にある。悪意ある入力の検出だけを中心に組み立てた防御は、ソースの側で毎回勝ち続けなければならない。これに対してこの枠組みは、シンクも同じように防御可能な場所として扱う。これが重要なのは、同じ投稿が、操作的なコンテンツを分類することは嘘を見抜く問題に近く、十分に練り上げられた攻撃はふつうそのやり方では捕捉されない、と論じているからである。
用法
この投稿は、この枠組みを、エージェントへの攻撃が実際にどう機能するかについての自らのソーシャルエンジニアリング・モデルと組み合わせることを述べている。そこから導かれるセキュリティ上の期待は、シンクの観点から述べられている。すなわち、潜在的に危険なアクションや、潜在的に機微な情報の送信は、黙って、あるいは適切な安全策なしに行われてはならない、というものである。Safe Url は、この投稿がその考え方に基づいて構築したと報告する具体的な仕組みであり、入ってくるコンテンツではなく送信の側で作用する。
適用される場面
この枠組みは、エージェントが外部コンテンツへの露出と、結果を伴う能力とを併せ持つあらゆる場面に当てはまる。また、危険な能力を列挙できることを前提としている。誰も特定しなかったシンクは防御されない。これはそれ自体が制御なのではなく、制御をどこに置くかを整理するための方法であるため、実際にどちらかの端で何かが行われるまでは何の保護も生まない。
どの程度確立されたものかについて言えば、この投稿はこれを新しい提案としてではなく、より伝統的なセキュリティエンジニアリングの手法の一つとして示しており、それをエージェント型システムに持ち込み、自らのソーシャルエンジニアリング・モデルと組み合わせている。ここで参照できる説明は、単一のベンダーが自社製品についての考え方を述べたものである。
関連用語
- プロンプトインジェクション — この枠組みが適用される攻撃
- Safe Url — 同じ出典でこの枠組みに基づいて構築された、シンク側の緩和策
- 制御プレーンとデータプレーンの混同 — この攻撃クラスが排除しにくい理由についての、別の構造的な説明
- ガードレール — シンクの側に置かれる制御
- プロンプトインジェクションに耐える AI エージェントの設計 — この説明の出典