この記事は、AI Software & PlatformのKonstantin Berlin（AI Detection Architect）、Sean Bergeron（Machine Learning Engineer）、Evgeny Livshits（Machine Learning Engineering Technical Leader）、Gurpreet Kaur Khalsa（Principal Product Manager）によるブログ記事「Cisco AI Defense Policy Studio: Turning Unwritten Policy into Adaptive AI Guardrails」（2026 年 6 月 10 日）の抄訳です。
シスコの統合 AI セキュリティおよびセーフティフレームワークおよびタクソノミーの憲法に関する最近の取り組みでは、企業が AI を展開する際に共通して抱えるリスクの定義と検出に焦点を当ててきました。しかし、多くの企業が共通のリスクカテゴリを共有している一方で、その実態は多様であり、お客様固有のあらゆるケースを完全に網羅する包括的なタクソノミーを構築することは不可能です。たとえば、リテールバンクの AI アシスタントは、「401（k）の仕組み」については回答すべきですが、SEC や FINRA の規則により、「貯蓄をインデックスファンドに移すべきか」という個人の投資アドバイスにあたる質問には回答できない可能性があります。このようなルールを作成するのは思考を要する作業であり、市場に存在するカスタムガードレール用のツール（固定カテゴリのドロップダウン、正規表現フィールド、ラベル付きのサンプルアップローダー、空白の記述ボックス）では、ポリシー所有者にまだ終えていない作業を要求してしまいます。
そこで、シスコは Cisco AI Defense に Policy Studio を導入しました。これは、ポリシー所有者向けにカスタムガードレールの作成をガイドする、柔軟性の高い AI アシスタントです。チャットとレビュー機能を備えた UI で、所有者はインサイトに回答します。インサイトはルールが何を意味するかという概念的な質問で、自社のデータに基づく証拠とともに示され、ドラフトを編集するのではなく、マネージャがガイダンスを示すような形で行われます。アシスタントはそのガイダンスをポリシー文書に変換し、データに基づき調整したうえで、ランタイムで適用されるよう、結果を AI Defense のガードレールコンソールに発行します。
人間が読める形式のポリシー
Policy Studio のガードレールは、人間が読める形式のポリシー文書です。問題となる行為を定義し、その構成要素を示して類似する行為との境界を明確にしたうえで、判断が難しいケースについて実例を記録します。コンプライアンス担当者、監査人が読み、ランタイムでは言語モデルもこれを読んで、各ケースについて判断します。この文書は、共通の安全性のリスクに関するシスコの憲法をモデルにしています。これは憲法型 AI に基づいており、手法ごとに 300 行超の記述で構成され、複数のフロンティアモデルが同じ入力に対して同じ判断を返すほど精密に作成されています。
文書化されたポリシーは、銀行の法務、コンプライアンス、監査部門がすでに使用しているアーティファクトです。カスタムガードレールも、これと同様であるべきなのです。
人間中心のメタプロンプティング
憲法型の取り組みからわかったのは、大規模に適用できるほど精密なポリシーを、人間が支援なしで合理的に作成するのには無理があるということです。そこでシスコは、メタプロンプティングに注目しました。これは AI を用いて別のモデルが読み込むプロンプトを作成する手法です。カスタムガードレールはまさにこの種のプロンプトであり、ランタイムで分類子がリクエストごとに読み込むシステムプロンプトを Policy Studio が作成します。既存のメタプロンプティングに関する取り組みは自動化されています。DSPy のオプティマイザ（Khattab et al., 2023）や OPRO（Yang et al., 2023）は、ラベル付けされたデータセットを受け取り、そのラベルを再現する文字列をプロンプト空間から検索します。そして、目標とする挙動がすでに確定している場合、これらの手法で人間が直接プロンプトを編集するのと同等、またはそれ以上の成果を出すことができると報告されています。
新しいカスタムガードレールの作成は、確立されたポリシーが存在する状態から始まるわけではありません。ポリシー所有者は、助言と教育の境界を模索しながらラベル付けを行い、初めて基準を策定する専門家がそうであるように、作業を進める中で基準に対する解釈が洗練されていきます。ラベルは変化し続けるターゲットを記録し、これらのラベルから直接作成されるプロンプトは、その揺らぎを引き継いだものになります。
シスコは、この一連の取り組みをもとに、固定化されたパイプラインではなく AI エージェントを用いることで、まだ形成過程にあるポリシーに対象を拡大しました。Policy Studio は、銀行のチャットと照らし合わせてドラフトを確認し、不備を指摘し、ポリシー所有者に対して解決すべき質問を整理して、回答が得られるたびにポリシーを書き換えます。このように、ポリシー所有者が方向性を維持し、エージェントがすべての反復作業を担います。
