Treasure AI Studio は、お客様の顧客データを読み取り、クエリを実行し、外部サービスを呼び出す AI エージェントを動かします。したがって、そのエージェントを囲む境界こそが本製品のセキュリティの本質です。このページでは、Treasure AI が運用している境界を説明します。エージェントのコードがどこで実行されるのか、データはどのように暗号化されるのか、プロンプトはどの地理的範囲で処理されるのか、なぜお客様の認証情報がエージェントに渡らないのか、そしてアカウント管理者がどのコントロールを握るのか。チームへ展開する前にお読みいただき、セキュリティレビュー担当者からのガバナンスに関する質問への回答にご利用ください。
すべてのチャットのエージェントは、サーバーサイドでチャットごとに独立したサンドボックス内で実行されます。エージェントはお使いのローカルコンピューターにアクセスできず、他のユーザーのチャットやファイルにもアクセスできず、実際の認証情報にもアクセスできません。認証情報はネットワーク境界でプラットフォームが差し替えます。すべての外向き通信はネットワーク監査ログに記録され、サンドボックスから出る通信はアカウント単位のネットワークポリシーでフィルタリングされます。ただしコネクタに 1 つ例外があります（外部サービスへの接続を参照）。
Treasure AI Studio でデータを保護するセキュリティ境界を理解します。プラットフォームアーキテクチャ、暗号化、LLM のデータ取り扱いとレジデンシー、サンドボックスと認証情報の分離、ユーザーごとのデータ分離、そして全体像を完成させる管理者コントロールとお客様の責任範囲を扱います。
- Treasure AI Studio にサインイン済み（はじめに）
- 設定 → 組織配下のコントロール（ネットワークポリシー、監査ログ、データ保持、クレジットポリシー、コネクタ設定）にアクセスするにはアカウント管理者ロールが必要です
Treasure AI Studio は、AWS 上でホストされるマルチテナントの AI エージェントプラットフォームです。このページの以降の内容は、次の 3 つのアーキテクチャ上の事実に基づいています。
- 論理分離されたマルチテナント。 各組織のデータは、他のすべてのテナントのデータから論理的に分離されています。
- エージェントはデータストアではなく API を通じてデータにアクセスします。 Studio は Treasure Data CDP やその他のサービスに API 経由でアクセスし、基盤となるデータウェアハウスやストレージへ直接接続することはありません。
- すべての実行はサーバーサイドです。 エージェントが実行するコマンド、クエリ、ファイル操作はすべて Treasure AI のインフラストラクチャ上で行われます。お使いのコンピューター、スマートフォン、ブラウザ上では何も実行されません。Desktop でも同様で、アプリは同じサーバーサイド実行をラップするシェルです。
Treasure AI Studio は、転送中および保存時のすべてのデータを暗号化します。
| 保護 | 詳細 |
|---|---|
| 転送中 | すべての接続で TLS 1.2 以上を使用します。 |
| 保存時 | AWS 管理の暗号鍵を使用します。 |
| コネクタの認証情報 | コネクションの OAuth アクセストークンとリフレッシュトークンは、保存前にアプリケーション層でさらに暗号化され、認可を行った個々のユーザーにスコープされます。 |
Treasure AI Studio は Amazon Bedrock 上で LLM 推論を実行します。データ保護レビューで重要となる 2 つの保証があります。
| 保護 | 詳細 |
|---|---|
| モデル学習に使用しない | Amazon Bedrock は、基盤モデルの学習や改善に顧客データを使用しません。お客様のプロンプト、クエリ、データが学習データになることはありません。 |
| モデルプロバイダー側でのゼロデータリテンション | Amazon Bedrock は、推論リクエストの完了後にプロンプトやレスポンスを保持しません。LLM プロバイダーがお客様のデータを保存することはありません。 |
プロンプトは、モデルベンダーの公開 API ではなく Treasure AI 自身の推論プロキシを経由して Bedrock に届きます（エージェントの API ベース URL がそのプロキシに向けて上書きされています）。また、エージェントランタイムの非必須通信（テレメトリやエラーレポートなど）は無効化されています。
ゼロデータリテンションが適用されるのは LLM プロバイダーであり、Studio 自体ではありません。会話とエージェントが生成したファイルは、後から参照できるよう保存され、組織のチャットデータ保持設定に従って管理されます。
Treasure AI Studio は、アカウントのリージョンによって決まる固定の地理的範囲内で LLM 推論を処理します。サインインするリージョンは、Studio のデータをホストする AWS リージョンと、プロンプトを処理しうる地理的範囲の両方を決定します。
