プロンプト注入や危険な道具の呼び出しをツール「Guardian SDK」はどう見抜くのか

「社内向けの生成AIの窓口に、指示を上書きさせる文を打ち込まれたら止められるのか」「AIエージェントが外部の道具を呼ぶとき、危ない呼び出しを誰が見張るのか」——生成AIを使った業務アプリを作り始めた企業で、開発と情報システムの担当者から出てくる声です。こうした悩みに対して、モデルの手前と後ろに検査の関門を置く、という製品が増えています。大事なのは、検査の道具を入れたかどうかではありません。本当は、その関門が何を根拠に止め、何を見逃しうるのか、どこまでが無料でどこからが有料の仕組みなのかを分けて知ることです。この記事では、そうした関門の一つであるツール「Guardian SDK」について、一次情報で確かめられる検知の仕組み、無料版と有料版の違い、商用製品「Ethicore Engine」との関係、ライセンスの条件、導入前に確かめることを整理します。導入や設定の手順は扱いません。

Guardian SDKとは何か。2026年10月時点で確かめられる事実

Guardian SDK は、GitHub で公開されている Python 向けのツールです。READMEは自らを、Python で作った生成AIのアプリやAIエージェントのための「即時の脅威の検知」と説明し、プロンプト注入（AIへの指示を外部の文で上書きさせる攻撃）、脱獄、悪意のある道具の呼び出し、情報の持ち出しを、モデルに届く前や実行される前に見つけて止めることを掲げています。

2026年10月26日に確かめた範囲では、リポジトリは2026年2月25日に作られ、スターは124、派生は13です。最後の更新は10月22日でした。Python のパッケージの配布サイトには、2026年4月13日の版を最初に23の版が並び、最新は10月5日の2.9.0です。一方、GitHub のリリースの欄は空で、版の履歴は配布サイトと変更履歴の文書で追う形になっています。

公開しているのは個人の形のアカウントで、作られたのは2025年10月26日、公開しているリポジトリは2つ、フォロワーは10です。ライセンスの文書には、権利者として米国の Oracles Technologies という会社の名前があります。つなぐ先として挙げられているのは、OpenAI、Anthropic、Gemini、DeepSeek、Perplexity などの各社のモデル、手元で動かす Ollama、LangChain などの開発の枠組みで、アプリとモデルの間に挟んで使う部品という位置づけです。

商用製品「Ethicore Engine」との関係

リポジトリの説明文は、Ethicore Engine を「AIの安全・倫理・法令順守の基盤」と呼び、このリポジトリはその公開されている部品にあたる「Guardian SDK」だとしています。つまり Guardian SDK は単独の製品というより、提供元の商用の仕組みの入り口として公開されている、と読むのが自然です。

READMEの比較の表でも、この関係ははっきりしています。手元で動かす無料の版（READMEでは地域版と呼ばれる形）と、提供元の仕組みにつなぐ有料の版、自社の環境で全機能を動かす版があり、脅威の規則集の全体や、検知に使うモデルの本体は、提供元が発行する鍵を持つ利用者だけが使えると書かれています。公開されている部分のコードだけでは、READMEが宣伝する検知の全部を手元で再現できるわけではありません。

この記事では、二つを次のように書き分けます。「Guardian SDK」は GitHub で公開されている部品と、その無料の版を指します。「Ethicore Engine」は、規則集の全体、モデル、提供元の基盤で動く分析を含む商用の仕組みを指します。READMEの説明には両者が混ざっているため、機能を読むときは、それが無料の版で動くのか、有料の鍵が要るのかを一つずつ確かめる必要があります。

なぜ今話題か：入出力と道具の呼び出しが攻撃面になった

READMEが挙げる問題意識は、生成AIのアプリが新しい攻撃面になっているのに、多くは守りの層を持たないまま動いている、というものです。プロンプト注入で指示が書き換えられる、脱獄で安全の決まりを外される、役割の乗っ取りでAIが情報を引き出す道具にされる、といった攻撃が挙げられています。

さらにAIエージェントでは、攻撃面が広がるとREADMEは書きます。悪意のある道具の呼び出しが任意の命令を実行しうること、外部から戻ってきた道具の結果に注入の文が仕込まれうること、安全柵のないエージェントが強い権限でコードを動かす通り道になりうること、です。ウェブのページやメールの本文など、AIが読み込む外部の文に指示を紛れ込ませる手口は、間接のプロンプト注入と呼ばれ、OWASP の生成AI向けの危険の一覧でも上位に挙げられている論点です。

