OWASP Agentic Top 10 への対応状況
English: OWASP Agentic Top 10
このページは、OWASP Top 10 for Agentic Applications（ASI01〜ASI10）の各リスクと、Kurahiが提供する 統制との対応を示します。KODA SōKEN チームが、下記リンク先の各仕組みのページをもとに行った自己評価です。 認証や第三者監査ではありません。
2026年10月23日時点：対応済み 4、一部対応 6、未対応 0。
評価の意味：
- 対応済み：ランタイムに専用の統制があり、新規インストールで有効（
enforce）、監査ログに記録され、 限界が文書化されている。リスクがなくなったという意味ではありません。各ページの「限界」を参照してください。 - 一部対応：統制によってリスクは下がるものの、重要な部分が設定、運用者のレビュー、 またはモデルが指示に従うかどうかに依存する。
- 未対応：統制がない。
既存のインストールは、運用者が変更するまで従来の設定を維持します。kurahi doctor は、従来の緩い既定値の
ままになっている保護をすべて表示します（セキュアデフォルト、英語）。
以下の評価はセキュアデフォルトを前提としています。
一覧
「一覧」の見出し| リスク | 評価 | 主な統制 |
|---|---|---|
| ASI01 エージェントの目的の乗っ取り | 一部対応 | 信頼できないコンテンツの明示、ポリシー、承認、メモリの隔離 |
| ASI02 ツールの誤用と悪用 | 一部対応 | 署名付きポリシー（ツールの許可・拒否、予算）、実行承認、サンドボックス |
| ASI03 ID と権限の悪用 | 一部対応 | エージェントごとの資格情報の分離、スコープ付きペアリング、セッション許可リスト |
| ASI04 エージェントのサプライチェーンの脆弱性 | 対応済み | スキルとプラグインのサプライチェーンロック |
| ASI05 予期しないコード実行 | 対応済み | 破壊的コマンドのガード、サンドボックス、実行承認、ターミナルブローカー |
| ASI06 メモリとコンテキストの汚染 | 対応済み | メモリの来歴管理と隔離 |
| ASI07 安全でないエージェント間通信 | 対応済み | 署名付きエージェント間メッセージ |
| ASI08 連鎖的な障害 | 一部対応 | 予算とジョブ上限、キルスイッチ、ループガード |
| ASI09 人とエージェントの信頼関係の悪用 | 一部対応 | 画面上での承認、音声では承認できない、リスクの事前表示 |
| ASI10 不正に振る舞うエージェント | 一部対応 | キルスイッチ、ハッシュチェーン監査ログ、起動時の整合性ゲート |
リンク先の各ページは英語です。
対応済み
「対応済み」の見出しASI04 エージェントのサプライチェーンの脆弱性
「ASI04 エージェントのサプライチェーンの脆弱性」の見出しスキルとプラグインは、オーナー鍵で署名したロックファイルにSHA-256で固定（ピン留め）します。
新規インストールの enforce モードでは、同梱以外のスキルやプラグインは内容がピンと一致する場合にのみ
読み込まれます。ピン留めの前には静的スキャンが実行されます。限界：同梱コードとプラグインの依存関係は
ハッシュの対象外です。ピンは「運用者がこの内容を承認した」ことを記録するもので、作成者を証明するものでは
ありません。
ASI05 予期しないコード実行
「ASI05 予期しないコード実行」の見出しエージェントの出力をシェルコマンドに変換するすべての経路で、どの承認でも解除できない破壊的コマンドの ガードを通します。新規インストールでは、グループ、チャネル、サブエージェント、cron はコンテナの サンドボックスで動作し、サンドボックス外のコマンドは実行承認を経由します。Work Console のターミナルは 1行ごとに判定し、読み取り専用でないものはすべて承認を求め、差分と監査記録を残します。限界： サンドボックスを使わない場合、承認されたプログラムはOSユーザーの権限で動作します。
ASI06 メモリとコンテキストの汚染
「ASI06 メモリとコンテキストの汚染」の見出しメモリへの書き込みにはすべて、書き込んだ主体と、それまでに読んだ内容の信頼度が記録されます。
enforce モードでは、信頼できない入力の後の書き込みや、注入された指示に見える書き込みは運用者の
レビューまで保留され、想起したメモリには信頼度が明示されます。限界：明示はモデルに何が信頼できないかを
伝えるだけで、従わせることはできません。
ASI07 安全でないエージェント間通信
「ASI07 安全でないエージェント間通信」の見出しエージェント間のメッセージは、エージェントごとの Ed25519 鍵で署名したエンベロープを持ち、オーナーが
署名した鍵レジストリと照合され、宛先、時刻、ノンス、ペイロードのスキーマが検証されます。enforce
モードでは、署名のない、偽造された、再送された、または形式が不正なメッセージは拒否されます。限界：
ゲートウェイと同じOSユーザーで動くコードは鍵を読めます。
一部対応
「一部対応」の見出しASI01 エージェントの目的の乗っ取り
「ASI01 エージェントの目的の乗っ取り」の見出し外部のコンテンツ（Webページ、外部エージェント、チャネルのメッセージ）は「信頼できないコンテンツ」の マーカーで囲まれてモデルに渡り、その後のメモリ書き込みは隔離され、重要な操作にはポリシーの判定か人の 承認が必要です。マーカーはプロンプトインジェクションを減らしますが、防ぎきるものではありません。 信頼できない入力を読むエージェントのツールを絞ることが前提です。
ASI02 ツールの誤用と悪用
「ASI02 ツールの誤用と悪用」の見出し署名付きポリシーで、エージェントごとのツール許可・拒否リスト、承認が必要なツール分類、外部通信と MCPの許可リスト、予算を定め、すべてのツール呼び出しで強制します。残る点：許可されたツールでも、 その範囲内で不適切に使われる可能性があります。承認時のリスク表示は目安であり、保証ではありません。
ASI03 ID と権限の悪用
「ASI03 ID と権限の悪用」の見出し新規インストールでは資格情報をエージェントごとに分離します（auth.isolation: explicit）。
ペアリングした端末にはスコープがあり、短命でローテーションするトークンを使います。残る点：
ゲートウェイと同じOSユーザーで動くものは、ホスト上で同じ信頼範囲にあります。
ASI08 連鎖的な障害
「ASI08 連鎖的な障害」の見出し初期ポリシーで、ジョブ上限（同時実行数、実行時間、ツールのステップ数）と、エージェント単位および全体の トークン・ツール呼び出しの予算を設定します。キルスイッチは1つまたはすべてのエージェントを直ちに止め、 ループガードはステップ数を制限し繰り返し呼び出しを検出します。残る点：予算内で誤った出力を続ける エージェントを自動的に切り離す仕組みはありません。
ASI09 人とエージェントの信頼関係の悪用
「ASI09 人とエージェントの信頼関係の悪用」の見出し承認は画面上での明示的な確認で行い、音声では承認できません。応答のないターミナル承認は拒否として 扱われます。残る点：人が説得されて承認してしまう可能性は残ります。リスク表示と差分は承認者を 助けるものであり、判断を代わりに行うものではありません。
ASI10 不正に振る舞うエージェント
「ASI10 不正に振る舞うエージェント」の見出しすべてのツール実行と判定は、ハッシュチェーンの監査ログに記録されます（kurahi audit verify）。
保護対象のポリシーファイルが変更されると起動時の整合性ゲートが起動を拒否し、キルスイッチで
エージェントを即座に止められます。残る点：検出は事後的です。エージェントの振る舞いの異常を検知して
自動的に止める仕組みはありません。
未対応
「未対応」の見出し2026年10月23日時点でありません。