Trust Agentic Enterprise - パターン

Well-Architected Trust → Agentic Enterprise Trust の詳細

パターン

参照すべき場所外観
Agentforce | エージェント設定✅ ケース/製品に対する「参照」、Knowledge記事へのアクセス、ケースの更新のみの特定のアクションを許可する権限セットを使用して、インテグレーション ユーザー「Agent_Product_Support」を作成します。
Agentforce | エージェント設定✅ エージェントが定義した範囲に必要な最小限の権限で実行ユーザーを設定する
プラットフォーム | 権限セット✅ エージェントコンテキスト専用のインテグレーションユーザーを作成し、エージェントが必要とする機能のみを提供する権限セットを付与
プラットフォーム | イベント監視✅ リリース後、イベント監視を使用して、実行時に行使されなかった付与された権限を特定し、削除します。設定変更 (付与と取り消し) は、実際に使用された権限ではなく記録されます。

アンチパターン

参照すべき場所どんな悪い感じか
Agentforce | エージェント設定⚠️ 「正常に機能」し、テスト中の権限エラーを回避するために、実行ユーザーとしてシステム管理者を割り当てる
プラットフォーム | 組織⚠️ エージェントがリリース後のレビューなしで開発中に付与された広範な権限セットを保持できるようにする

パターン

参照すべき場所外観
Agentforce | エージェントビルダー✅ エージェントビルダーでのサブエージェントとアクション設定を、ルーティングだけでなく権限の境界として扱います。アクションがサブエージェントに割り当てられていない場合、エージェントはそのアクションを呼び出すことができません。
Agentforce | エージェントビルダー✅ エージェントが必要としない機能を公開しているサブエージェントを削除し (商品の質問に回答するエージェントの範囲にレコードの変更、メールの送信、フローの呼び出しが含まれないようにします)、責任が変更されたときにサブエージェントの範囲を確認します。
プラットフォーム | Apex✅ エージェントのアクション セット内のすべてのApexアクションが共有または継承共有で使用されることを確認します。ただし、システム コンテキストが慎重に文書化され、実行ユーザーがセキュリティ境界を超えないようにします。
Agentforce | アクション✅ エージェントが処理する前にスキーマに対してツール出力を検証し、すべてのツール応答を信頼できない入力として処理する
Agentforce | アクション✅ 信頼できないデータに基づいてエージェントが判断するのではなく、ツールパラメーターを許可された値の範囲に制限する (メール送信アクションで受信者ドメインを検証するなど)
Agentforce | アクション✅ エージェント設定だけでなく、ツール実装レイヤーでツールレベルの権限チェックを適用し、実行前に機能がコールコンテキストを検証する
Agentforce | アクション✅ エージェントアクションからのすべての外部コールアウトに指定ログイン情報を使用する

アンチパターン

参照すべき場所どんな悪い感じか
Agentforce | エージェントビルダー⚠️ 商品の質問への回答のみを目的として設計されたエージェントで、レコードの変更、メールの送信、フローの呼び出しを公開するサブエージェントの退出
Agentforce | エージェントビルダー⚠️ エージェントが使用するように設計されていない機能であっても、プロンプト操作によってリストされているすべてのものにアクセスできることを認識せずに、エージェント設定をルーティングのみとして扱う
プラットフォーム | Apex⚠️ 意図的に設計せずに実行ユーザーの項目レベルセキュリティおよび共有ルールをバイパスする、システムモードで実行される (共有なし) カスタム Apex アクションの追加
Agentforce | アクション⚠️ スキーマ検証なしでツールの応答を信頼済み入力として処理し、不正な形式または挿入されたデータをエージェントの推論に到達させる

パターン

参照すべき場所外観
Agentforce | エージェント設定✅ ドキュメント権限チェーン: Order Orchestrator (注文の参照、注文状況の書き込み) → Inventory Specialist (在庫の参照・更新) → Shipping Specialist (配送の作成)。ユーザーコンテキストですべてのダウンストリーム操作が許可されていることを確認する
Agentforce | エージェント設定✅ リリース前にオーケストレーションチェーン全体の有効な権限をマッピングする
Agentforce | エージェント設定✅ 個々のエージェントだけでなく、ワークフロー全体で権限の境界を設計

