すぐに使えるガードレール

Enable predefined guardrails for PII, prompt injection, harmful content, and IP leakage, or configure LLM as Judge to evaluate custom natural-language policies, then set actions to log, block, or escalate.

すぐに使えるガードレールは、事前定義済みですぐに使用できる安全対策であり、エージェントに対してカスタムの設定やコーディングなしに有効化できます。これらのガードレールは、機密データの漏洩やプロンプト インジェクション攻撃などの一般的なリスクを迅速に回避し、安全で信頼できるエージェントを素早く構築するのに役立ちます。

前提条件

すぐに使えるガードレールは、以下のライセンス プランで利用できます。

• フレックス プライシング プラン: Enterprise – Standard および Advanced のティア。
• ユニファイド プライシング プラン: Standard、Enterprise、App Test Platform Standard、App Test Platform Enterprise。

必要な権利が組織で有効化されていない場合、対応するガードレール オプションは UI に表示されません。ガードレールがすでに設定済みである場合に、必要な権利を後から無効化すると、エージェントは実行中にそれらのガードレールを単にスキップします。エージェントの実行が失敗することはありません。

注:

すぐに使えるガードレールにアクセスできるかどうかは、使用するクラウド プラットフォームによっても異なります。詳しくは「Agents の機能の可用性」をご覧ください。

すぐに使えるガードレールは、エージェントの設定から直接設定および構成できます。この設定は、選択したスコープとアクションの種類に基づいて、実行時に自動的に適用されます。

1. [エージェントの設定] を開きます。
   1. Studio Web でエージェントを開きます。
   2. [エージェントの設定] パネルを開きます。
   3. [ガードレール] タブに移動し、[ガードレールを追加] を選択します。
2. 利用可能な定義済みのガードレールからガードレールの種類を選択します。
   • 個人を識別できる情報 (PII) の検出 – メール アドレスや物理アドレスなどの機密情報を識別してブロックします。このガードレールでは Azure Cognitive Services が使用されます。
   • プロンプト インジェクション – LLM との対話中に、悪意のあるプロンプトや不正な操作を行うプロンプトを検出してブロックします。このガードレールは Noma Security を使用します。Noma のサービスは米国でホストされているため、これら 2 つのガードレールによって処理されるデータは、テナントのリージョンの外部で処理される場合があります。
   • 有害コンテンツ – LLM との対話に含まれるヘイト スピーチ、自傷行為、性的コンテンツ、暴力を検出します。このガードレールは Azure AI Content Safety を使用します。
   • 知的財産 (IP) の保護 – モデルが生成したテキストとコード内の知的財産の漏洩を検出します。このガードレールは Azure AI Content Safety を使用します。
   • ユーザー プロンプト攻撃 – ジェイル ブレイクやプロンプト インジェクションなどのユーザー プロンプト攻撃を検出してブロックします。このガードレールは Azure AI Content Safety を使用します。
   • LLM as Judge – Evaluates prompts, responses, or LLM calls against custom instructions that you write in plain natural language, using the LLM you select as the judge model.

個人を識別できる情報 (PII) の検出ガードレールを設定する

PII の検出は、メール アドレス、電話番号、物理的な住所などの機密性の高い個人情報をエージェントとの対話全体にわたって識別し、フラグを付けます。エージェントのプロンプト、LLM の呼び出し、ツールのデータに適用できます。このガードレールは Azure Cognitive Services を使用します。

