AIが乗っ取られても、
許可していない通信は通さない。
Tate は、社内と外をつなぐ回線の途中に挟む装置です。AIエージェントが不正な指示に乗っ取られても、あらかじめ許可した宛先以外へは通信が届きません（全体ロックダウン構成の場合）。AIの内側で何が起きても、外へ出る通信の可否は回線の側で決まります。
Tate は、回線の途中に挿入する L2透過型ファイアウォール・アプライアンスです。
AI SaaS でも、エージェント管理ツールでもありません。AIにツールを実行させる。
その外向き通信は、誰が見ていますか。
まだ事故が起きていない、は「守れている」の根拠になりません。サンドボックスや権限の最小化といったホスト側の対策は、エージェントと同じホストの内側にあります。それが破られたとき、外へ出ていく通信を止める独立した層が別にあるか。AIエージェントの導入で新しく問われるのは、そこです。
プロンプトインジェクション
エージェントが読み込んだWebページやツール出力に指示が紛れ込み、その「意図」を乗っ取る。
暴走・逸脱
自律エージェントが想定していない宛先へ接続し、スキャンや横展開を試みる。
情報持ち出し
秘密や資格情報が、正規のHTTPSに見える経路で外部の宛先へ運び出される。
外側から、到達性を制限する。
エージェントを守る対策の多くは、守る相手と同じ信頼境界の中で動いています。Tate はその外側、回線の上に立ちます。「秘密を evil.com に送れ」という指示がエージェントに通ってしまっても、許可リストに無い宛先へはネットワークが到達させません。
健全なエージェントの外向き通信（egress）は、公認LLMのエンドポイントと既知のツール数個に収まります。行き先が小さく安定しているからこそ、そこからの逸脱そのものが侵害のシグナルになります。強制するのは回線の側です。エージェントがどこまで侵害されても、その強制を解除することはできません。
① pin：LLMプロバイダ固定
- 同居
- ○ 人間と同居するホストでも使える（default-allow のまま）
- 守る
- 公認以外の既知LLMプロバイダへの逸脱・rogueモデルへのリダイレクトを遮断
- 止めない
- 任意ドメインへの持ち出し。これは lockdown の役割です
② lockdown：全体ロックダウン
- 同居
- ✕ エージェント専有ホスト / セグメント前提（deny-base）
- 守る
- 公認 LLM・ツール以外への外向き通信を全遮断。情報持ち出し・C2 到達を封じる
IP設計を変えずに、今日から見える・止められる。
既存機器の設定にも、アドレス設計にも触りません。作業は、回線を一箇所切って挟む結線と、管理側の設定だけです。
- 01
結線する
inside と outside の間に挟むだけ。IP設計もネットワーク構成も変えません（データポートはIPを持ちません）。
- 02
observe で見る
まず、いま何が流れているかを見ます。プロトコル、トップtalker、観測ドメインがGUIに並びます。
- 03
monitor → enforce
would-block をレビューして許可リストを詰め、実遮断へ。段階的に移行できます。
option 通信の継続を優先する構成では、障害時に物理直結へ切り替わる HWバイパスNIC（fail-open）を選べます。
AIが解析する。
データは構内から出ない。
AI解析でまず確認すべきは、データの行き先です。Tate では、構内から出ません。観測した集約スナップショットを、箱の中のローカルLLMが解析します。標準構成でクラウドAPIは使いません。通信ペイロードは送らず、そもそも収集していません。
01 Verdict: LIKELY-COMPROMISED
新規観測されたトンネリング・exfil・外部DNS解決の宛先が複数。単一ホストから複数ポートへの fan-out を伴う。
02Egress allow-list view
- api.anthropic.com sanctioned
- github.com sanctioned
- pypi.org sanctioned
- *.ngrok.io unexpected
- webhook.site unexpected
- pastebin.com unexpected
- api.telegram.org unexpected
- dns.google unexpected
03Agent-compromise indicators