こうした背景から、アプリとモデルの間に検査の層を挟む製品や公開のツールが次々に出ています。Guardian SDK もその一つで、入力だけでなく、応答と、道具の呼び出しと戻り値までを一つの流れとして見張ることを売りにしています。ただし、その全部が無料の版で使えるわけではない点は、後の節で見ていきます。

仕組み1：モデルに届く前に調べる入力側の関門

READMEによると、入力がモデルに届く前に、いくつかの層で調べます。一つ目は規則の層で、決まった文の形（正規表現）で既知の攻撃の特徴を探し、文字の置き換えや符号化でごまかした文も元に戻してから照らすとされています。二つ目は意味の層で、小さな言語モデルで文を数値の並びに変え、言い換えた攻撃や新しい変種を意味の近さで見つける、と説明されています。

三つ目は振る舞いの層で、一つのやり取りの中で少しずつ要求を強めていく、何往復にも分けた操作を見つけるとされます。四つ目は機械学習の層で、文脈を踏まえた点数づけを行います。このほか、文と一緒に送られる画像や動画のこま割りに埋め込まれた脅威を調べる層と、文と画像に分けて仕込まれた攻撃を合わせて見る層がありますが、この二つには有料の版の機能だという注記が付いています。

検査の結果は、止める・確かめを求める・通す、といった推奨の動作と、脅威の度合い、判定の理由の文として返る、とREADMEは説明しています。速さについては、一般的な機材で入力側の検査がおおむね15ミリ秒（99パーセンタイル）としていますが、測った機材や条件、見逃しや誤検知の割合は、READMEには示されていません。性能の数字は提供元自身の主張として読む必要があります。

仕組み2：応答を調べる出力側の関門と、自動で学ぶ仕組み

モデルの応答が利用者に届く前にも、二つの層で調べるとされています。一つは応答の分析で、脱獄に従ってしまった応答、安全の制約を外したと述べる応答、内部の指示文を漏らした応答、与えられた役割を捨てた応答などを、重みをつけた信号の点数で見つける、と書かれています。見つかった場合は、元の応答を差し止め、決まった安全な文に置き換える作りです。

もう一つが、自動で学ぶ仕組みです。READMEによると、出力側で攻撃に従った応答が確かめられると、その攻撃の特徴を意味の層の目録に加え、次に似た攻撃が来たときに入力側で止められるようにする、とされています。設定の初期値ではこの学習が有効になっていて、覚える数の上限は500とされています。無料の版では、覚えた内容は動いている間だけ保たれる、とも書かれています。

この仕組みは、攻撃を受けるほど守りが強くなる、という利点として紹介されています。一方で、何を攻撃と見なして覚えたのかを人が確かめる仕組みが、READMEからは読み取れません。誤って覚えた内容が、正しい利用者の入力を止める原因になる可能性もあります。これは一般的な想定で、この製品で起きたという報告は確認していません。

仕組み3：道具の呼び出しと戻り値を調べる関門

AIエージェント向けには、三つの関門が挙げられています。一つ目は道具の呼び出しの検査で、道具の名前と引数を決まった文の形で照らし、命令の実行、パッケージの追加、情報の持ち出し、機密のファイルの読み取り、壊す操作、データベースの丸ごとの書き出しなどを見つける、とされています。

二つ目は道具の戻り値の検査で、構造化されたデータ、ウェブのページ、平文などの形に応じて中身を取り出し、そこに仕込まれた注入の文や、情報を外へ送るための受け口の住所を探す、と書かれています。三つ目は実行の計画の見張りで、複数の道具の呼び出しをまとめて組んだ計画を分解し、一つずつ見る検査をすり抜けるように隠された危ない手順を見つける、とされています。

ただし、READMEはこの三つの関門すべてに有料の版の機能だという注記を付けています。AIエージェントを守る目的で Guardian SDK に注目した場合、無料の版だけではこの部分は使えない、と読むのが妥当です。また、道具の呼び出しの検査は決まった文の形で照らす作りと説明されており、書き方を変えた呼び出しや、規則にない危ない操作をどこまで捉えられるかは、公開の情報からは分かりません。

