ガードレール新時代 ―― Fiddler・Arize・Galileoに見る2026年の潮流
0. なぜ今、ガードレールが話題になっているのか
最近、AIのガードレールがあちこちで話題になってきた。以前このブログでも「4つの記憶とガードレール」という形で概要を書いたが、あれから半年ほど経ち、具体的にどんなソフトウェアや仕組みが実際に使われているのかを改めて調べ直してみた。
きっかけは、少し前に見つけた解説記事だ。プロンプトインジェクション、プロンプト漏洩、トークンスマグリング、ペイロード分割といった攻撃手法と、入力レイヤー・出力レイヤー・文脈/応答スタイルの制御という3つの視点での防御を整理したもので、いわば業界の「型」がよく分かる内容だった。
これをベースに、実際にガードレール製品を出している3社――Fiddler、Arize、Galileo――のドキュメントを読み比べてみた。今回はその内容と、そこから見えてきた全体の潮流をまとめておきたい。
1. 攻撃手法は「単発」から「組み合わせ」へ
まず前提として押さえておきたいのが、攻撃側の進化だ。Arizeの資料が特に詳しいのだが、もはや「無視して、こう答えて」のような直接的なジェイルブレイクは通用しなくなりつつある。
今のモデルの攻撃対象領域（アタックサーフェス）は、プロンプト・システムプロンプト・チャット記憶・ファイルアップロード・そしてガードレールそのものという複数の面に広がっている。中でも興味深いのが次の2点だ。
- 記憶の悪用：長期的なメモリ機能そのものが脆弱性になり得る。攻撃者は一度で仕留めようとせず、複数回のやり取りを重ねて少しずつ信頼を築き、ガードレールの警戒を緩めさせてから本命の要求を通す
- 倫理ガードレールの逆手：緊急性や道徳的な訴えを装うことで、有害な要求を「善意の行為」に見せかける。ガードレール側が倫理的配慮を他のフィルターより優先する設計になっていると、この体裁でむしろ通過してしまうことがある
そして今の最先端は、これらを単体で使うのではなく複数組み合わせることだ。ロールプレイ・仮想設定・感情操作・エンコーディング（Base64やリートスピーク）・物語的な注意逸らし・コードラッピングを1つのプロンプトに重ねることで、単体では無害に見える要素の合成体が防御網をすり抜けてしまう。
「1つのパターンを検知すればいい」という時代は、もう終わっているということだ。
2. 防御側の共通アーキテクチャ：入力→実行→出力
攻撃が複合化する一方、防御側の設計思想は驚くほど揃ってきている。特にGalileoの資料は、エージェント（自律的にツールを実行する系）を意識して、パイプラインを3段階に分けて守るという考え方を明確に打ち出している。
- 入力段階：プロンプトのサニタイズ、静的解析によるインジェクションパターンの検出、処理前のPII検出
- 実行段階（エージェント特有）：ポリシーに基づく認可、隔離されたサンドボックス実行環境、サーキットブレーカーを伴うリアルタイム監視、権限ベースのツールアクセス制御
- 出力段階：ジェイルブレイクや文脈操作を検知するリアルタイム分類器、配信前のコンテンツスクリーニング
ここで一番印象に残ったのが、Anthropicの調査を引用した一節で、ポリシー違反の15〜20%は出力が生成される前、つまりツールを実行している最中に発生しているという指摘だ。「出力さえチェックしていれば安全」という発想はもう不十分で、エージェントがツールを叩く"瞬間"そのものを見張る必要がある――これが2025〜2026年のガードレール議論における最大の変化だと感じた。
3. 3社を読み比べてみて分かった個性
同じ「ガードレール」という言葉を使っていても、Fiddler・Arize・Galileoの3社は狙っているところがかなり違う。
Fiddlerは、ポリシーを定義すると80ミリ秒未満でランタイム実行し、しかも評価そのものを顧客環境内（VPC内）で完結させる独自のCentor Modelsという仕組みが特徴的だった。金融・ヘルスケアのような規制業界を強く意識した設計で、ジェイルブレイク・ハルシネーション・PII露出・不安全コンテンツの閾値に対してすべてのプロンプトと応答を評価する。とにかく「規制対応と監査可能性」に振り切った印象を受けた。
