DeepSeek V4 Proのエージェント安全性はモデルではなくハーネスで変わる

DeepSeek V4 Proをエージェントとして導入する組織は、モデルだけを見て安全性を判断すべきではありません。評価と承認の単位は、モデル・ハーネス・タスク・実行環境を固定した構成全体です。

Web、モバイルアプリ、API、OpenAI Responses API、Codex連携など複数の入口から利用できることは、インターフェースの互換性を示す材料にはなります。しかし、それだけで、プロンプト、ツール、権限、メモリ、リトライ、外部への副作用が各ランタイムで同じになるとは限りません。

実務上の原則は明快です。承認するのは「DeepSeek V4 Proエージェント」という抽象的な名称ではなく、バージョンを固定した具体的な構成です。その構成自身が安全性評価に合格した場合に限り、リリースします。

ハーネスが「実効的なエージェント」を変える理由

エージェントは基盤モデルだけで成立するものではありません。ハーネスは、モデルへの指示の渡し方、ツールの選択、データへのアクセス、失敗時の処理、外部システムへの作用を決めます。

構成差として特に確認すべきなのは、次の項目です。

• システムプロンプトとアダプター
• ツールの定義と実装
• 権限の範囲と承認ゲート
• ファイルシステムのルートとネットワーク接続
• 認証情報の取得元と実行主体
• 子プロセスや生成コードの実行方法
• リトライ、タイムアウト、同時実行のルール
• セッション状態、要約、キャッシュ、永続メモリ

そのため、同じDeepSeek V4 Proのバックエンドでも、接続するハーネスや実行環境が変わればリスクプロファイルは変わります。互換APIのスキーマは統合上の性質であって、安全性の認証ではありません。

AgentS4Dが示したこと、示していないこと

AgentS4Dは、モデルの単発応答ではなく、エージェントの実行基盤を含む構成全体を評価しました。328件のリスク注入ケースを4種類のハーネスと5種類のモデルバックエンドで実行し、合計6,560回のサンドボックス実行を行った結果、4,461回（68.0%）がunsafeと判定されました。そのうち4,344回（66.22%）は、タスクを完了したにもかかわらずunsafeでした。13

この結果の重要な点は、タスクの成功と安全な実行は両立しない場合があることです。要求された成果物を正しく作成しながら、禁止された変更を加える、機密情報を不適切に扱う、意図された制御を回避する、別の危険な副作用を生むといった可能性があります。

ただし、これらの数値をDeepSeek V4 Proの本番事故率として扱うことはできません。評価は、意図的にリスクを注入したケースを管理されたサンドボックスで実施したもので、複数のモデル・ハーネス構成をまとめた結果です。本番環境では、タスクの種類、導入する制御、敵対的コンテンツへの接触、保護対象の資産、何を害と定義するかが異なります。AgentS4Dが示すのは、本番の発生率ではなく、ランタイムの安全性を実際の実行単位で測る必要性です。135

エージェントの行動が生む最大被害を抑える

安全対策の目的は、モデルやツールが予想外に動いた場合でも、誤りの結果を小さくすることです。

専用の最小権限IDを使う

エージェント、環境、テナントごとに専用の実行主体を用意します。従業員の認証情報をそのまま使ったり、本番管理者権限や広範囲で再利用できる秘密情報を与えたりしてはいけません。各IDは、1つのジョブに必要な資源と操作だけに限定します。

ファイルシステムとネットワークを絞る

• 専用ワークスペースのルートだけをマウントする
• 無関係なパスは「見えなくする」のではなく、アクセス不能にする
• 接続先、メソッド、ポート、必要に応じて送信量を許可リストで制限する
• 読み取り、下書き、ステージングへの書き込み、本番への書き込みを分離する
• 秘密情報はブローカーや短期トークンの仕組みで管理する
• 長期有効な認証情報を、プロンプト、ワークスペースのファイル、環境変数、ツール出力に置かない

削除、公開、決済、権限変更、デプロイ、外部への連絡など影響の大きい操作には、実行層でのポリシーチェック、または明示的な承認を要求します。

実行経路全体を監査する

攻撃面は、公式ツールだけではありません。子プロセス、シェルコマンド、生成コード、パッケージのインストール、リモートツールサーバー、プラグイン、スキルコードも副作用を生みます。

同じポリシーをすべての経路に適用し、シェルや生成コードがファイル、ネットワーク、認可、ログ、承認の制御を迂回できないようにします。

ツールの安全性をモデルの外側で強制する

モデルが生成したツール呼び出しは、信頼できないリクエストとして扱います。認可と安全ルールを強制する責任は、モデルではなくツールサーバーにあります。

ツールのスキーマは狭く設計し、次のような制約を設けます。

• 列挙値と文字数の上限
• 正規化したパスと明示的なリソースID
• 接続先の許可リスト
• ページネーションと結果サイズの上限
• モデルの外側で行う引数検証
• 呼び出し元、テナント、対象、操作内容に基づくサーバー側認可