| アカウントリージョン | 主要 AWS リージョン | 推論の地理的範囲 |
|---|---|---|
| US01（アメリカ合衆国） | us-east-1（バージニア北部） | 米国リージョン |
| AP01（日本） | ap-northeast-1（東京） | 日本リージョン |
| EU01（ヨーロッパ） | eu-central-1（フランクフルト） | ヨーロッパリージョン |
| AP02（韓国） | ap-northeast-2（ソウル） | アジアパシフィックリージョン |
Treasure AI Studio はトラフィックの急増を吸収するために Amazon Bedrock のクロスリージョン推論を使用します。つまり、リクエストが発生元とは異なる AWS リージョンで処理される場合があります。どのリージョンも regional 推論プロファイルを使用し、その宛先リージョンのリストは固定です。したがってプロンプトとモデルのレスポンスが上記の表の地理的範囲を出ることはありません。リージョン間の通信は AWS のプライベートネットワークを経由し、転送中に暗号化されます。
各チャットのエージェントは、Treasure AI のインフラストラクチャ上で専用のサンドボックス内で実行されます。サンドボックスはハードウェアレベルで分離された仮想マシンであり、共有コンテナではありません。チャットセッションとともに作成され、破棄されます。
| 境界 | 意味 |
|---|---|
| お使いのデバイスにアクセスできない | エージェントはお使いのコンピューターやスマートフォン上のファイルを読み書きできません。アップロードとダウンロードは、デバイスと管理されたサンドボックスの間で明示的に行われます。ファイルのアップロードとダウンロードを参照してください。 |
| チャットごとに 1 つのサンドボックス | セッション間でサンドボックスを共有しないため、あるチャットのプロセスや作業中のファイルが別のチャットから見えることはありません。作業フォルダは、サンドボックスの内部で保持される状態ではなく、各サンドボックスに接続された共有ストレージです。そのため、すべてのチャットが同じ作業フォルダのファイルを読み書きします。それも、チャット自身のフォルダに限らず、すべての作業フォルダです（作業フォルダをまたいで作業する）。チャット終了後に残るものも参照してください。 |
| チャットごとにクリーンな環境 | どのチャットも同じベースイメージから始まります。エージェントがインストールしたパッケージと、作業フォルダの外に書き込んだ作業用のファイルは、そのチャットだけのものであり、次のチャットには引き継がれません。チャット終了後に残るものを参照してください。 |
| 非特権での実行 | エージェントのプロセスは、システムコールが制限された環境で非特権ユーザーとして実行されます。不正な動作をするコマンドがサンドボックス内で権限昇格することはできません。 |
| すべての外向き通信はフィルタリングされ記録される | 外向き通信はプラットフォームのネットワーク境界のみを通過し、そこでネットワーク監査ログが記録し、ネットワークポリシーが許可またはブロックします。ただしサンドボックスの外でリクエストを実行するコネクタは、記録はされますがポリシーによるフィルタリングの対象外です（外部サービスへの接続を参照）。 |
サンドボックスが予期せず終了した場合、Studio は「サンドボックス環境が予期せずクラッシュし、再起動しています。しばらく待ってから再試行してください。」と表示します。
Treasure AI Studio では、エージェントがユーザーのために作成したファイルは 2 つの場所のどちらかに置かれ、会話より長く残るのはそのうち一方だけです。
| 書き込み先 | 残る期間 |
|---|---|
| 作業フォルダの中 | 永続します。レポート、データセット、画像、作業フォルダの CLAUDE.md、.claude/skills/ 配下のスキルは、チャットではなく作業フォルダに属します。そのため、そのフォルダに保存されたチャットに限らず、どのチャットからも見え、チャットが消えた後も残ります。チャットデータ保持を参照してください。 |
| それ以外の場所 | 書き込んだそのチャット限りです。エージェントの作業ファイル、一時ディレクトリ、インストールしたパッケージは、そのチャットだけのもので、他のどのチャットからも読み取れず、チャットより長く残ることはありません。遅くともチャットの削除時または保持期間の経過時には破棄されます。 |
ここから導かれる帰結が 2 つあります。
エージェントが取得したデータがチャットより長く残ることはありません。 作業フォルダの外に残された API レスポンス、エクスポートしたデータセット、顧客レコードの一時的なコピーは、ファイルブラウザーに表示されないディレクトリに残り続けることはなく、チャットとともに消えます。作業の成果として残るのは、自分で見て自分で削除できるものだけです。
