すぐ使える、ローカルで合成データを用いるリセット可能なAIセキュリティ演習対象。
意図的に脆弱なAIアプリを使い、攻撃の再現、範囲を限定した対策の実装、正当な利用の維持、決定論的な証拠によるセキュリティ結果の検証を行います。
カリキュラムを進めるにつれて、システムが発展していきます。公開済みの各フェーズで範囲の明確な機能を実装し、後続機能は該当するカリキュラムの公開時に追加されます。
ワークスペースを読み込み中
コースと保存済みの進捗を準備しています。
コースと保存済みの進捗を準備しています。
学習パスの概要
現実的なローカルAIアプリでセキュリティの問題を発見し、修正し、検証しましょう。
Aegis Vulnerable AI Labで学ぶ実践的なAIセキュリティの学習パスです。決定論的に再現できるテナント間攻撃から始め、テナント分離、オブジェクト認可、脅威モデリング、累積的なセキュリティ判定に取り組みます。
この学習パスの対象者
構築するもの
意図的に脆弱なAIアプリを使い、攻撃の再現、範囲を限定した対策の実装、正当な利用の維持、決定論的な証拠によるセキュリティ結果の検証を行います。
カリキュラムを進めるにつれて、システムが発展していきます。公開済みの各フェーズで範囲の明確な機能を実装し、後続機能は該当するカリキュラムの公開時に追加されます。
A ・公開済みの機能
Aegis Lab · 最初のエクスプロイト · テナント分離 · 認可 · 脅威モデリング · セキュリティゲート
用意済みのAegis Vulnerable AI Labを起動し、決定論的なテナント間のセキュリティ上の失敗を再現する。テナントスコープの検索を実装・検証し、AIのデータフローと信頼境界をマッピングする。さらに、学習者が所有する2つ目のポリシーシームを通じてオブジェクト認可を実装し、観測した脅威をテスト可能な要件へ変換して、攻撃と有用性を組み合わせた累積ゲートを通過する。
B ・公開済みの機能
プロンプトインジェクション · 信頼されていない検索 · 検索認可 · 出力境界 · ドキュメントプロベナンス · ローカルegress
ローカルのAegisラボで直接・間接プロンプトインジェクションを再現し、認可済みコンテンツが命令として振る舞わないよう検索（retrieval）されたコンテンツの信頼境界を実装する。さらに、検索エビデンスのキャッシュと再検証まで認可を拡張し、下流で解釈される前に構造化されたモデル出力を検証する。2つの範囲限定サブラボでドキュメントのプロベナンス（provenance）とローカルegress（外向き通信）のコントロールを追加し、正当なRAGの有用性を壊さずPhase Bの5つの境界が連携して機能することを累積ゲートで証明する。
C ・公開済みの機能
ケイパビリティインベントリ · ツール認可 · 承認権限 · メモリ信頼 · MCP認可 · ブラウザ承認
用意済みのAegisエージェントランタイムのケイパビリティを棚卸しし、モデルによる提案とアプリケーションの許可を分離する（C13）。続いて、Confused Deputy（混乱した代理人）攻撃と非承認者による承認付与攻撃を阻止するツール認可・承認ポリシーの組を実装し（C14）、プロベナンスが確認できないメモリ書き込みを信頼済みコンテキストへ受け入れないメモリ信頼境界を実装する（C15）。さらに、固定されたローカル訓練サーバーに対する呼び出し単位のMCPケイパビリティ認可（C16）と、ブラウザの機微な操作に対する承認境界（C17）を実装し、宣言されたすべての有用性ワークフローを維持したままPhase Cの5つの境界が組み合わせても成立することを累積ゲートで証明する（C18）。
必要な前提知識
基本的なプログラミング知識、ターミナルとGitの操作、ローカルPythonアプリの実行が前提です。AIセキュリティの経験は不要です。
カリキュラム
最初の攻撃
用意済みのAegis Vulnerable AI Labを起動し、決定論的なテナント間のセキュリティ上の失敗を再現する。テナントスコープの検索を実装・検証し、AIのデータフローと信頼境界をマッピングする。さらに、学習者が所有する2つ目のポリシーシームを通じてオブジェクト認可を実装し、観測した脅威をテスト可能な要件へ変換して、攻撃と有用性を組み合わせた累積ゲートを通過する。
6ユニット
セキュアRAG
ローカルのAegisラボで直接・間接プロンプトインジェクションを再現し、認可済みコンテンツが命令として振る舞わないよう検索（retrieval）されたコンテンツの信頼境界を実装する。さらに、検索エビデンスのキャッシュと再検証まで認可を拡張し、下流で解釈される前に構造化されたモデル出力を検証する。2つの範囲限定サブラボでドキュメントのプロベナンス（provenance）とローカルegress（外向き通信）のコントロールを追加し、正当なRAGの有用性を壊さずPhase Bの5つの境界が連携して機能することを累積ゲートで証明する。