無料版と有料版でできることの違い

READMEの比較の表と料金の記載を、筆者がまとめたものが下の表です。料金と枠は変わる可能性があるため、検討の時点で提供元の最新の表を確かめてください。

観点	無料の版（手元で動かす）	有料の版（提供元の基盤につなぐ）	自社の環境で動かす版
脅威の分類	7（OWASP に沿った6つと、子どもの安全の分類）	160以上	160以上
規則の数	34	1800以上	1800以上
意味の層の目録	動いている間に覚えた分だけ	2500以上をあらかじめ収録	2500以上をあらかじめ収録
データの置き場所	自社の環境にとどまる	要求は提供元の基盤を通る	自社の環境にとどまるとされる（鍵の有効化の通信のみ）
道具の呼び出しの関門・画像の分析	使えない	使える	README の記載では有料の版の機能とされる
料金（README の記載）	無料	月1000回までの無料の枠、月59.99ドル、月299ドル、個別見積もり	月29.99ドル、月399ドル、個別見積もり

表から分かるのは、無料の版は既知の攻撃の特徴を照らす小さな規則の集まりに近く、READMEが宣伝する機能の多くは有料の鍵と結びついているという構図です。有料の版は、要求の中身が提供元の基盤を通ります。社外に出したくない情報を扱うアプリでは、自社の環境で動かす版が候補になりますが、その場合も鍵の有効化のための通信が発生する、とREADMEは書いています。

「100以上」「160以上」の脅威分類はREADMEの主張

リポジトリの説明文は、プロンプト注入や脱獄などに加えて「100以上の脅威の分類」から守ると書いています。一方、READMEの比較の表では、有料の版と自社の環境の版が「160以上」、無料の版が「7」です。同じリポジトリの中で数字がそろっていないうえ、分類の一覧と、それぞれをどの程度の精度で見つけられるのかは、公開の情報では確かめられません。

こうした数字は、提供元の主張として扱うのが正確です。分類の数が多いことは、見つけられる攻撃が多いこととは限りません。分類の切り方しだいで数はいくらでも増やせますし、見逃しの割合と、正しい入力を止めてしまう割合が分からなければ、実務で使えるかどうかは判断できません。リポジトリには性能を測るためのフォルダがありますが、READMEに結果の数字は載っていません。

比べるときは、分類の数ではなく、自社の利用の場面に近い攻撃の例と正しい入力の例を用意し、止めた件数と止めすぎた件数を自分で数えるのが確実です。これは Guardian SDK に限らず、検知の製品を選ぶときの基本です。提供元が示す数字と、第三者による評価は、確認した範囲では見当たりませんでした。

安全性の評価：注意付きとした根拠

このラインでは、ツールを手元に取り込んだり動かしたりせず、公開されている情報だけで安全性を判定しています。Guardian SDK の判定は「注意付き」です。根拠は次のとおりです。

まず、問題の報告は見つかっていません。2026年10月26日の時点で、リポジトリに公開されたセキュリティ勧告はありませんでした。スターの増え方は1日あたり約0.5で、不自然に急な伸びではありません。取り込むと自動で動く処理の有無を外から調べた範囲でも、リポジトリの最上位に目立つ仕掛けは見当たりませんでした。脆弱性の報告の窓口として専用のメールの宛先と、48時間以内に返答するという約束も、セキュリティの方針の文書に書かれています。

一方で、注意を付けた理由が二つあります。一つは、GitHub の表示上のライセンスが「判定できない」となっていて、実際にはOSI承認ではないライセンスと、別立ての独自のライセンスが組み合わさっていることです（次の節で詳しく見ます）。もう一つは、公開元のアカウントが2025年10月に作られた新しいもので、フォロワーが10と、運営の実績を外から確かめる材料が乏しいことです。なお、問題が見つからなかったことは安全の保証ではありません。導入するなら、自社でも確かめてください。

ライセンスの注意：BSL 1.1と、別立ての資産のライセンス

リポジトリのライセンスの文書は、ビジネスソースライセンス（BSL 1.1）です。権利者は Oracles Technologies、対象は Guardian SDK で、追加の利用の許諾として「競合する製品を提供する目的以外なら、どんな目的にも使ってよい」とあります。2030年5月7日、または各版の最初の公開から4年のどちらか早い日に、Apache-2.0 へ移るとされています。BSL はOSI承認のライセンスではありません。

さらに、脅威の規則集の全体、意味の目録の全体、モデルとその重みなどの資産は、別の独自のライセンスの文書で扱われます。こちらは、有効な鍵を持つことが利用の条件で、第三者への再配布、中身の解析、公開の場所への掲載、競合する製品での利用を禁じ、契約が切れたら写しをすべて消すことを求めています。商用の契約についての文書は、競合にあたる例として、AIの安全、脅威の検知、内容の審査などの製品やサービスを挙げています。