インサイト: 根拠とともに提示される整理済みの質問
Policy Studio のセッションでは、ポリシー所有者とエージェントは異なる粒度で作業します。ポリシー所有者は全般的な論点を判断し、エージェントはその一段下の粒度で、個々のチャットとポリシー文書のドラフトを扱います。こうした全般的なそれぞれの問題を「インサイト」と呼び、インサイトが 1 つ解決されるたびに、エージェントは次の書き換え作業に進み、メタプロンプティングのループが完了します。インサイトは次の 2 つの情報源から得られ、セッションではこの 2 つを行き来しながら進みます。
テキストに関するインサイトは、現在のドラフトを読み込み、ポリシー所有者が読み返しても気付きにくい不備、抜け落ちている点、曖昧な条項を指摘します。銀行のセッションにおける初期のテキストに関するインサイトは、たとえば次のような内容になります。
仮定表現
現在のドラフトでは推奨行為を禁止していますが、「もし今日債券に投資するとしたら…」のような仮定表現について言及されていません。コンプライアンスのガイダンスでは、通常、仮定上の助言も助言として扱われます。
[同意する（Agree）] · [同意しない（Disagree）] · [却下（Dismiss）]
この質問では、該当する条項、抜けているケース、ポリシー所有者が下すべき判断が示されており、回答にあたりお客様とのチャットを 1 件も読む必要はありません。
挙動に関するインサイトは、現在のドラフトを銀行の実稼働環境のチャットに対して実行し、その判断に至った推論経路ごとにグループ化することで得られます。各グループはドラフトが示すパターンであり、代表的な例とともに表示されます。
市場比較による暗黙的な助言 · FN · 31 件
現在のドラフトでは、特定の投資選択へと読者を誘導しているにもかかわらず、資産クラス間の過去のリターンを比較する回答（「2000 年以降、インデックスファンドはアクティブ運用を上回っている」）を許可してしまいます。
[同意する（Agree）] · [同意しない（Disagree）] · [却下（Dismiss）] [カンバセーションの表示（View Conversations）]
ポリシー所有者はパターンレベルで回答します。1 つの回答がグループ内のすべてのカンバセーションに適用され、次の書き換え後は、まだ発生していない事例にも適用されます。1 つのインサイトに回答することで、ポリシーの記述方法が変わります。ラベルの変更では、1 件の事例が変わります。ポリシー所有者の労力は事例の量ではなく、ポリシー内の異なる判断基準の数に応じて決まるのです。10 件の異なる判断基準が含まれるポリシーであれば、銀行のチャットが 70 件であろうと 7 万件であろうと、解決対象のインサイトは 10 件程度となります。
テキスト分析では、データからではわからない不備を捉えることができます。なぜなら、ポリシーによってすでに観察不可能となった事例は、データには含まれないからです。挙動分析では、ポリシー所有者が気付いていなかった暗黙の前提を捉えることができます。これらの両方を同じセッションで実行することで、まずポリシー所有者にとって、次に銀行側の作業を確認する監査人にとって、ポリシーが理解しやすくなります。
文書化されたポリシーをランタイムで適用する
所有者が記述したポリシーが、そのまま適用されるポリシーとなります。推論時に自然言語で書かれたポリシーを読み込む、オープンソースのポリシー対応型の安全性モデルは、Meta の Llama Guard（Inan 他、2023 年）によって初めて実証され、その後 Google の ShieldGemma（Zeng 他、2024 年）、NVIDIA の Aegis Safety Guard（Ghosh 他、2024 年）、OpenAI の gpt-oss-safeguard によっても確認されました。シスコ自身の憲法型の取り組み [近日公開予定の arXiv リンク] においても、適切な規模のオープンソースモデルでは、クローズソースのフロンティアモデルとほぼ同等の精度で憲法を解釈できることがわかっており、企業はホスト型 API を使用せずに、文書化されたポリシーを実稼働環境で運用できます。Policy Studio は文書を Cisco AI Defense に直接発行し、モデルやアプリケーション全体で適用できるようにします。
これが Cisco AI Defense のお客様にもたらす意味
この適用レイヤは、公開済みのセーフティタクソノミーが稼働しているものと同じで、どちらも同じ AI ファーストのパターンで作成されています。憲法は信頼できる仕様をお客様が自ら記述することなく提供し、さらに Policy Studio を利用することで、お客様のみが記述できるルールを用いてこれを拡張できます。このセッションは、フォームへの入力ではなく、弁護士と文書のドラフトを作成するように進めることができます。ルールを定義したポリシー所有者自身がそれを書き、そのルールがそのまま実稼働環境で適用されます。シスコは今後発表予定の取り組みにおいて、
このシステムの技術的な説明を公開することを目指しています。
Policy Studio のチャットおよびレビュー UI
Authors