アンチパターン

参照すべき場所どんな悪い感じか
Agentforce | エージェント設定⚠️ 制限された権限を持つオーケストレーターがオーケストレーターの制限を無視して [すべてのデータを編集] でスペシャリストを呼び出すことを許可
Agentforce | エージェント設定⚠️ オーケストレーションチェーン全体の有効な権限を対応付けることなく個々のエージェント権限を評価する

パターン

参照すべき場所外観
Agentforce | プロンプトテンプレート✅ 命令をデータから分離する (アーキテクチャ上): システムレベルの命令を、レコードソースのコンテンツ、ユーザーが指定したテキスト、または文字列連結によるツール応答と混在させてはならない
Agentforce | アクション✅ [ケースの説明]、[メール本文]、[チャットトランスクリプト] を高リスク項目として識別します。エージェントの推論に渡す前にコンテンツを要約する前処理レイヤーを実装し、意味を保持しながら潜在的なインジェクション命令を排除
Agentforce | エージェント設定✅ すべてのエージェント境界で入力規則契約を定義し、すべての外部コンテンツソースを信頼できないものとして処理する
Data 360 | グラウンディングソース✅ Knowledge記事、Data 360のインデックス付きドキュメント、外部取得ソースは、継続的なレビューが必要な永続的なインジェクション対象領域として処理します。
Einstein | Trustレイヤー✅ Einstein Trust Layerのセキュリティ コントロールを完全なソリューションではなく、多層防御の1つのレイヤーとして扱う

アンチパターン

参照すべき場所どんな悪い感じか
Agentforce | プロンプトテンプレート⚠️ モデルでケースコンテンツと攻撃手順が区別されることを前提として、未加工の [ケースの説明] をシステム指示と共にエージェントプロンプトに連結する
Data 360 | グラウンディングソース⚠️ Trustグラウンディング ソース。エージェントに直接アクセスできない関係者が敵対的なコンテンツを保持し、長期にわたって変更できることを考慮しない
Einstein | Trustレイヤー⚠️ Trust Layerセキュリティ コントロールのみに依存し、新しいインジェクション手法に対するアーキテクチャ上の防御策を追加しない

パターン

参照すべき場所外観
Einstein | Trustレイヤー✅ ケース情報を取得するエージェントは、すべてのケース項目ではなく、推論に必要な項目 (ケース番号、商品、状況、優先度) のみを照会します。PII マスキングにより、予期しない PII が表示された場合の保護を強化
Einstein | Trustレイヤー✅ Trust Layerを適切に設定し、Trust Layer処理でデータ フローを文書化する
Einstein | Trustレイヤー✅ 規制コンテキストで LLM 推測に入ることができるデータ分類を判別する
プラットフォーム | イベント監視✅ Trust Layer監査イベントをイベント モニタリング データと共にSIEMにルーティング
プラットフォーム | イベント監視✅Trust Layerログと共に、エージェントが判断した内容、実行したアクション、およびビジネス上の成果を取得するアプリケーション レベルのログを実装
ビジネス | ドキュメント✅ Trust Layer監査保持が規制要件を満たしているかどうかを検証

アンチパターン

参照すべき場所どんな悪い感じか
Einstein | Trustレイヤー⚠️ 機密メモや支払情報を含むすべてのケース項目を照会し、PII マスキングを使用して問題のあるすべての項目を削除する
Einstein | Trustレイヤー⚠️ PII マスキングですべてを処理すると仮定して、LLM 推測に完全なレコードコンテキストを送信するようにエージェントを設計する
Einstein | Trustレイヤー⚠️ Trust Layer PIIマスキングを、多層防御としてではなく、データ最小化の代替として処理

