評価・安全性

ガードレールとは

この記事の結論

ガードレールとは、AIが想定外の出力を返したり影響の大きい操作を勝手に実行したりしないよう、入力・出力・実行権限に設けておく制約や確認の仕組みです。
置く場所は大きく3つです。入力をAIに渡す前、AIの出力を利用者やシステムに返す前、そしてツールやコマンドを実行する前です。
モデルの判断力に頼らず、仕組みの側で止めるのが要点です。1枚で全部を防げるものではないので、何枚か重ねて使います（2026-09-26 時点の整理）。

がーどれーる／Guardrail

AIが想定外の出力を返したり影響の大きい操作を勝手に実行したりしないよう、入力・出力・実行権限に設けておく制約や確認の仕組みです。

最終更新: 2026-09-26

ガードレールとは（意味と読み方）

ガードレールとは、AIが想定外の出力を返したり、影響の大きい操作を勝手に実行したりしないよう、入力・出力・実行権限のどこかに設けておく制約や確認の仕組みのことです。読み方は「がーどれーる」、英語では guardrail と書きます。

名前の由来は道路の防護柵です。車の運転そのものは運転手に任せつつ、道から外れそうになったときだけ受け止めます。AIでも同じで、普段の応答や作業はモデルに任せ、決めた線を越えそうなときに止めたり、人に確認を回したりします。

AIは同じ指示でも毎回少しずつ違う答えを返します。ハルシネーションもゼロにはできません。だから「AIが正しく判断してくれるはず」を前提にせず、外れたときの受け止め方を先に決めておく、というのがこの言葉の考え方です。

ガードレールの仕組み：入力・出力・実行の3か所で止める

ガードレールは、置く場所で役割が変わります。

ガードレールを置く場所と止めるもの
置く場所	止めるもの	例
入力の手前	受け付けるべきでない依頼	サービスの対象外の話題や、個人情報を含む入力を検知して断る
出力の手前	返してはいけない回答	決めた形式に合わない出力や、社外秘の語を含む出力を差し止める
実行の手前	取り返しのつかない操作	ファイル削除や外部送信の前に人の承認を求める。権限をそもそも渡さない

たとえば OpenAI が公開しているエージェント開発キットでは、最初のエージェントへの入力を検査する「入力ガードレール」と、最終出力を検査する「出力ガードレール」が分かれています。検査に引っかかると、トリップワイヤーと呼ばれる仕組みで実行が止まります。入力の検査をエージェントと同時に走らせるか、終わるまで待たせるかも選べます（エージェント開発キットのガードレール解説（公式ドキュメント））。同時に走らせると応答は速くなりますが、止まるまでの間にトークンを使ってしまうことがあります。

AIコーディングエージェントでのガードレールの例

AIコーディングエージェントでは、実行の手前のガードレールがいちばん効きます。Claude Code の場合、設定ファイルの permissions に、確認なしで通す allow、毎回確認する ask、禁止する deny を書けます。公式の例では "Bash(npm run lint)" を許可し、"Read(./.env)" を禁止しています（設定ファイルの説明（公式ドキュメント））。

評価の順番は deny、ask、allow の順で、最初に当たったものが結果を決めます。広い禁止ルールの中に、より細かい許可ルールで例外を作ることはできません（権限ルールの説明（公式ドキュメント））。禁止が優先されるので、「うっかり許可を足したら秘密ファイルが読まれた」という事故を防ぎやすい作りです。

OWASP は、LLMに持たせすぎた力を「過剰なエージェンシー（Excessive Agency）」と呼び、原因を機能・権限・自律性の持たせすぎの3つに分けています。対策には、影響の大きい操作の前に人の承認を挟むことや、権限を最小限にすることが挙がっています（OWASP LLM06:2025 Excessive Agency）。

ガードレールのよくある誤解

誤解：システムプロンプトに禁止事項を書けば足りる → 実際：プロンプトに書いた禁止はモデルへのお願いです。入力に紛れ込んだ別の指示で上書きされることがあります。守らせたい線は、権限設定や出力の検査など、モデルの外で止めます。
誤解：ガードレールを入れたら安全になる → 実際：想定していない言い回しや手順で抜けられることがあります。レッドチーミングで抜け道を探し、見つかった分を足していく前提で運用します。
誤解：厳しくするほど良い → 実際：確認の画面が多すぎると、中身を読まずに許可を押す癖がつきます。確認は本当に影響の大きい操作に絞るほうが、結果として止まるべきところで止まります。

ガードレールを設計するときのコツ

最初に「起きたら困ること」を書き出す：本番データの削除、秘密鍵の送信、社外への誤送信など、具体的な事故から逆算して置き場所を決めます。
許可より禁止から書く：何でも許可してから削るより、読めてはいけないファイルと打ってはいけないコマンドを先に禁止するほうが漏れが少なくなります。
止まったことを記録する：どの入力で止まったかのログがあれば、誤って止めた例と、止めるべきだったのに通った例の両方を見直せます。見直しには評価（Evals）の仕組みが使えます。

組織として整理したい場合は、米国の NIST が 2023年1月に公開した AI リスクマネジメントフレームワーク（NIST）が参考になります。リスクへの向き合い方を Govern・Map・Measure・Manage の4つの機能に分けており、ガードレールは主に「測って、手当てする」側の具体策にあたります。

出典・参考資料

ガードレールについてよくある質問

Q1. ガードレールとは何ですか？
AIが想定外の出力を返したり、影響の大きい操作を勝手に実行したりしないよう、入力・出力・実行権限に設けておく制約や確認の仕組みです。道路の防護柵のように、普段は任せて、線を越えそうなときだけ止めます。

Q2. システムプロンプトで禁止するのとは何が違いますか？
システムプロンプトの禁止はモデルへのお願いなので、入力に紛れた別の指示で上書きされることがあります。ガードレールは権限設定や出力の検査のように、モデルの外側で止める点が違います。

Q3. AIコーディングエージェントではまず何を設定すればよいですか？
秘密情報の入ったファイルを読ませない設定と、削除や外部送信のような影響の大きいコマンドの前に確認を求める設定から始めるのが手堅いです。許可は必要になった分だけ足します。

Q4. ガードレールを入れると応答は遅くなりますか？
検査が終わるまで待たせる方式にすると、その分だけ遅くなります。検査をAIの処理と同時に走らせる方式なら待ち時間は増えにくい一方、止まるまでに一部の処理が進んでしまうことがあります。