セキュリティ

APIキー

• シークレットをサーバーで保管し、ソース管理、ブラウザー配信物、ログに含めないでください。
• アプリごとにキーと利用上限を分けます。
• 定期的にキーをローテーションし、漏えいしたキーは即座に失効します。
• 本番APIリクエストにはHTTPSを使用してください。

アカウントへのアクセス

アカウントMFAを有効にし、復旧情報を安全に保管してください。アカウント管理には認証済みWebセッションを使用し、管理者操作には別途ロールとMFAの確認が必要です。

モデルの出力とツール

生成内容とツール引数は信頼できない入力として扱い、実行前にスキーマと権限を検証してください。ゲートウェイはモデルが要求したツールを代行実行しません。

• セキュリティ対策公開セキュリティポリシーを確認します。
• ツール呼び出しツール実行の境界を理解します。