パターン

参照すべき場所外観
Agentforce | エージェント設定✅ Order Fulfillment Specialist (注文履行スペシャリスト) は、オーケストレーターが提供した注文データに必須項目 (注文 ID、顧客 ID、商品 SKU) が含まれ、値が期待範囲内 (数量 > 0、価格 > 0) であり、注文状況で履行が許可されていることを確認してから実行
Agentforce | エージェント設定✅ 構造化された範囲設定済みの検証済みデータを使用して、エージェント間通信用の明示的な型付きインターフェース契約を定義する
Agentforce | エージェント設定✅ 通話者 ID に関係なく、アクションを実行する前に受信したコンテキストを検証するようにマルチエージェントワークフローの各エージェントを設計する
Agentforce | エージェント設定✅ エージェント間のメッセージコンテンツを外部ユーザーの入力と同じ精査で扱う
インテグレーション | 外部サービス✅ 外部AIサービスを呼び出すエージェントまたはSalesforce外部のサード パーティ エージェントの場合、zero-Trustの原則を適用し、応答が予期される構造と範囲内にあることを確認します。

アンチパターン

参照すべき場所どんな悪い感じか
Agentforce | エージェント設定⚠️ スペシャリストは、要求構造、値、認証コンテキストを検証することなく、オーケストレーターによって要求されたアクションを直接実行する
Agentforce | エージェント設定⚠️ オーケストレーターは、スペシャリストが権威あるディレクティブとして扱う未加工の指示文字列を渡す
Agentforce | エージェント設定⚠️ 完全な実行コンテキスト、ユーザーセッションデータ、または蓄積された推論追跡を各下流エージェントに渡す
インテグレーション | 外部サービス⚠️ 却下やエスカレーションなしで現在の ToDo 範囲外のアクションを実行するようにオーケストレーターに指示する外部エージェントの応答に対するアクション

パターン

参照すべき場所外観
プラットフォーム | フロー✅ $1,000 を超える返金を実行する前に、エージェントの信頼性に関係なく、フローチェックポイントで人の承認を要求するように設定された返金エージェント。エージェントの推論外で実装されたチェックポイント
プラットフォーム | フロー✅ エージェントの指示ではなくアーキテクチャ上の制御として設計された、エージェントの推論ループの外側のワークフローゲートとしてHITLチェックポイントを実装する
ビジネス | ドキュメント✅ 人間による確認が必要なアクションのカテゴリを定義する (元に戻せないアクション、財務しきい値を超えるアクション、外部とのコミュニケーションを行うアクション、規制データに関連するアクション、エラーが確認されたアクション)
Agentforce | エージェント設定✅ 提案されたアクション、提案に到達するために使用されるデータエージェント、および可能な場合は推論パスを表示する設計レビューインターフェース
プラットフォーム | 監査✅ エージェントアクションレコードを使用した店舗レビューの決定: 誰が、いつ、どのような情報を表示し、何を決定したか

アンチパターン

参照すべき場所どんな悪い感じか
Agentforce | エージェント設定⚠️ [Ask for approval before issued refunds over $1,000 ($1,000 を超える返金を発行する前に承認を求める)] という指示をプロンプトインジェクションで上書きできないことを前提としてエージェントを設定する
Agentforce | エージェント設定⚠️ 推論パス外のワークフローチェックポイントとしてではなく、解釈可能で無視される可能性のあるエージェントの指示として HITL を実装する
ビジネス | プロセス⚠️ 提案されたアクション、使用されたデータ、または推論パスに関するコンテキストが欠落した承認申請を人間のレビュー担当者に提示する — 真の監視なし

パターン

参照すべき場所外観
プラットフォーム | イベント監視✅ Event MonitoringとTrust LayerイベントをSIEMにルーティングして一元的なセキュリティ監視を実現
プラットフォーム | トランザクションセキュリティ✅ ブロック機能や通知機能を含むリアルタイム評価を使用してトランザクションセキュリティポリシーを設定する
Agentforce | エージェント設定✅ 理由の概要、ツールの呼び出し、検証の失敗を取得するカスタムアプリケーションログの実装
プラットフォーム | イベント監視✅ エージェント固有の疑わしいパターンを検出するアラートルールを設計する: 予期される期間外の一括データアクセス、目的と一致しないアクションの呼び出し、繰り返される検証の失敗、異常なオーケストレーションパターン
Agentforce | エージェント設定✅ 典型的なアクション呼び出しパターン、データアクセス量、推測コールレート、エラーレート、エージェントあたりの実行時間を追跡して、行動のベースラインを確立する
プラットフォーム | イベント監視✅ エージェント固有のセキュリティイベント (権限境界違反、繰り返しの検証失敗、オーケストレーション異常、信頼性しきい値違反、代替有効化パターン) を定義する