Galileoは単体のツールというより、フレームワークと自社製品の両輪という立ち位置だ。NISTのGovern/Map/Measure/Manageモデルや、SAE（自動運転レベル）を援用した「エージェントの自律レベルに応じてガードレールの強度を変える」という考え方が特に印象的だった。提案のみ／人間承認付きの部分自動化／条件付きの完全自動化と段階を分け、リスクの高さに応じて防御の重ね方を変える、という発想は前回の記事で書いた話ともつながっている。
Arizeは製品としてのガードレールというより、「攻撃側の手口を体系立てて理解した上で防御を語る」というアプローチが特色だった。攻撃分類の粒度が非常に細かく、正直、ガードレール製品のドキュメントというよりレッドチーム演習の教材として読んだ方がしっくりくる内容だった。実際、社内でジェイルブレイクの手口を共有するための資料としてはかなり使いやすそうだ。
3社とも「ガードレール」を名乗りながら、実際には**規制対応（Fiddler）・段階的自律性の管理（Galileo）・攻撃手口の体系化（Arize）**という異なる角度から同じ問題に取り組んでいることが分かる。
4. 全体として見えてきた5つの潮流
3社の資料を横断して読んで、共通して感じた潮流を5つにまとめておきたい。
- チャットボット向けから「エージェント」向けへの重心移動 出力フィルターだけでなく、ツール実行の認可・サンドボックス化・権限スコープ制御が主戦場になっている。これは3社とも共通していた。
- Policy as Code化 ルールをコードとして定義し、モデルの「解釈」に委ねない設計思想。Fiddler・Galileoいずれの資料にも色濃く出ていた考え方だ。
- 自律レベルに応じた段階的ガードレール 全てのタスクに一律の防御をかけるのではなく、リスクの高さ（財務トランザクションか、単なる情報検索か）に応じてHuman-in-the-Loopの強度を変える。Galileoが特に明確にこの発想を打ち出していた。
- 攻撃は複合化・長期化する 単発のプロンプトではなく、会話の記憶を使った段階的な誘導や、複数手口の組み合わせへの対策が課題になっている。Arizeの資料を読むと、この傾向がここ数ヶ月でさらに進んでいる印象を受けた。
- レイテンシとコストの現実解 大規模モデルによる評価は運用コストが跳ね上がりやすいため、目的特化の軽量評価モデルでコストを抑えつつ全量サンプリングを可能にするという運用上の工夫が進んでいる。Fiddlerの80ミリ秒未満という数字は、この現実的な要請への一つの答えだと感じた。
5. この先に書きたいこと
ここまでは「コンテンツを検閲する」従来型のガードレールの話だった。だが調べていくうちに、それだけでは足りないという感触を強く持つようになった。ジェイルブレイクは組み合わせ攻撃で防御網をすり抜けようとしてくる以上、「言葉を検閲する」だけでは限界がある。
そこで気になって深掘りしたのが、「LLMが間違ったことをしようとしたときに、そもそも物理的に権限を奪ってできなくする」仕組みだ。これは上で紹介した3社の製品ともまた違う、「Agentic Authorization」「Agent IAM」と呼ばれる新しい領域で、実はこちらもまだ標準が固まっていない黎明期にある。この話は、続く記事で詳しく書いていきたい。
参考
- Fiddler AI, Guardrails (fiddler.ai/guardrails)
- Arize AI, AI Jailbreaking and Guardrails (arize.com/resources/guides/jailbreaking-ai-models)
- Galileo AI, The Essential AI Agent Guardrails Framework for Autonomous Systems (galileo.ai/blog/ai-agent-guardrails-framework)