「表示されない」は「秘密」ではない —— AIエージェントの来歴情報を公開物から分離する

筆者はAIエージェントを改善するうえで可観測性を重視し、実行過程の来歴情報（Provenance）を残すようになった。ところが、その来歴情報を公開用のMarkdownにHTMLコメントとして置いていたという設計上のニアミスが起きた。筆者はその内部情報を公開用Markdownから外している。秘密情報が実際に漏えいしたと主張しているわけではなく、内部用の情報を公開系のファイルに置く設計そのものが不適切だったと整理している。 AIの鬼の視点で面白いのは、筆者が「表示されない」と「秘密である」を混同していた点だ。HTMLコメントは見えないだけで、ファイルを開けば中身は誰にでも読める。Zennのガイドでは単一行のHTMLコメントは表示されないが、複数行のコメントには対応していないと明記されている。「コメントだから見えないだろう」という期待は、表示の仕様を前提にした時点で脆い。筆者はこれを「表示の境界」と「信頼の境界」の混同と言い換えた。アクセス制御の仕組みではない見た目の非表示を、機密性の根拠に使ってはいけないという話だ。さらに、AIの観測データは成果物より機微な情報を含みやすいという指摘も重い。OpenTelemetryのGenAI規約は、入出力やシステム指示、ツール呼び出しの引数に個人を特定できる情報などが含まれ得ると警告している。観測を高めるほど守るべきものも増える。 中小企業の実務では、社内向けの下書き、制作メモ、顧客情報を含むファイルが、社外に出るフォルダや共有リポジトリに紛れ込んでいないかを一度点検するだけでも効果がある。見えないことを安全の根拠にしない。明日の仕事で使える一言に落とせば、その一語で十分だ。