文書どうしの食い違いにも注意が必要です。READMEは本体のライセンスがかつてのMITからBSL 1.1に変わったと書いていますが、どの版までがMITだったかは示していません。また資産のライセンスの文書には、本体をMITのライセンスと呼ぶ古い記述が残っていました。Python の配布サイトの分類も「独自のライセンス」です。この記事が Guardian SDK を「OSS」ではなく「ツール」と呼んでいるのは、このためです。自社がAIの安全や内容の審査に関わる製品を作っている場合は、競合の利用に当たらないかを法務で必ず確かめてください。

送られる情報と、無料版の登録の変更

データの扱いについて、READMEの比較の表は、無料の版と自社の環境で動かす版は「データが自社の環境にとどまる」とし、有料の版にはその印を付けていません。有料の版では検査の要求が提供元の基盤を通りますが、要求の中身をどれだけの期間保存し、何に使うのかは、READMEにも資産のライセンスの文書にも書かれていません。顧客の情報や社外秘の文を検査にかけるなら、契約の前に提供元に書面で確かめる必要があります。

無料の版にも変化がありました。変更履歴によると、2026年8月29日の2.8.0から、鍵を持たずに無料の版を使うには、提供元の窓口で登録し、メールの確認を経て発行される無料の通行証が必要になりました。理由として、利用者にセキュリティの知らせや大きな変更の通知を届けることと、無料の枠を続けるためと書かれています。通行証の確かめは手元だけで行い、通信は発生しないとされています。

一方で、READMEの比較の表には、無料の版は「鍵もアカウントも要らない」と書かれたままでした。登録が要るのかどうかについて、変更履歴とREADMEの記載が食い違っていることになります。無料の版でも、利用者のメールの宛先が提供元に渡る形になった点は、社内の調達の手続きで確かめておきたい変更です。

悪用されうるリスクと、見落としやすい落とし穴

Guardian SDK は守りの道具ですが、使い方を誤ると、守られていると思い込む危うさを生みます。最も大きいのは、無料の版を入れただけで、READMEに並ぶ160以上の分類や道具の呼び出しの関門まで効いていると誤解することです。無料の版の規則は34で、エージェント向けの関門は使えません。社内で「対策済み」と説明する前に、どの版をどう使っているかを確かめる必要があります。

二つ目は、規則と学習に頼る検知の限界です。決まった文の形で照らす検査は、書き方を少し変えた攻撃に弱い傾向があり、意味の近さで見る層も完全ではありません。自動で学ぶ仕組みは、攻撃に従った応答を手がかりに目録を増やしますが、その判定を誤れば、正しい入力を止める側に働く可能性があります。また、検査の時間切れのときに通すのか止めるのかは、READMEからは読み取れませんでした。

三つ目は、配布の経路です。リポジトリには、正しいパッケージ名の綴りを少し変えた名前を並べたフォルダがあり、紛らわしい名前の偽物（タイポスクワット）への備えとみられますが、目的は書かれていません。利用者の側でも、取り込むパッケージの名前と提供元を、公式の記載と照らしてから使うことが大切です。ここに挙げたものは一般的な想定を含み、この製品で悪用が起きたという報告は確認していません。

導入を検討するときに確かめること

Guardian SDK のような検査の層を検討するときは、宣伝の数字より先に、版・データ・契約・効き目の四点を確かめます。次の順で進めると、後からの食い違いを防げます。

企業が取るべき対策

一つ目は、検査の層を「主な防御」ではなく「重ねる防御の一枚」と位置づけることです。プロンプト注入は、入力を調べるだけでは防ぎきれないとされています。AIエージェントに渡す権限と認証の情報を絞る、本番の接続先や機密のデータに直接触れさせない、危ない操作の前に人の承認を挟む、といった基本は、検査の道具を入れても外せません。

二つ目は、社内の規程に「生成AIのアプリに検査の層を入れるときの決まり」を入れることです。どの版を使うか、検査にかけてよいデータの範囲、止めたときの利用者への知らせ方、誤検知が出たときの連絡の経路を文書にしておきます。三つ目は、記録の確認です。止めた件数、止めすぎの申し出、自動で覚えた特徴の数を定期的に見て、検査が実際に効いているかを、宣伝の数字ではなく自社の記録で確かめる習慣をつけます。

四つ目は、調達の段階での確認です。提供元の運営の実態、ライセンスの条件、データの保存の期間、提供が止まったときの移行の手段を確かめます。公開元のアカウントは2025年10月に作られたばかりで、運営の実績を外から判断する材料は限られます。止める手段と、別の検査の道具へ切り替える手段を、入る前に確かめておくことが、新しい提供元の道具を使うときの基本です。