アンチパターン

参照すべき場所どんな悪い感じか
プラットフォーム | イベント監視⚠️ エージェント固有の行動ベースラインを設定せずにエージェントに人間活動モニタリングパターンを適用する
プラットフォーム | イベント監視⚠️ 新しい攻撃を検出できる行動監視のない署名ベースの検出のみに頼る
プラットフォーム | イベント監視⚠️ エラー率の上昇、繰り返しの検証の失敗、異常なオーケストレーションパターンを通常のエージェントの行動として無視する

パターン

参照すべき場所外観
プラットフォーム | 監査✅ 重要なエージェントアクションごとに、エージェント ID と実行ユーザーのコンテキスト、トリガーイベント、グラウンディング用に取得されたデータ、推論の概要、特定のアクションと結果、信頼性レベル、人によるレビュー判断 (該当する場合) を取得します。
プラットフォーム | 監査✅ プラットフォーム ログ(Event Monitoring、Trust Layerイベント)に含まれないビジネス コンテキストのアプリケーション レベルの監査ログを実装
プラットフォーム | 監査✅ Event MonitoringとTrust Layerイベントをネイティブの保存期間を超えて長期ストレージにルーティング
Agentforce | エージェント設定✅ オーケストレーションチェーンを介した属性のマルチエージェント実行追跡の各ステップでエージェント ID を記録する
Agentforce | エージェント設定✅ 影響の大きい意思決定を行うエージェントのおすすめに影響する主要な要因を特定して、推論の概要を把握して明らかにする
ビジネス | ドキュメント✅ ユーザーが自分に影響する決定の説明を要求できるようにエージェントワークフローを設計する

アンチパターン

参照すべき場所どんな悪い感じか
プラットフォーム | 監査⚠️ エージェントがレコードの副作用から行った操作を再構築する — 監査履歴が必要になるまでに、レコードが変更される可能性があります
プラットフォーム | 監査⚠️ 特定のエージェントがチェーンのどのアクションを実行したかを特定せずにマルチエージェントワークフローを記録する
ビジネス | プロセス⚠️ 理由の概要を取得したり、影響を受けるユーザーに説明メカニズムを提供したりすることなく、影響の大きい意思決定を行うエージェントをリリースする

パターン

参照すべき場所外観
Agentforce | エージェントの手順✅ 新しい制約が決定の途中で現れた場合 (期限、予算、スタッフ割り当て、ライセンス)、新しい入力が単独で以前の決定を覆すのではなく、すべての元の要素で完全なトレードオフを再実行します。
Agentforce | エージェントの手順✅ 目的の変化を明示的に示す — 最適化対象が「アーキテクチャ的に健全でメンテナンス可能」から「制約の下で提供可能」に移行したときに表面化 — 現在の最適化対象をユーザーが確認できるようにする
ビジネス | プロセス✅ アーキテクチャとデリバリの競合を人間が所有するトレードオフとして捉える: 支払ったもの (総所有コスト、メンテナンス性、ロックイン) に対する利益 (速度) を提示し、意思決定を責任ある所有者に転送します。
Agentforce | エージェントの手順✅ アーキテクチャの適合性 (設計が要件を満たしているかどうか) とデリバリの実現可能性 (このチームが時間内に出荷できるかどうか) を、1 つの回答にまとめるのではなく、個別の目に見える要素として保持する
プラットフォーム | ドキュメント✅ 文書化した決定を取り消す場合は、元の根拠に照らして再検討し、再検討トリガーを使用して取り消しを透明性のある期限付きのトレードオフとして記録します。更新された決定レコードでは、トレードオフが単に置き換えられるのではなく、再度加重されたことが示されます。

