著者: BitsLab、AIセキュリティ会社
AIエージェントがシェル実行、ファイルの読み書き、ネットワークリクエスト、スケジュールタスクといったシステムレベルの機能を持つようになると、もはや単なる「チャットボット」ではなく、真の権限を持つオペレーターとなります。これは、プロンプトインジェクションによって誘発されたコマンドによって重要なデータが削除される可能性があり、サプライチェーンによって汚染されたスキルによって認証情報が密かに漏洩される可能性があり、検証されていない業務オペレーションによって取り返しのつかない損失が発生する可能性があることを意味します。
従来のセキュリティ ソリューションは、通常、2 つの極端な方法に分かれます。1 つは、AI 自身の「判断」に完全に依存して自己制御する方法 (これは、綿密に作成されたプロンプトによって簡単に回避できます)、もう 1 つは、多数の厳格なルールを積み重ねてエージェントをロックする方法 (エージェントのコア価値が失われます) です。
BitsLab のこの詳細な製品ガイドでは、3 番目のアプローチが選択されています。つまり、「検査を実行するのは誰か」に応じてセキュリティの責任を分割し、3 つの役割のそれぞれが適切な機能を果たすようにします。
- 常連ユーザー：最後の砦として、重要な意思決定と定期的なレビューを担当します。認知負荷を軽減するためにメモを提供します。
- エージェント自体：エージェントは、実行時に動作ガイドラインと監査プロセスを意識的に遵守します。エージェントのコンテキストにセキュリティ知識を注入するためのスキルを提供します。
- 決定論的スクリプト：プロンプトインジェクションの影響を受けることなく、機械的かつ忠実にチェックを実行します。一般的な既知の危険パターンをカバーするスクリプトを提供します。
万能な検査員は一人もいません。スクリプトはセマンティクスを理解できず、エージェントは騙されやすく、人間は疲労してしまいます。しかし、これら3つを組み合わせることで、日常的な使用における利便性と、高リスクな操作からの保護の両方を実現できます。
通常ユーザー向け（注意事項）
ユーザーはセキュリティシステムにおける最終防衛線であり、最高権限を有します。以下は、ユーザーが自ら監視・実施する必要があるセキュリティ事項です。
a) APIキー管理
- 不正アクセスを防ぐために、適切な権限で構成ファイルを構成します。
API キーをコード リポジトリに送信しないでください。
b) チャネル アクセス制御 (極めて重要!)
- 各通信チャネルにホワイトリスト (`allowFrom`) を設定する必要があります。そうしないと、誰でもエージェントとチャットできるようになります。
⚠️ 新バージョンでは、空の `allowFrom` はすべてのアクセスを拒否することを意味します。アクセスを許可したい場合は、明示的に `["*"]` を記述する必要がありますが、これは推奨されません。
c) ルート権限で実行しないでください。
- 過剰な権限を避けるために、エージェントを実行するための専用ユーザーを作成することをお勧めします。
d) 電子メールチャネルの使用は避けてください。
電子メールプロトコルは複雑で、比較的リスクが高いです。BitsLabチームは、電子メールに関連する重大な脆弱性を発見し、確認しました。以下はプロジェクトチームからの回答です。プロジェクトチームによる確認を待っている問題がいくつか残っているため、電子メール関連の機能モジュールは慎重にご利用ください。
e) Docker でのデプロイメントが推奨されます。
- ナノボットを日常使用環境から分離し、権限や環境の混在によるセキュリティ リスクを回避するために、ナノボットを Docker コンテナにデプロイすることをお勧めします。
ツールのインストール手順
ツールの原則
スキル.md
認知覚醒に基づくインテントレビューは、従来のAIが受動的に指示を受け取る際の盲点を打破します。必須の「自己ウェイクアップ」思考連鎖メカニズムを組み込んでおり、AIはユーザーからのリクエストを処理する前に、まずバックグラウンドで独立したセキュリティレビューペルソナを起動する必要があります。コンテキスト分析とユーザーのインテントの独立判断により、潜在的な高リスクアクティビティを積極的に特定・ブロックすることで、「機械的実行」から「インテリジェントファイアウォール」へのアップグレードを実現します。悪意のある指示（リバースシェル、機密ファイルの盗難、大規模削除など）が検出された場合、ツールは標準化されたハードインターセプションプロトコルを実行します（「[Bitslab nanobot-sec スキルが機密操作を検出しました…、ブロックしました]」という警告を出力します）。
悪意のあるコマンド実行の傍受（シェルとCronの保護）