- exfil / tunnel 宛先への接続 *.ngrok.io webhook.site pastebin.com api.telegram.org
- DoH による名前解決の迂回 dns.google
- 単一ホストからの複数ポート fan-out scan-like egress
04Recommended containment
- 想定外の5ドメインを deny リストへ追加
- エージェントセグメントを deny-base egress（lockdown）へ切替
初見ドメイン検出: 行き先が安定しているホストに「初めて見るドメイン」が現れたら、優先して調べるべき出来事として提示します。
検証・PoCを相談する止まるときは、閉じて止まる。
回線に直列で入る機器には、「壊れたらどうなるか」という問いが必ず付きます。Tate の既定の答えは、閉じる側です。
fail-closed
標準構成では、箱が壊れれば通信も止まります。無検査で素通しになる窓は開けません。
遮断は劣化しない
管理機能が停止しても、適用済みポリシーによる遮断はそのまま継続します。
自己完結
GUI・CLI・mTLS API をアプライアンスに同梱。追加サーバーも外部サービスも必要としません。
SBOM 同梱
サプライチェーン管理として SBOM を同梱します。何が入っている機器なのかを、現物と一緒に確認できます。
Tate は回線に直列で入ります。標準構成では、この箱の障害がそのまま通信の停止になります。この区間の単一障害点になるということです。通信の継続を優先する場合は、障害時に物理直結へ切り替わる HWバイパスNIC（fail-open）を選べます。
仕様サマリ （設計ドキュメント由来の事実のみ）
できること、できないこと。
いいえ。Tate は TLS を復号しません（MITM をしません）。検査するのはヘッダメタデータ（L3/L4）と接続先ドメイン（TLS SNI / HTTP Host）です。「どこへ繋ぐか」は見えますが、「何を送るか」の中身は見ません。
できません。ドメイン（ホスト名）単位の制御です。同一ホスト上のパス別 webhook は区別できません。より細かい制御はアプリケーション層の領分です。
しません。「AIを検出する」機能ではありません。対象は設置場所と運用者の宣言（公認リスト）で定義します。lockdown はエージェント専有ホストを前提とします。
標準構成では、箱が止まると通信も止まります。閉じて止まる側（fail-closed）に倒しているためで、この区間では Tate が単一障害点になります。通信の継続を優先する場合は、障害時に物理直結へ切り替わる HWバイパスNIC（fail-open）をオプションで選べます。
ネットワーク許可リストは被害範囲（blast radius）を限定するものであり、内容検査ではありません。公認LLMへ秘密を送る等、allow-list 内の正規宛先の悪用は、ネットワーク層だけでは捕捉できません。
ネットワークの会社が、
作っています。
開発元のフォースネット株式会社は、2010年創業。大手通信キャリア向けのネットワーク構築、VoIP電話事業、ネットワークアプライアンスの開発を続けてきた技術会社です。代表は大規模携帯電話網（3G/4G）の設計・構築出身（CCIE #16004・『Juniper 完全Bible』執筆）。
回線に直列に入る機器をつくることは、止めない責任を引き受けることでもあります。その責任を負ってきた現場の経験が、fail-closed をはじめとする Tate の設計の土台です。
読んで、備える。
AIエージェントの行動を説明できるか — 監査ログ設計の基礎
AIエージェントに何をさせ、実際に何が起きたのか。後から説明するために記録すべきログを「エージェント・ホスト・ネットワーク」の3層で整理し、それぞれの役割と補完関係、改ざん耐性という観点までを解説します。
読むAIエージェント導入前のセキュリティチェックリスト — 情シスが確認すべき7項目
AIエージェントを業務導入する前に、情シス・IT管理者が確認しておきたい7つの観点をチェックリスト形式で整理。権限の最小化からネットワーク制御、監査ログまで、各項目の詳しい解説記事への入口となるハブ記事です。
読むAIコーディングエージェントを開発環境で安全に使うための egress 制御
AIコーディングエージェントはコード・認証情報・社内APIに触れながらツールを実行します。開発環境特有のリスクを整理し、開発効率を壊さずに外向き通信（egress）を絞る段階的な進め方と、その限界までを解説します。
読む