AIが乗っ取られても、
許可していない通信は通さない。
プロンプトインジェクションでエージェントの意図が乗っ取られても、Tate はネットワーク層から外向き通信の到達性を制限します。lockdown 構成では、公認 LLM・ツール以外への egress を遮断する独立した防御層です。
webhook.site blocked Tate は、回線の途中に挿入する L2透過型ファイアウォール・アプライアンスです。
AI SaaS でも、エージェント管理ツールでもありません。
AIにツールを実行させる。
その外向き通信は、誰が見ていますか。
エージェントのサンドボックスや権限といったホスト側の対策が突破されたとき、外向き通信を止める独立した防御層がない — それが、AIエージェント導入で生まれる新しい不安です。
プロンプトインジェクション
悪意あるWebページやツール出力が、エージェントの「意図」を乗っ取る。
暴走・逸脱
自律エージェントが想定外の宛先へ接続し、スキャンや横展開を試みる。
情報持ち出し
秘密や資格情報が、許可していない外部の宛先へ送り出される。
外側から、到達性を制限する。
インジェクションはエージェントの意図を乗っ取れても、Tate はエージェントの外側から到達性を強制します。「秘密を evil.com に送れ」と指示されても、許可リストに無ければネットワークが到達させません。
健全なエージェントの egress は小さく安定しているため、逸脱そのものが侵害シグナルになります。ネットワーク強制はエージェントプロセスの制御外にあり、独立した防御層として働きます。
① pin — LLMプロバイダ固定
- 同居
- ○ 人間と同居するホストでも使える（default-allow のまま）
- 守る
- 公認以外の既知LLMプロバイダへの逸脱・rogueモデルへのリダイレクトを遮断
② lockdown — 全体ロックダウン
- 同居
- ✕ エージェント専有ホスト / セグメント前提（deny-base）
- 守る
- 公認 LLM・ツール以外への外向き通信を全遮断。情報持ち出し・C2 到達を封じる
IP設計を変えずに、今日から見える・止められる。
結線する
inside と outside の間に挟むだけ。IP設計もネットワーク構成も変えません（データポートはIPを持ちません）。
observe で見る
いま何が流れているか — プロトコル・トップtalker・観測ドメインをGUIで可視化します。
monitor → enforce
would-block をレビューして許可リストを詰め、実遮断へ。段階的に移行できます。
option 可用性優先の構成には、障害時に物理直結する HWバイパスNIC（fail-open）を選べます。
AIが解析する。
データは構内から出ない。
観測した集約スナップショットを、構内で完結するローカルLLMが解析。標準構成ではクラウドAPIを使わず、通信ペイロードは送りません（そもそも収集しません）。
新規観測されたトンネリング / exfil / DoH ドメインが多数。プロンプトインジェクションか資格情報窃取を強く示唆。
sanctioned
unexpected / new
ngrok.io · webhook.site · pastebin.com · api.telegram.org dns.google で DNS 可視性を回避 初見ドメイン検出: egress が安定したホストでの「初めて見るドメイン」を、高シグナルの要調査イベントとして提示します。
止まるときは、閉じて止まる。
fail-closed
標準構成では、箱の障害＝通信停止。「無検査で素通しになる窓」を開けません。
遮断は劣化しない
管理機能が停止しても、適用済みポリシーによる遮断はそのまま継続します。
自己完結
GUI・CLI・mTLS API をアプライアンスに同梱。追加サーバーも外部サービスも必要としません。
SBOM 同梱
サプライチェーン管理として SBOM を同梱。信頼の根拠を、添付して届けます。
正直に明示します — 標準構成では、Tate が可用性の単一障害点になります。可用性を優先する場合は HWバイパスNIC（fail-open）をご検討ください。
仕様サマリ （設計ドキュメント由来の事実のみ）
できること、できないこと。
いいえ。Tate は TLS を復号しません（MITM をしません）。検査するのはヘッダメタデータ（L3/L4）と接続先ドメイン（TLS SNI / HTTP Host）です。「どこへ繋ぐか」は見えますが、「何を送るか」の中身は見ません。
できません。ドメイン（ホスト名）単位の制御です。同一ホスト上のパス別 webhook は区別できません。より細かい制御はアプリケーション層の領分です。
しません。「AIを検出する」機能ではありません。対象は設置場所と運用者の宣言（公認リスト）で定義します。lockdown はエージェント専有ホストを前提とします。
標準構成では fail-closed — 箱の障害は通信停止となり、Tate が可用性の単一障害点になります。可用性を優先する場合は、障害時に物理直結する HWバイパスNIC（fail-open）をオプションで選べます。
ネットワーク許可リストは被害範囲（blast radius）を限定するものであり、内容検査ではありません。公認LLMへ秘密を送る等、allow-list 内の正規宛先の悪用は、ネットワーク層だけでは捕捉できません。