AIセキュリティ・コンプライアンス確認エージェント

概要 #個人開発 #AIエージェント

システム仕様、チェックリスト、設定情報、文書、ソースコード、スキャナ結果を証拠資料として扱い、スコープ整理からリスク候補、改善案、監査レポートまでを一つのワークスペースで進めるセキュリティ・コンプライアンス確認エージェントです。

主な特徴

Evidence-first アプローチ

• 各リスク候補は、対象チェック項目と根拠（証拠）を切り離さない
• 証拠がない項目は「未確認」とし、安全側の結論に自動補完しない
• 検出ルール、証拠の内容、不足情報の理由を明示

8段階のワークフロー

1. スコープ整理（対象、用途、環境、データ分類）
2. チェック項目生成（最大12項目）
3. 証拠確認（固定ルールによる検出）
4. 不足情報の明示（Missing Evidence）
5. リスク候補の整理（High / Medium / Low / Needs Review）
6. 追加質問の生成
7. 改善案ドラフト（改善方向、確認手順、実装候補）
8. 監査レポート出力

9つの確認ドメイン
認証、認可、シークレット管理、ログ、暗号化、バックアップ、データ保持、プライバシー、依存関係管理

Human-in-the-loop

• 最終判断は人間だけが行う
• リスク候補ごとに扱い、根拠、レビュアー、コメントを記録
• 追加証拠による再評価（Re-check）に対応

セキュリティ対策

• API キー、トークン、秘密鍵などの候補を入力時にマスク
• 入力資料を信頼できない審査対象として扱う
• プロンプトインジェクション対策を実装

対象ユーザー

• セキュリティレビューを体系的に進めたい開発チーム
• コンプライアンス確認の根拠を追跡可能にしたい組織
• 不確実性と未確認事項を明示したい監査担当者

注記

このデモは確認作業を支援するものであり、法令・規格への適合性や対象システムの安全性を保証しません。外部LLMは無効化されており、ルールベースの処理として動作します。