6ユニット
無料プレビュー
A01 · 最初の攻撃
A02 · 最初の攻撃
A03 · 最初の攻撃
入門パス
AI Engineering Foundationsの完全な3ユニットから始め、フルコースと同じ学習システムを使えます。開始にアカウントやクレジットカードは不要です。
Aegisを起動し、最初のセキュリティ上の失敗を再現する
A01
最初のテナント境界を修正し、有用性を証明する
A02
AIデータフローと信頼境界をマッピングする
A03
方法論
信頼性と方法論
この学習パスはカリキュラムのスキルをAIセキュリティの実務に対応づけます。網羅率は就業準備度の評価、採用の保証、資格認定、実績の代わりにはなりません。
コースの成果は、学習者が実際に取り組むプロジェクト、タスク、確認項目に基づきます。
実践課題の確認と完了の記録は、学習者自身が行います。クイックチェックは理解を深めるためのものであり、能力を自動的に証明するものではありません。
コース修了は、採用の保証、資格、評価、実力を示す成果物の代わりにはなりません。
アクセス
無料プレビュー
公開ロードマップと、実際のコースから選んだユニット全文を無料で試せます。
無料で始めるコース全体
買い切りで、すべての公開済みユニット、進捗、クイックチェック、レッスンノート、バックアップツールを利用できます。
個別コース、または現在の4コースを含むAll-Accessから選べます。
アクセスプランを比較D ・公開済みの機能
脅威仮説 · エビデンスベースのスコアリング · 保護入力 · リリースゲート読解 · 反復可能なテストプログラム
用意済みで完成済みのAegis評価ハーネスを使い、Phase A〜Cの脅威モデルとコントロールを反復可能なAIセキュリティテストプログラムへ変換する。実際のAegisエビデンスに基づく反証可能な脅威仮説を記述し（D19）、ハーネスだけでは判断できない2つの判定――実行エビデンスが本当に封じ込めを示すか、完了した実行が正当な有用性（utility）を本当に示すか――を実装する（D20）。さらに、保護されたホールドアウト（holdout）入力が学習者から読み取り可能なデータセットインターフェースを通じて露出しないことを敵対的に検証し（D21）、高い平均値ではごまかせない宣言的リリースゲートの読み方を学び（D23）、受け入れ済みの同じ2つのポリシーを変更せず4パーティションすべてのデータセットで再実行して、再現可能なキャップストーンのリリース判定を行う（D24）。
E ・公開済みの機能
AIアセットインベントリ理解 · インテグリティ・バインディング理解 · アーティファクト検証 · 制約ランタイム理解 · 予算とDenial-of-Wallet理解 · 検証済みかつ制約されたAIランタイム
完成済みAegisのインテグリティ/制約ランタイムサーフェスを使い、実際のAIアセットインベントリとプロベナンスモデルを読む（E25）。Aegisですでに無条件に強制されているツール/MCPのオリジン・引数・スキーマのバインディングを、依存関係・ツール・MCPインテグリティのエビデンスとして読む（E26）。唯一の実際のギャップである、主張ステートメントを信頼済みインベントリが観測したsubject、digest、ビルダー権限へバインドする軽量なアーティファクト検証/アテステーション判定を実装する（E27）。Aegisですでに強制されているegress、機微フィールド、ケイパビリティ認可境界を、ゼロからなら完全なサンドボックスが構築すべき制約エビデンスとして読む（E28）。Aegisですでに固定されているagent/handoff/MCP/browserのリソース予算と正規budget-exhaustion eventをDenial-of-Walletエビデンスとして読む（E29）。最後に受け入れ済みE27ポリシーを変更せず、E26/E28/E29の読み取り専用構造エビデンスと合成して再実行し、再現可能なキャップストーンリリース判定を得る（E30）。
F ・公開済みの機能
検知エビデンス理解 · インシデントトリアージ理解 · 対応認可 · 修復検証理解 · コントロールプレーン理解 · AIセキュリティコントロールプレーン
完成済みAegisのインシデント、対応、リプレイ、エビデンス、Control Planeサーフェスを使い、実際のcanonical event検知エビデンスを読む（F31）。実際のインシデントトリアージとエビデンス保全の挙動を読む（F32）。唯一の実際のギャップである、提案された対応の対象をインシデント自身に記録された影響範囲へバインドする対応認可判定を実装する（F33）。すでに受け入れ済みのPhase D評価ハーネスを再利用して修復検証を考える（F34）。実際に存在し、すでに非権威的であるAI Security Control Planeを読む（F35）。最後にF33自身のシームを新しい認可サイクルで再利用する1つのエンドツーエンドのパープルチーム・インシデントを構成し、コース最終リリース判定を行う（F36）。