1. 個人を識別できる情報 (PII) の検出ガードレールをエージェントに追加します。
2. 次のフィールドに入力します。
   • ガードレール名 – このガードレールのわかりやすい名前を入力します。
   • ガードレールの説明 – ガードレールで検出する情報や、ガードレールをどこに適用するかについての説明を入力します。
3. 検出するエンティティを選択します。[検出するエンティティ] ドロップダウンから、監視する情報の種類 (メール アドレス、電話番号、住所など) を選択します。
4. 検出しきい値を設定します。選択したエンティティごとに、[検出しきい値] を 0 から 1 の範囲で定義します。しきい値を高くすると検出が厳密になり (誤検知が減り)、しきい値を低くすると感度が高くなります。
5. スコープを選択します。ガードレールの適用先を選択します。
   • エージェント – エージェントのユーザー プロンプトと出力を確認します。
   • LLM の呼び出し – LLM の要求と応答を確認します。
   • ツール – ツールの入力データと出力データを確認します。スコープを 1 つ以上選択して、同じ検出ロジックを実行の複数のステージに適用できます。
     • [ツール] スコープを選択した場合は、[ツールを選択] リストからツールを 1 つ以上選択します。これにより、同じガードレールを同じエージェント内の複数のツールで再利用できます。
6. [アクションの種類] を定義します。PII が検出された場合にシステムがどのように応答するかを設定します。
   • ログ – エージェントの実行を中断することなくイベントを記録します。[重大度レベル] で、ログ エントリの重要度レベルを設定します。
     • Info – 一般的な情報や影響の少ない結果として扱います。
     • Warning – 実行をブロックしない潜在的なリスクとして扱います。
     • Error – レビューが必要な重大な検出結果として扱います。
   • ブロック – ガードレールがトリガーされた場合、エージェントやツールの実行を停止します。
     • ブロックする理由 – アクションをブロックする簡単な説明を入力します (例: 「ツールの出力で個人情報 (PII) データが検出されました」)。
   • エスカレーション – 違反が発生した場合、エスカレーションを送信します。
     • アプリの割り当て先 – エスカレーション ターゲットの種類を選択します。特定のユーザー、定義済みのユーザー グループ、または外部アドレスから選択できます。
     • 受信者 – 受信者 (名前またはメール アドレス) を検索して選択します。
     • アクション アプリ – エスカレーションを処理するアプリケーションを選択します。
7. 評価用に有効化します。エージェントのテストまたは評価時にこのガードレールを実行するために、[評価用にガードレールを有効化] を切り替えます。
8. ガードレールを保存します。設定が完了すると、ガードレールは自動的に LLM のすべての要求と応答を監視し、プロンプト インジェクションの試行が検出されると実行をブロックします。

プロンプト インジェクション ガードレールを設定する

プロンプト インジェクションの検出は、LLM との対話を監視し、エージェントの意図された動作を上書きしようとする悪意のある指示や不正な操作を行う指示がないかどうかを確認します。このガードレールは Noma Security を使用します。

1. プロンプト インジェクション ガードレールをエージェントに追加します。
2. 次のフィールドに入力します。
   • ガードレール名 – このガードレールのわかりやすい名前を入力します。
   • ガードレールの説明 – 任意で、ガードレールで検出する情報や、ガードレールをどこに適用するかについての説明を入力します。
3. 検出しきい値を設定します。感度レベルを指定します (例: 0.8)。値を大きくするほど検出が厳密になり、誤検知が減ります。
4. [アクションの種類] を定義します。システムが検出イベントをどのように処理するかを設定します。
   • ログ – エージェントの実行を中断することなくイベントを記録します。[重大度レベル] で、ログ エントリの重要度レベルを設定します。
     • Info – 一般的な情報や影響の少ない結果として扱います。
     • Warning – 実行をブロックしない潜在的なリスクとして扱います。
     • Error – レビューが必要な重大な検出結果として扱います。
   • ブロック – ガードレールがトリガーされた場合、エージェントやツールの実行を停止します。
     • ブロックする理由 – アクションをブロックする理由の簡単な説明を入力します。
   • エスカレーション – 違反が発生した場合、エスカレーションを送信します。
     • アプリの割り当て先 – エスカレーション ターゲットの種類を選択します。特定のユーザー、定義済みのユーザー グループ、または外部アドレスから選択できます。
     • 受信者 – 受信者 (名前またはメール アドレス) を検索して選択します。
     • アクション アプリ – エスカレーションを処理するアプリケーションを選択します。
5. 評価用に有効化します。エージェントのテストまたは評価時にこのガードレールを実行するために、[評価用にガードレールを有効化] を切り替えます。
6. ガードレールを保存します。設定が完了すると、ガードレールは自動的に LLM のすべての要求と応答を監視し、プロンプト インジェクションの試行が検出されると実行をブロックします。

有害コンテンツ ガードレールを設定する

有害コンテンツの検出は、LLM との対話に含まれるヘイト スピーチ、自傷行為、性的コンテンツ、暴力を特定します。LLM の呼び出しの前、後、または前後の段階で適用できます。このガードレールは Azure AI Content Safety を使用します。