エージェントは、オペレーティングシステムレベルのコマンド実行時に「ゼロトラスト」ゲートウェイとして機能します。様々な破壊的な操作や危険なペイロード（「rm -rf」による悪意のある削除、権限の改ざん、リバースシェルなど）を直接ブロックします。同時に、このツールにはディープレベルのランタイム検査機能が組み込まれており、システムプロセスやCronスケジュールタスクから永続的なバックドアや悪意のある実行特性をプロアクティブにスキャン・除去することで、ローカル環境の絶対的なセキュリティを確保します。
機密データの盗難防止（ファイルアクセス検証）
コア資産には、厳格な物理的な読み取り/書き込み分離が実装されています。システムは、APIキーやコア設定を含む「config.json」や「.env」などの機密ファイルのAIによる不正な読み取りや外部への転送を厳格に防止するための厳格なファイル検証ルールを事前に設定しています。さらに、セキュリティエンジンはファイル読み取りログ（「read_file」ツールの呼び出しシーケンスなど）をリアルタイムで監査し、認証情報の漏洩やソースでのデータ転送の可能性を完全に排除します。
MCPスキル安全性監査
MCP タイプのスキルの場合、ツールはコンテキスト インタラクションとデータ処理ロジックを自動的に監査し、機密情報の漏洩、不正アクセス、危険なコマンド インジェクションなどのリスクを検出し、セキュリティ ベースラインとホワイトリストと比較します。
新しいスキルのダウンロードと自動セキュリティスキャン
新しいスキルをダウンロードする際、ツールは監査スクリプトを使用して静的コード分析を自動的に実行し、セキュリティ ベースラインとホワイトリストを比較し、機密情報と危険なコマンドを検出して、スキルが安全で準拠していることを確認してからスキルをロードします。
改ざん防止ハッシュベースライン検証
システムの基盤となる資産に対する絶対的なゼロトラストを確保するため、保護シールドは重要な構成ファイルとメモリノードに対してSHA256暗号署名のベースラインを継続的に確立・維持します。夜間検査エンジンは、すべてのファイルハッシュの一時的な変化を自動的にチェックし、不正な改ざんや上書きを数ミリ秒以内に即座に検知します。これにより、ローカルバックドアの埋め込みや物理ストレージ層における「ポイズニング」のリスクを完全に排除します。
災害復旧バックアップスナップショットの自動ローテーション
ローカルエージェントはファイルシステムへの非常に高い読み取り／書き込み権限を持つため、システムにはトップレベルの自動災害復旧メカニズムが組み込まれています。保護エンジンは毎晩、アクティブなワークスペースの完全なサンドボックスレベルのアーカイブを自動的に作成し、最大7日間（自動ローテーション）保持するセキュリティスナップショットメカニズムを生成します。極端な状況下での偶発的な破損や削除が発生した場合でも、開発環境をワンクリックでロスレスにロールバックできるため、ローカルデジタル資産の継続性と回復力を最大限に高めることができます。
免責事項
このガイドは、セキュリティ実践の参考資料として提供されており、いかなる形式のセキュリティ保証も提供するものではありません。
1. 絶対的なセキュリティは存在しません：本ガイドで説明されているすべての対策（決定論的スクリプト、エージェントスキル、ユーザーによる考慮事項を含む）は「ベストエフォート」の保護策であり、すべての攻撃ベクトルを網羅できるものではありません。AIエージェントのセキュリティは急速に進化する分野であり、新たな攻撃手法がいつでも出現する可能性があります。
2. ユーザーの責任：Nanobotを導入および使用するユーザーは、自らの運用環境のセキュリティリスクを自ら評価し、本ガイドの推奨事項を実際のシナリオに合わせて調整する必要があります。不適切な設定、適時更新の実施の不履行、またはセキュリティ警告の無視に起因するすべての損失は、ユーザーが負担するものとします。
3. 専門家以外のセキュリティ監査の代替手段：本ガイドは、専門家によるセキュリティ監査、侵入テスト、コンプライアンス評価の代替手段ではありません。機密データ、金融資産、または重要なインフラが関与するシナリオでは、専門のセキュリティチームによる独立した評価を依頼することを強くお勧めします。
4. サードパーティの依存関係：Nanobot が依存するサードパーティのライブラリ、API サービス、プラットフォーム（Telegram、WhatsApp、LLM プロバイダーなど）のセキュリティについては、本ガイドの対象外です。ユーザーは関連する依存関係のセキュリティに関する発表に注意し、適時に更新する必要があります。
5. 免責事項: Nanobot プロジェクトの管理者および貢献者は、このガイドまたは Nanobot ソフトウェアの使用から生じる直接的、間接的、偶発的、または結果的な損害について一切責任を負いません。
このソフトウェアを使用することにより、前述のリスクを認識し、同意するものとします。