アンチパターン

参照すべき場所どんな悪い感じか
Agentforce | エージェントの手順⚠️ 1 つの新しい制約 (チームが対応できない、期限が厳しい) で技術的な決定を覆す一方で、元の選択の要因となったコストとメンテナンス性を黙って落とす
Agentforce | エージェントの手順⚠️ 目的が変更されたことを示すフラグを付けずに、最適化目標を「アーキテクチャ的に健全でメンテナンス可能」から「制約の下で提供可能」に移行する
ビジネス | プロセス⚠️ 新しい制約の下で、健全なデザインからより安価または便利なオプションに転換し、元の選択を促進した長期的な総所有コスト、メンテナンス性、ロックインを再浮上させない
ビジネス | プロセス⚠️ エージェントの推論内のアーキテクチャとデリバリの競合を、人間が所有する意識的なトレードオフとしてエスカレーションするのではなく解決する
プラットフォーム | ドキュメント⚠️ 取り消しを記録し、元の根拠と再比較しない新しい決定レコードを作成する — 書面では再訪問トリガーを尊重するが、実際には再訪問トリガーを尊重しない

パターン

参照すべき場所外観
ビジネス | ドキュメント✅ ソリューションが稼働する管轄区域での規制の動向を追跡し、エージェントシステムのコンプライアンスを最初から設計する
ビジネス | ドキュメント✅ 適用可能なフレームワーク (EU AI 法、米国 AI 権利章典、地域フレームワーク) ごとの AI システムリスクレベルの評価
Agentforce | エージェント設定✅ 透明性と説明可能性メカニズムの導入とリスクレベルに応じた人的監視の設計
ビジネス | ドキュメント✅ 特定のアーキテクチャ管理を通じて各業界固有の要件 (HIPAA、DORA、SOX、GDPR、CCPA) がどのように満たされているかを文書化する
ビジネス | ドキュメント✅ 本番リリース前のコンプライアンスの検証

アンチパターン

参照すべき場所どんな悪い感じか
ビジネス | プロセス⚠️ 最初から組み込むのではなく、リリース後に透明性、説明可能性、人の監視を強化
ビジネス | プロセス⚠️ PHI、財務データ、個人データを処理するエージェントが HIPAA、DORA/SOX、または GDPR/CCPA の要件を満たしていることを検証せずにエージェントをリリースする
ビジネス | プロセス⚠️ 新しい AI 固有の規制 (EU AI 法のリスク分類、透明性の要件) を無視し、従来の Salesforce の自動化も除外されない場合はエージェントのみとして処理する

パターン

参照すべき場所外観
プラットフォーム | AgentExchange✅ エージェントが使用できるサードパーティアクションを有効にする前に、アクションがコードおよびデータフローレベルで実行する内容、コールする外部サービス、送信するデータを確認します。
プラットフォーム | AgentExchange✅ 管理パッケージの更新が適用されたときにサードパーティアクション設定を再確認する
Agentforce | プロンプトテンプレート✅ 使用前にチーム外ソースのプロンプトテンプレートを確認し、組織のデータへのアクセス権を持つ特権推論プロセス内で実行されるコードとして処理する
Agentforce | プロンプトテンプレート✅ 本番エージェントで使用するテンプレートのレビューおよび承認プロセスを確立し、テンプレートの実績を管理する
Agentforce | エージェント設定✅ 代表的な質問、エッジ ケース、既知のインジェクション試行でカスタマーサービスエージェントのテスト スイートを管理します。モデルの更新通知後に Sandbox でスイートを実行し、本番に昇格する前に応答品質と安全性を比較する
Agentforce | エージェント設定✅ モデルバージョンの変更をリリースイベントとして扱い、代表的な入力、エッジケース、既知の敵対パターンをカバーするエージェントの行動テストスイートを管理する

アンチパターン

参照すべき場所どんな悪い感じか
プラットフォーム | AgentExchange⚠️ コード、データフロー、外部サービスコールを確認せずにエージェントが使用できるサードパーティ AgentExchange アクションの有効化
Agentforce | プロンプトテンプレート⚠️ エージェントの安全動作を変更したり、推論バイアスをもたらしたりする可能性のある埋め込み手順を確認せずに、外部ソースやコミュニティの例からプロンプトテンプレートを使用する
Agentforce | エージェント設定⚠️ 検証なしで本番エージェントに自動モデル更新を許可し、ユーザーの苦情から行動の変化を発見