計画・プレビュー用ツールと、実際に変更を加えるツールは分離します。破壊的、または取り消しにくい操作については、次の対策を組み合わせます。

• プレビューと確認、または承認トークンを必須にする
• 可能な場合は論理削除、隔離、可逆的な手順を使う
• 冪等性キーを要求する
• 同じリクエストがリトライされた場合の動作を定義する
• 永続的な実行レシートを返し、リトライによる二重実行を防ぐ

見た目が正しいJSONでも、認可されていない対象、危険なパス、過大な権限範囲、人的レビューが必要な操作を含むことがあります。

状態とメモリの扱いを先に定義する

状態は、ターン、タスク、ユーザー、環境をまたいでリスクを運ぶ可能性があります。メッセージ、アップロードファイル、ワークスペースのファイル、要約、ツール結果、キャッシュ、永続メモリについて、保存と破棄のライフサイクルを文書化し、実装で強制します。

最低限、次を定めます。

• 分離: ユーザー、テナント、タスク、環境ごとに状態を分け、暗黙のセッション間共有を許可しない
• 保持: 有効期限、暗号化、アクセス制御、削除ルールを決める
• リセット: 実行間でコンテキスト、メモリ、ワークスペース、認証情報、キャッシュを消去する手順を用意する
• リトライとタイムアウト: 回数と予算に上限を設け、権限をひそかに拡大させない。リトライ時も冪等性を保つ
• 同時実行: 共有ファイル、承認、外部操作のロックと競合処理を定義する

状態のリセットは、セキュリティ境界の一部です。過去の指示、認証情報、ツール結果が新しいタスクに意図せず再登場するなら、モデル更新やプロンプト変更によるリスクを、応答だけを検査するテストでは見落とす可能性があります。

すべてのリスク経路を信頼できない入力として扱う

プロンプトインジェクションは、ユーザーの直接メッセージから来るとは限りません。次のような場所にも、指示として解釈され得る内容が含まれます。

• アップロード文書やリポジトリのファイル
• 取得したWebページ
• 外部スキルやプラグイン
• ツールサービスの応答
• 保存されたメモリ
• 要約やキャッシュされたコンテキスト
• ユーザーが入力したテキスト

こうした情報は解析、ラベル付け、引用を行い、データとして扱います。エージェントの権限、ポリシー、ツール選択、認証情報の利用、承認要件を変更できないようにします。モデルの判断だけに頼らず、ランタイム側でこの分離を強制することが重要です。

構成単位で作るリリースチェックリスト

デプロイ前に、次の構成を固定して記録します。

1. モデルとルーティング: モデル識別子とバージョン、プロバイダー経路、推論設定または努力量、互換性アダプター
2. ハーネスの挙動: ハーネスのバージョン、システムプロンプト、セッション処理、リトライとタイムアウト、サブプロセスポリシー、メモリ実装
3. ツールとポリシー: ツール定義とバージョン、ポリシーバージョン、承認基準、認可ロジック、ツールサーバーとの信頼境界
4. 権限: ID、スコープ、ファイルシステムのルート、ネットワーク接続先、認証情報の供給元、本番書き込み経路
5. 状態の意味論: 分離、保持、リセット、キャッシュ、同時実行、セッション間境界
6. 敵対的テスト: 各リスク経路からのプロンプトインジェクション、混乱した代理人攻撃、認証情報の露出、パストラバーサル、SSRFや送信経路の悪用、悪意あるツール応答、リトライによる二重実行、メモリ汚染、承認回避
7. 証跡: 安定した実行IDの下で、プロンプトとポリシーのバージョン、ツール呼び出しと結果、承認、ポリシー判断、ワークスペース差分、外部送信、使用ID、最終成果物、完了結果、安全性の結果を保存する

タスク完了と安全性は別々に採点します。 成果物が正しくても、安全な実行だったことの証明にはなりません。これはAgentS4Dの中心的な示唆です。12

構成を変えたら、テストをやり直す

承認対象は「DeepSeek V4 Proエージェント」という恒久的なラベルではなく、固定された構成です。次のいずれかを変更した場合は、構成固有のテストスイートを再実行します。

• モデルまたはプロバイダー経路
• 推論設定や努力量
• システムプロンプトやアダプター
• ハーネスやセッション処理
• ツールやリモートツールサーバー
• 権限・承認ポリシー
• 認証情報のルーティング
• メモリ、リトライ、タイムアウト、同時実行の挙動
• ネットワークやファイルシステムの境界

この方法なら、ランタイムの安全性をモデル品質への漠然とした期待から切り離し、実際に外部へ作用できる環境に結び付いた、測定可能なリリース判断に変えられます。