1. 有害コンテンツ ガードレールをエージェントに追加します。
2. ガードレールの詳細を定義します。次のフィールドに入力します。
   • ガードレール名 – このガードレールのわかりやすい名前を入力します。
   • ガードレールの説明 – ガードレールで検出する情報や、ガードレールをどこに適用するかについての説明を入力します。
3. 検出するカテゴリを選択します。[検出するエンティティ] リストから、監視するコンテンツの種類 (ヘイト スピーチ、自傷行為、性的なコンテンツ、暴力) を 1 つ以上選択します。
4. 検出しきい値を設定します。選択したエンティティごとに、[検出しきい値] を 0 から 6 の範囲で定義します。値が大きいほど、トリガーに必要なコンテンツの重大度が高くなります。
5. スコープを選択します。ガードレールの適用先を選択します。
   • エージェント – エージェントのユーザー プロンプトと出力を確認します。
   • LLM の呼び出し – LLM の要求と応答を確認します。
   • ツール – ツールの入力と出力を確認します。スコープを 1 つ以上選択して、同じ検出ロジックを実行の複数のステージに適用できます。
     • [ツール] スコープを選択した場合は、[ツールを選択] リストからツールを 1 つ以上選択します。これにより、同じガードレールを同じエージェント内の複数のツールで再利用できます。
6. [アクションの種類] を定義します。有害コンテンツが検出された場合のシステムの動作を設定します。
   • ログ – エージェントの実行を中断することなくイベントを記録します。[重大度レベル] で、ログ エントリの重要度レベルを設定します。
     • Info – 一般的な情報や影響の少ない結果として扱います。
     • Warning – 実行をブロックしない潜在的なリスクとして扱います。
     • Error – レビューが必要な重大な検出結果として扱います。
   • ブロック – ガードレールがトリガーされた場合、エージェントやツールの実行を停止します。
     • ブロックする理由 – アクションをブロックする理由の簡単な説明を入力します。
   • エスカレーション – 違反が発生した場合、エスカレーションを送信します。
     • アプリの割り当て先 – エスカレーション ターゲットの種類を選択します。特定のユーザー、定義済みのユーザー グループ、または外部アドレスから選択できます。
     • 受信者 – 受信者 (名前またはメール アドレス) を検索して選択します。
     • アクション アプリ – エスカレーションを処理するアプリケーションを選択します。
7. 評価用に有効化します。エージェントのテストまたは評価時にこのガードレールを実行するために、[評価用にガードレールを有効化] を切り替えます。
8. ガードレールを保存します。設定が完了すると、ガードレールは LLM との対話を監視し、有害コンテンツが検出されると設定されたアクションに従って対応します。

知的財産 (IP) の保護ガードレールを設定する

IP 保護は、モデルが生成したテキストとコード内の知的財産の漏洩を検出します。このガードレールは実行後にのみ適用され、LLM の呼び出し後にモデルの応答を確認します。このガードレールは Azure AI Content Safety を使用します。

1. 知的財産 (IP) の保護ガードレールをエージェントに追加します。
2. ガードレールの詳細を定義します。次のフィールドに入力します。
   • ガードレール名 – このガードレールのわかりやすい名前を入力します。
   • ガードレールの説明 – 任意で、ガードレールで検出する情報や、ガードレールをどこに適用するかについての説明を入力します。
3. [検出するエンティティ] リストから、監視するコンテンツの種類 (テキスト、コード、またはその両方) を選択します。
4. スコープを選択します。ガードレールの適用先を選択します。
   • エージェント – エージェントの入力プロンプトと出力プロンプトを確認します。
   • LLM の呼び出し – モデルとやり取りする要求と応答を確認します。
5. [アクションの種類] を定義します。システムが検出イベントをどのように処理するかを設定します。
   • ログ – エージェントの実行を中断することなくイベントを記録します。[重大度レベル] で、ログ エントリの重要度レベルを設定します。
     • Info – 一般的な情報や影響の少ない結果として扱います。
     • Warning – 実行をブロックしない潜在的なリスクとして扱います。
     • Error – レビューが必要な重大な検出結果として扱います。
   • ブロック – ガードレールがトリガーされた場合、エージェントやツールの実行を停止します。
     • ブロックする理由 – アクションをブロックする理由の簡単な説明を入力します。
   • エスカレーション – 違反が発生した場合、エスカレーションを送信します。
     • アプリの割り当て先 – エスカレーション ターゲットの種類を選択します。特定のユーザー、定義済みのユーザー グループ、または外部アドレスから選択できます。
     • 受信者 – 受信者 (名前またはメール アドレス) を検索して選択します。
     • アクション アプリ – エスカレーションを処理するアプリケーションを選択します。
6. 評価用に有効化します。エージェントのテストまたは評価時にこのガードレールを実行するために、[評価用にガードレールを有効化] を切り替えます。
7. ガードレールを保存します。設定が完了すると、ガードレールは LLM のすべての応答を監視し、IP の漏洩が検出されると設定されたアクションに従って対応します。

