ガードレールの地図を描く ―― Securiti・Arthur・Lakera・WhyLabsは、どのレイヤーを守っているのか
0. 前回のおさらいと、今回のきっかけ
前回、「ガードレール新時代 ―― Fiddler・Arize・Galileoに見る2026年の潮流」で、入力段階・実行段階・出力段階という3層のパイプラインでAIエージェントを守る「ランタイム・ガードレール」の潮流を整理した。Policy as Code化、自律レベルに応じた段階的防御、そして攻撃の複合化・長期化――という5つの潮流も見えてきた。
その後、別件でAIセキュリティ系のソリューションをいくつか調べる機会があり、Securiti・Arthur・Lakera・WhyLabsという4社の名前に行き当たった。最初は「これもガードレール製品の一種か」と思って調べ始めたのだが、深掘りするとFiddler・Arize・Galileoとは守っている対象も、時間軸も、微妙にずれていることが分かってきた。
「ガードレール」という言葉があまりに広く使われすぎていて、正直このジャンルは呼び名だけでは中身が判別できない。そこで今回は、前回の3層構造に「データガバナンス」と「オブザーバビリティ」という2つの軸を足して、AIセキュリティ全体を俯瞰する地図を描き直してみたい。
1. 4社をひとことで言うと
先に結論を書いておく。
- Securiti ―― AIが触れるデータ側を統制する。機微データの発見・分類、アクセス権限管理、EU AI Actなど規制対応が中心。
- Arthur ―― 運用中のAIモデルの継続的な健康診断。精度劣化・バイアス・ドリフトの監視が本業で、LLM向けのガードレール機能（ファイアウォール）は近年追加された部分。
- Lakera ―― プロンプトインジェクション・ジェイルブレイクをその場で検知して止める。前回紹介したFiddler・Arize・Galileoと、実はほぼ同じ土俵の製品。
- WhyLabs ―― Arthurと同系統。
whylogsという統計プロファイリング技術を軸にしたデータ/モデルのオブザーバビリティが土台で、LangKitという拡張でハルシネーションや毒性コンテンツの検知を後付けしている。
つまり4社は一枚岩ではなく、「守る対象」と「守るタイミング」がバラバラな製品の寄せ集めだった、というのが今回の発見だ。
2. 図解:防御の4レイヤー
前回の「入力→実行→出力」という3段構造を、もう一段掘り下げて描き直すとこうなる。
ポイントは、下に行くほど土台に近く、上に行くほど「会話1回ごと」の判定に近づくという構造になっていることだ。
- Layer 1（データガバナンス／Securiti）:AIがそもそも「何を見られるか」を統制する層。ここが緩いと、その上のどのレイヤーで頑張っても機微データはどこかから漏れる。
- Layer 2（オブザーバビリティ／Arthur・WhyLabs）:単発のやり取りではなく、運用中のAI全体を継続的に見張る層。「今日のモデルは先週と比べて劣化していないか」「特定のセグメントで妙な偏りが出ていないか」といった、時間軸を伴う異常検知。
- Layer 3（ランタイム・ガードレール／Fiddler・Arize・Galileo・Lakera）:前回扱った層そのもの。1回のプロンプト・1回の応答・1回のツール実行を、その場でブロックするかどうか判定する。
- Layer 4（権限制御／次回予告）:前回記事の末尾で触れた「Agentic Authorization」「Agent IAM」。ここだけはまだ製品を1社も具体的に挙げていない、標準が固まっていない領域だ。
3. なぜ線引きが難しいのか ―― 機能の「染み出し」
ここまで綺麗に4層に分けて説明したが、実際に各社のドキュメントを読むと、境界線はかなり滲んでいる。
典型例がArthurとWhyLabsだ。両社とも出自は「MLモデルの精度・ドリフト監視」（Layer 2）で、Arthurは2018年、WhyLabsも同時期からモデル監視ツールとして立ち上がっている。ところが生成AIの普及に伴い、Arthurは「LLMファイアウォール」を、WhyLabsは「LangKit」というLLM向け拡張を追加した。これはLayer 3の機能そのものだ。つまりLayer 2の会社がLayer 3に染み出してきている。
逆方向の染み出しもある。前回紹介したGalileoは、NISTのGovern/Map/Measure/Manageモデルを援用し、エージェントの自律レベルに応じてガードレールの強度を変えるという発想を打ち出していた。これは本来ガバナンス・コンプライアンスの発想であり、Layer 1〜2寄りの考え方がLayer 3の製品に取り込まれている例と言える。
Securitiも同様で、当初はデータプライバシー・コンプライアンスツールだったが、「AI Security & Governance」という名前でAIモデルのリスク評価まで踏み込み始めている。
つまり今のAIセキュリティ市場は、各社が自分の得意な層から隣の層へと機能を拡張し合っている過渡期にあると理解するのが正確だろう。「この製品はガードレールか、監視か、ガバナンスか」を厳密に問うことにあまり意味はなく、「今、自分たちが埋めたい穴はどの層にあるか」から逆算して製品を選ぶ方が実務的だ。
4. 前回の5つの潮流との接続
前回挙げた5つの潮流を、この4層構造に当てはめ直すと見え方が変わる。
| 前回の潮流 | 主にどの層の話か |
|---|---|
| チャットボットからエージェントへの重心移動 | Layer 3（実行段階の認可・サンドボックス化） |
| Policy as Code化 | Layer 3〜4（ルールの明文化は、将来的にはLayer 4の権限制御とも接続するはず） |
| 自律レベルに応じた段階的ガードレール | Layer 3とLayer 1〜2の橋渡し（リスク評価はガバナンス側の発想） |
| 攻撃の複合化・長期化 | Layer 3の防御をすり抜けるからこそ、Layer 2の継続監視やLayer 4の権限制御が必要になる |
| レイテンシとコストの現実解 | Layer 3固有の課題（Layer 2はリアルタイム性を要求されない） |
特に「攻撃の複合化・長期化」は重要な接続点だと思う。前回書いたように、攻撃者は一度で仕留めようとせず、複数回のやり取りを重ねて信頼を築いてから本命の要求を通してくる。この種の攻撃は、単発のプロンプトを判定するLayer 3だけでは原理的に検知しづらい。「先週と比べて会話パターンが変わっていないか」を継続的に見るLayer 2の役割や、「そもそもその操作を実行する権限があるか」を問うLayer 4の役割が、ここで効いてくる。
5. この先に書きたいこと
今回、4社を調べたことで、前回の記事で感じていた違和感の正体が少し掴めた気がする。「言葉を検閲する」レイヤー（Layer 3）だけを見ていても、AIセキュリティの全体像は見えない。その下にはデータそのものを統制する層があり、横には継続的な監視の層があり、そしてまだ製品化が進んでいない権限制御の層が控えている。
次回は、前回の末尾でも触れたAgentic Authorization / Agent IAM――「言葉で止めるのではなく、権限そのものを物理的に奪う」という発想――について、具体的にどんな仕組みが提案され始めているのかを掘り下げていきたい。
参考
- Securiti, AI Security & Governance（securiti.ai）
- Arthur, AI Performance & Observability Platform（arthur.ai）
- Lakera, Lakera Guard（lakera.ai）
- WhyLabs, AI Observability Platform / LangKit（whylabs.ai）
- 前回記事:「ガードレール新時代 ―― Fiddler・Arize・Galileoに見る2026年の潮流」