AIに任せる範囲と、人が決める範囲

Guardian SDK の検査には、意味の層や機械学習の層、自動で学ぶ仕組みなど、AIを使った判定が含まれます。こうした判定は便利ですが、AIの判定をそのまま最終の判断にしないことが大切です。次のような使い方は避けてください。

• 検査の道具が「通す」と判定したことを根拠に、道具の呼び出しや送金などの操作を人の確認なしに実行する
• 自動で学ぶ仕組みが覚えた内容を、誰も中身を見ずに増やし続ける
• 無料の版しか使っていないのに、「エージェントの道具の呼び出しまで見張っている」と社内に説明する
• 判定の理由の文を読まずに、止めた件数だけで効果を報告する
• 顧客の情報を含む文を、保存の条件を確かめないまま提供元の基盤の検査にかける

人が決めるべきなのは、検査にかけるデータの範囲、止めたときと時間切れのときの動き、人の承認を必須にする操作、自動で学ぶ内容の見直しの頻度の四つです。AIに任せてよいのは、決められた範囲での一次の振り分けと、なぜそう判定したかの根拠を書くところまでです。Guardian SDK が判定の理由の文を返す作りになっているのは、この根拠を人が読んで確かめる使い方と相性がよい点だと言えます。

よくある質問：NISTの目録に載っていれば信頼してよいのか

READMEは、Guardian SDK が NIST（米国の国立標準技術研究所）の OLIR という目録に、サイバーセキュリティの枠組み（CSF 2.0）と、AIの危険の管理の枠組み（AI RMF 1.0）に対する参照として載っていることを掲げ、「公式の整合」と表現しています。OLIR は、作り手が自分の文書や製品の要素と、NIST の文書の要素との対応を標準の形で示すための仕組みです。

ただし、目録に載ることは、製品の検知の性能や安全性を NIST が試験して認めたことと同じではない、と考えるのが妥当です。対応の表が公開されていることと、攻撃を確かに止められることは別の話です。少なくとも、NIST がこの製品の性能を検証したことを示す一次情報は、確認した範囲では見当たりませんでした。

社内の監査や取引先への説明で使う場合は、目録の対応の表を、自社の管理策との突き合わせの材料として使うのが現実的です。そのうえで、実際に効いているかは、導入前の試験と運用の記録で確かめます。枠組みとの対応は、効き目の証明ではなく、説明の地図として扱ってください。

• Guardian SDK の機能・版ごとの違い・料金・データの扱いは、GitHub のリポジトリ（README・変更履歴・セキュリティの方針・セキュリティの欄）と Python の配布サイトを2026年10月26日に確かめた範囲に基づきます。版の更新で変わる可能性があります
• ライセンスは、本体のライセンスの文書・資産のライセンスの文書・商用の契約の文書を読んだ範囲での整理です。実際の利用の可否は、自社の法務で全文を確かめてください
• 検知の精度、有料の版でのデータの保存の条件、自動で学ぶ内容の確かめ方、時間切れのときの動き、第三者による評価は、確認した一次情報の範囲では確かめられませんでした。この記事は導入や設定の手順を扱いません

まとめ

Guardian SDK は、AIアプリへの入力、モデルの応答、AIエージェントの道具の呼び出しと戻り値を調べ、プロンプト注入や危険な操作を止めるとするツールで、商用製品「Ethicore Engine」の公開部分にあたります。規則・意味・振る舞いの層を重ね、応答の側でも漏れや脱獄を見つけ、学んだ特徴を入力側に戻すという設計は、検査の層を考えるうえで参考になります。

一方で、手元で動く無料の版は7分類・34の規則にとどまり、160以上の分類や道具の呼び出しの関門は有料の鍵と結びついています。本体はBSL 1.1、資産は別の独自のライセンスで、OSI承認のOSSではありません。有料の版のデータの扱いや検知の精度は公開されておらず、公開元のアカウントも新しいものです。使う版で何が効くのか、データがどこへ行くのか、契約の条件は何かを確かめ、止める基準と承認は人が決め、効き目は自社の記録で確かめることが、Guardian SDK との現実的な付き合い方です。

※本記事にはAIが活用されています。編集者が確認・編集し、可能な限り正確で最新の情報を提供するよう努めておりますが、情報の完全性、正確性、最新性、有用性等について保証するものではありません。本記事の内容に基づいて行動を取る場合は、読者ご自身の責任で行っていただくようお願いいたします。