Engineering · セキュリティ
プロンプトがモデルに届く前に止める — 推論前 DLP ゲートキーパーの仕組み
推論インフラ上・モデルが処理する前に組織サーバーへ allow/deny を問い合わせる「推論前 DLP」。Anthropic が 2026-08-05 に公開した inference hooks（Claude Enterprise beta）は、ネットワーク境界型 DLP とは別の制御点を実装した新設計です。
要点
- ✓Anthropic は 2026-08-05、Claude Enterprise 向けに inference hooks（beta）を公開。リクエストが推論インフラに届いた後・モデルが処理する前に、Standard Webhooks 仕様で署名された HTTPS POST 経由で組織のセキュリティサーバーに allow/deny を問い合わせる（Anthropic blog、2026-08-05；platform.claude.com/docs）。
- ✓判定は allow/deny の二値のみ。プロンプトの書き換えや部分削除はできない（Anthropic blog、2026-08-05）。
- ✓Chat・Claude Code・Claude Cowork セッションを単一の組織レベル設定でカバー。デバイス側のインストール・変更は不要（Anthropic blog、2026-08-05）。
- ✓用途は DLP のほか、リアルタイム・トランスクリプト保存（Compliance API ポーリングの代替）・プロンプト・テレメトリ・カスタム・ポリシーエンジンの 4 種類。連携対応 DLP ベンダーは Netskope・Palo Alto Networks・Zscaler・Proofpoint（Anthropic blog、2026-08-05）。
- ✓推論前（入力の制御）と推論後（実行の統制）は相補的な 2 層。推論前 DLP は過剰なデータがモデルに届くのを防ぎ、実行層（サンドボックス・監査・RBAC）は AI の操作範囲を限定する。
AI エージェント時代の新しい情報漏洩経路
（B）AI エージェントはチャットとは異なるプロンプトの作り方をします。タスクを遂行するために、顧客データ・社内文書・API レスポンス・コードベースの一部——さまざまな業務コンテキストがプロンプトに組み込まれます。このため、エージェントに送るプロンプト自体が情報漏洩の経路になるリスクが生まれます。
（B）従来のネットワーク境界型 DLP（CASB など）は、メール・Web トラフィックを対象に設計されていました。エージェント時代には 2 つの限界が出てきます。1 つは、プロンプトという形式に特化した機密情報のパターン認識が難しいこと。もう 1 つは、リクエストが HTTPS で推論サービスに届いた後は、ネットワーク境界の制御が届かない領域に入ること。この「推論インフラに届いてから、モデルが処理するまで」の間が、新たな制御の対象になります。
ネットワーク境界型 DLP との違い
推論前ゲートキーパーの仕組み
（B）Anthropic が 2026-08-05 に Claude Enterprise 向けに公開した inference hooks（beta）は、この制御点を実装した設計です。仕組みは次のとおりです。リクエストはまず Anthropic の推論インフラに届きます。推論インフラは Standard Webhooks 仕様（HMAC-SHA256 署名 + webhook-* ヘッダー）で署名した HTTPS POST を組織のセキュリティサーバーへ送信し、プロンプトとそのコンテキストを渡して verdict を待ちます。セキュリティサーバーが allow を返せば推論が走り、deny を返せばリクエストはモデルに届くことなくブロックされます（platform.claude.com/docs、2026-08-05）。
（B）判定は allow/deny の二値のみです。プロンプトの書き換えや部分削除は設計上できません（Anthropic blog、2026-08-05）。この制約は意図的で、セキュリティサーバー側が「どこまでを許可してよいか」を明確に決定する責任を持ち、AI の挙動が書き換えられたプロンプトに依存するリスクを排除します。
（B）カバレッジは Chat・Claude Code・Claude Cowork セッションの全サーフェスに及び、単一の組織レベル設定で管理できます。チェックポイントが Anthropic のサーバー側に置かれているため、クライアントアプリへの変更やデバイスへのインストールは不要です（Anthropic blog、2026-08-05）。
4 つの用途と連携 DLP ベンダー
（B）Anthropic のドキュメントは inference hooks の用途として 4 種類を示しています（Anthropic blog、2026-08-05）。
- DLP（データ損失防止）：最も一般的な用途。既存 DLP インフラ（Netskope・Palo Alto Networks・Zscaler・Proofpoint など）とリアルタイムで連携し、機密パターンを含むプロンプトをブロックする。
- リアルタイム・トランスクリプト保存：推論前の時点でプロンプトとコンテキストを保存する push 型アーカイブ。Compliance API のポーリングとは異なり、リクエストが届いた瞬間に記録できる。
- プロンプト・テレメトリ：利用時点でのプロンプトデータを取得し、分析・監査・ポリシー改善に活用する。
- カスタム・ポリシーエンジン：モデルの許可リストや、プロジェクトスコープに応じた制限など、組織独自のルールを推論前に適用する。
（B）なぜ書き換えでなく allow/deny の二値判定なのか
プロンプトの一部を書き換えて「安全に見せる」アプローチは直感的ですが、書き換え後のプロンプトが意図した意味を保持するとは限らず、誤った安全の確信につながるリスクがあります。二値判定は「このプロンプトを処理してよいか」という明確な責任をセキュリティサーバー側に置き、制御の境界を単純に保ちます。この設計思想はゼロトラストの原則——「信頼せず、常に検証する」——とも整合します。
🛡 （A）agens の現時点のデータガバナンス層
（A）agens はタスクごとのサンドボックス隔離・RBAC・監査ログ・MCP ゲートによる最小権限接続を提供し、推論後の実行層でのデータガバナンスを担います。（B）inference hooks のような「推論前」の制御は実行層の統制とは独立した別の層であり、組み合わせることで「プロンプトに不適切なデータが混入するリスク」と「エージェントが不適切な操作をするリスク」の両方をカバーできます。
よくある質問
推論前 DLP とネットワーク境界型 DLP はどう違いますか？
inference hooks でプロンプトの内容を書き換えられますか？
対応している DLP ベンダーはどれですか？
agens はこの「推論前」の制御を持っていますか？
最終更新: 2026-08