どのチャットも同じ既知の状態から始まります。 従来は、以前の会話がインストールしたものや変更した設定をそのまま引き継いでいました。この状態は Studio のどの画面にも表示されなかったため、2 つのチャットが同じ質問に違う答えを返しても、何が違うのかを確認する手段がありませんでした。環境を意図的に整えること自体は今も可能です。ただしその手段は、目に見えて編集できるものに一本化されました。エージェントは各チャットで、作業フォルダ内のファイル、CLAUDE.md、組織全体のカスタムインストラクションに書かれた指示に従って、そのつど環境を整え直します。
実務上のルールは表からそのまま導けます。残したいものは作業フォルダに置いてください。 エージェントに作業フォルダ内へ書き込むよう指示するか、作業フォルダページから移動するか、チャットが期限切れになる前にダウンロードします。以前エージェントのホームディレクトリに蓄積されていたファイルは、この挙動の適用時に各作業フォルダへ移動されています。MIGRATED_HOME フォルダを参照してください。
Treasure AI Studio は、実際の認証情報をエージェントのサンドボックス内に置くことがありません。サンドボックスが保持するのはプレースホルダートークンです。エージェントが接続済みサービスへリクエストを送信すると、プラットフォームはサンドボックスの外側にあるネットワーク境界で実際のアクセストークンに差し替えます。
これは Treasure Data CDP 自体にも当てはまります。エージェントが tdx コマンドを実行すると、tdx はサンドボックス内の読み取り専用ファイルからプレースホルダートークンを読み取って送信します。プラットフォームはリクエストが外部へ出る際に実際の Treasure AI アクセストークンへ差し替え、必要に応じて更新します。同じ差し替えはすべてのコネクタに適用され、Databricks、Snowflake、GitHub も含まれます。
その帰結は明快です。エージェントは、最初から持っていない認証情報を漏洩させることはできません。 どんなプロンプトも、生成されたスクリプトも、カスタムスキルも、サンドボックスからアクセストークンを読み出すことはできません。そこに存在しないからです。ネットワーク監査ログでは、差し替えが行われたリクエストは rewrite アクションとして表示されます。
Treasure AI Studio のチャットとファイルは、ユーザーごとに分離されています。アカウント管理者は組織全体のポリシーコントロールを持ちますが、そのロールが他のユーザーのチャットやファイルへのアクセスを付与することはありません。他ユーザーの会話を閲覧する管理者向けの画面は存在しません。ファイルはユーザーごとにスコープされ、ユーザーの領域内ではさらにチャットごと、作業フォルダごとにスコープされます。チャットが作業フォルダにどのようにアクセスするかは作業フォルダを参照してください。
Treasure AI Studio のエージェントはコネクションを通じて外部サービスにアクセスします。管理者が組織向けにコネクタを有効化し、各ユーザーが OAuth 2.0 で自分のコネクションを認可します。ユーザーは 設定 → コネクション からいつでもコネクションを取り消せますし、管理者はコネクタを全ユーザーに対して無効化または削除できます。ワークフロー全体、利用可能なコネクタ、認証情報の差し替えの挙動はコネクションに記載しています。
ここで押さえておきたいセキュリティ上の性質が 2 つあります。エージェントがサービスの生のパスワードを扱うことはありません。そして、コネクタのリクエストがエージェントのサンドボックスから出る場合（Databricks・Snowflake・GitHub・Treasure Data CDP）、その通信はネットワークポリシーの対象であり、ポリシーがブロックしているホストにエージェントが到達することはできません。
1 つだけ動作が異なるコネクタがあり、統制を設計するうえでこの例外は重要です。Treasure AI Voice のリクエストは、サンドボックスの外にある Treasure AI のコネクタサービスが実行します。他の外向き通信と同様にネットワーク監査ログには記録されますが、ネットワークポリシーは適用されないため、そのホストに Block ルールを置いても止まりません。このコネクタはポリシーではなくコネクタ自体で制御してください（コネクタ設定で無効化または削除する）。
Treasure AI Studio は、アカウント管理者に組織全体を対象とする 5 つのコントロールを提供します。それぞれ 設定 → 組織 配下の専用ページにあります。
| コントロール | 統制する対象 |
|---|---|
| ネットワークポリシー | エージェントが到達できる外部ドメイン。順序付きの許可／ブロックルールと、一致しない場合のデフォルトアクション。 |
| ネットワーク監査ログ | エージェントの外向き接続の記録。ドメイン、ユーザー、チャット、結果ごとに参照できます。 |
| チャットデータ保持 | チャット履歴が自動削除されるまでの保持期間（14日、28日、60日）。 |
| クレジットポリシー | ユーザーごとの 1 日あたりのクレジット上限と、リセットの基準となるタイムゾーン。 |
| プラグインマーケットプレイスのポリシー | ユーザーが自分でスキルマーケットプレイスを登録できるか、管理者のみに限定するか。 |