ユーザー プロンプト攻撃ガードレールを設定する

ユーザー プロンプト攻撃は、プロンプト インジェクションやジェイル ブレイクの試みを LLM に到達する前に検出します。このガードレールは実行前にのみ適用されます。

1. ユーザー プロンプト攻撃ガードレールをエージェントに追加します。
2. ガードレールの詳細を定義します。次のフィールドに入力します。
   • ガードレール名 – このガードレールのわかりやすい名前を入力します。
   • ガードレールの説明 – ガードレールで検出する情報や、ガードレールをどこに適用するかについての説明を入力します。
3. [アクションの種類] を定義します。攻撃が検出された場合のシステムの動作を設定します。
   • ログ – エージェントの実行を中断することなくイベントを記録します。[重大度レベル] で、ログ エントリの重要度レベルを設定します。
     • Info – 一般的な情報や影響の少ない結果として扱います。
     • Warning – 実行をブロックしない潜在的なリスクとして扱います。
     • Error – レビューが必要な重大な検出結果として扱います。
   • ブロック – ガードレールがトリガーされた場合、エージェントやツールの実行を停止します。
     • ブロックする理由 – アクションをブロックする理由の簡単な説明を入力します。
   • エスカレーション – 違反が発生した場合、エスカレーションを送信します。
     • アプリの割り当て先 – エスカレーション ターゲットの種類を選択します。特定のユーザー、定義済みのユーザー グループ、または外部アドレスから選択できます。
     • 受信者 – 受信者 (名前またはメール アドレス) を検索して選択します。
     • アクション アプリ – エスカレーションを処理するアプリケーションを選択します。
4. 評価用に有効化します。エージェントのテストまたは評価時にこのガードレールを実行するために、[評価用にガードレールを有効化] を切り替えます。
5. ガードレールを保存します。設定が完了すると、ガードレールは自動的に LLM のすべての要求と応答を監視し、ユーザー プロンプト攻撃が検出されると実行をブロックします。

Configuring an LLM as Judge guardrail

LLM as Judge evaluates agent prompts, responses, or LLM calls against custom instructions that you write in plain natural language, using an LLM as the judge. Unlike the other out-of-the-box guardrails, which check for a fixed, predefined category through a managed classification service, LLM as Judge lets you enforce free-form policies that don't map to an existing category, such as "never quote pricing" or "tool inputs must not contain internal code names."

重要:

Each check this guardrail performs makes a real LLM call, adding the judge model's token usage on top of the agent's own usage. This happens every time the guardrail runs, including during agent testing and evaluation runs when enabled for evaluations. You can choose a cheaper judge model where possible, because a judge doesn't need the agent model's capability to stay accurate.

1. Add the LLM as Judge guardrail to your agent.
2. ガードレールの詳細を定義します。次のフィールドに入力します。
   • ガードレール名 – このガードレールのわかりやすい名前を入力します。
   • ガードレールの説明 – ガードレールで検出する情報や、ガードレールをどこに適用するかについての説明を入力します。
3. In the Rule prompt field, describe the policy to enforce in plain text, up to 4,000 characters, for example, "Never quote pricing" or "Always include this disclaimer."
4. From the dedicated judge model picker, select the LLM to use as the Judge model, separate from the agent's own model list. The picker includes UiPath-managed models, and your own LLM Configurations if your organization uses bring your own model/subscription in AI Trust Layer.
5. Optionally, provide up to two positive and two negative examples to improve judge accuracy. Each example is limited to 1,000 characters.
6. Set a Detection threshold. This threshold defines the sensitivity level the judge uses to decide whether content violates the rule prompt.
7. Choose where the guardrail applies:
   • Agent – Checks the agent's user prompt and output.
   • LLM の呼び出し – LLM の要求と応答を確認します。
   • Tools – Checks tool input and output data. The guardrail applies before and after execution for the selected scope.
8. Choose the Action type — how the guardrail responds when the judge returns a failing verdict: Log, Block, or Skip.
9. Toggle Enable guardrail for evaluations to run this guardrail during agent testing and evaluation.
10. Save the guardrail.

At runtime, the judge model returns a pass or fail verdict together with a human-readable reason, both visible in the trace details. Because the judge's own request and response are themselves an LLM call, centralized guardrails enabled in your AI Trust Layer policy for harmful content, prompt injection, PII, and IP protection also apply to them, the same as they apply to other LLM calls in the platform. For details, refer to Monitoring guardrails and Centralized guardrails.