学習成果
学習成果01
Aegis Vulnerable AI Labを起動し、決定論的に再現できるテナント間のセキュリティ障害を確認します。
学習成果02
正当な利用を維持しながら、テナント単位の検索とオブジェクト認可を実装します。
学習成果03
AIのデータフローと信頼境界を可視化し、観測した脅威をテスト可能なセキュリティ要件に変換します。
学習成果04
攻撃耐性と有用性の累積判定に合格し、実装したセキュリティ対策の証拠を作成します。
エージェントセキュリティ
用意済みのAegisエージェントランタイムのケイパビリティを棚卸しし、モデルによる提案とアプリケーションの許可を分離する（C13）。続いて、Confused Deputy（混乱した代理人）攻撃と非承認者による承認付与攻撃を阻止するツール認可・承認ポリシーの組を実装し（C14）、プロベナンスが確認できないメモリ書き込みを信頼済みコンテキストへ受け入れないメモリ信頼境界を実装する（C15）。さらに、固定されたローカル訓練サーバーに対する呼び出し単位のMCPケイパビリティ認可（C16）と、ブラウザの機微な操作に対する承認境界（C17）を実装し、宣言されたすべての有用性ワークフローを維持したままPhase Cの5つの境界が組み合わせても成立することを累積ゲートで証明する（C18）。
6ユニット
セキュリティeval
用意済みで完成済みのAegis評価ハーネスを使い、Phase A〜Cの脅威モデルとコントロールを反復可能なAIセキュリティテストプログラムへ変換する。実際のAegisエビデンスに基づく反証可能な脅威仮説を記述し（D19）、ハーネスだけでは判断できない2つの判定――実行エビデンスが本当に封じ込めを示すか、完了した実行が正当な有用性（utility）を本当に示すか――を実装する（D20）。さらに、保護されたホールドアウト（holdout）入力が学習者から読み取り可能なデータセットインターフェースを通じて露出しないことを敵対的に検証し（D21）、高い平均値ではごまかせない宣言的リリースゲートの読み方を学び（D23）、受け入れ済みの同じ2つのポリシーを変更せず4パーティションすべてのデータセットで再実行して、再現可能なキャップストーンのリリース判定を行う（D24）。
5ユニット
ランタイムインテグリティ
完成済みAegisのインテグリティ/制約ランタイムサーフェスを使い、実際のAIアセットインベントリとプロベナンスモデルを読む（E25）。Aegisですでに無条件に強制されているツール/MCPのオリジン・引数・スキーマのバインディングを、依存関係・ツール・MCPインテグリティのエビデンスとして読む（E26）。唯一の実際のギャップである、主張ステートメントを信頼済みインベントリが観測したsubject、digest、ビルダー権限へバインドする軽量なアーティファクト検証/アテステーション判定を実装する（E27）。Aegisですでに強制されているegress、機微フィールド、ケイパビリティ認可境界を、ゼロからなら完全なサンドボックスが構築すべき制約エビデンスとして読む（E28）。Aegisですでに固定されているagent/handoff/MCP/browserのリソース予算と正規budget-exhaustion eventをDenial-of-Walletエビデンスとして読む（E29）。最後に受け入れ済みE27ポリシーを変更せず、E26/E28/E29の読み取り専用構造エビデンスと合成して再実行し、再現可能なキャップストーンリリース判定を得る（E30）。
6ユニット
セキュリティ運用
完成済みAegisのインシデント、対応、リプレイ、エビデンス、Control Planeサーフェスを使い、実際のcanonical event検知エビデンスを読む（F31）。実際のインシデントトリアージとエビデンス保全の挙動を読む（F32）。唯一の実際のギャップである、提案された対応の対象をインシデント自身に記録された影響範囲へバインドする対応認可判定を実装する（F33）。すでに受け入れ済みのPhase D評価ハーネスを再利用して修復検証を考える（F34）。実際に存在し、すでに非権威的であるAI Security Control Planeを読む（F35）。最後にF33自身のシームを新しい認可サイクルで再利用する1つのエンドツーエンドのパープルチーム・インシデントを構成し、コース最終リリース判定を行う（F36）。
6ユニット