データそのものへのアクセスはこれらのコントロールには含まれません。接続先のシステムがそれぞれ自前の権限で制御し、Studio はお客様の認可をそのまま引き渡すだけで独自の層を重ねません。したがってエージェントに見えるのは、そのシステムでお客様に見えているものと全く同じ範囲です。Treasure Data CDP であれば Policy-Based Permissions と IP Allowlist、それ以外のコネクタであれば各ユーザーが認可したアカウントに対してそのベンダーの権限モデルが許可している範囲が適用されます。アクセス制御を参照してください。
Treasure AI Studio は、クエリ、セグメントルール、ジャーニー定義、設定、推奨事項を生成します。これらはすべて下書きとして扱ってください。
- 不正確または不完全な場合があります。 生成された SQL、セグメントルール、設定は、本番環境に反映される前に確認してください。
- 専用のツールで検証してください。 クエリのパフォーマンスは
sql-skills:trino-optimizerスキルで、セグメント定義はtdx sg validateで、ジャーニーはtdx journey validateで検証するようエージェントに指示できます。 - 実行前に確認させるよう促してください。 確認のステップは Studio が強制するダイアログではなく、お客様が依頼して作るものです。「プッシュする前に変更内容を見せて」のようにメッセージで明示するか、同じルールをカスタムインストラクションや作業フォルダのインストラクションに入れておくと、毎回書かなくてもすべての会話に適用されます。失敗のコストが大きい変更については、エージェントが確認してくれることを前提にせず、アカウントの権限でも裏付けてください。
[応答を停止] はそのターンの残りの処理を終了させます。エージェントが意図しない方向に進み始めたときに有効です。ただし取り消し（undo）ではなく、即座に停止するものでもありません。チャットに既に表示されているツール呼び出しは実行済みで、実行中の処理は完了する場合があります。後続の処理を止めるために使い、そもそも起きてはいけないことについては権限を境界としてください。
- ネットワークポリシーは展開前に設定します。 デフォルトの「ブロック＋必要最小限の許可」ルールセットから始め、スキルとコネクタが必要とするホストのみを追加し、各ルールのコメントに理由を記録します。ネットワークポリシーを参照してください。
- ルールは手順書ではなくインストラクションに書きます。 組織全体のカスタムインストラクションと作業フォルダのインストラクション（「プッシュ前に必ず検証する」「本番セグメントを直接変更しない」など）は、すべての会話に自動的に適用されます。社内 wiki にしか書かれていないルールは、各人が覚えているかどうかに依存します。ただしインストラクションはエージェントを誘導するもので、停止させるものではありません。慣習はインストラクションに、必ず守らせたい境界はネットワークポリシーとアカウントの権限に振り分けてください。
- 未検証のスキルが懸念ならマーケットプレイスを制限します。 プラグインポリシーを管理者のみに設定すると、管理者がレビューするまでサードパーティのスキルが環境に入りません。プラグインマーケットプレイスを参照してください。
- 監査ログは定期的に確認します。 ネットワーク監査ログを期間とドメインでフィルタリングして定期的に確認してください。コンプライアンスの確認頻度を決める際は、保持期間が約 4 週間であることを考慮してください。
- 保持期間をデータポリシーに合わせます。 チャット保持期間は意識して選択してください。組織内の全ユーザーに同時に適用されます。
- ツール呼び出しを読み、その性質を理解します。 エージェントが実行したコマンドはすべてチャットストリームに表示され、ツール呼び出しを展開すると正確なコマンドとその結果を確認できます。これは承認を求めるものではなく実行済みの内容の記録です。意図しない方向に進んでいないかをストリームで早めに捉え、[応答を停止] でターンの残りを打ち切ってください。既に起きたことが取り消されるわけではない点は意識しておいてください。
- 確認のステップが欲しいときは依頼します。 そう伝えればエージェントは一度止まって確認します（「変更内容を説明して、私の OK を待ってからプッシュして」など）。毎回適用したいルールは、メッセージで繰り返すのではなく作業フォルダのインストラクションに入れてください。
- 重要な場面では検証を依頼します。
validate-segmentとvalidate-journeyは設定の誤りがアカウントに反映される前に検出しますが、対象はセグメントとジャーニーのみで、実行するのは何かがそう指示したときだけです。メッセージまたは作業フォルダのインストラクションにある「プッシュ前に検証して」がトリガーになります。 - 失敗のコストが低い場所でリスクのある作業を行います。 元に戻すのが大変な変更は、まず開発用アカウントやコピーに対して実行してください。Studio に取り消し機能はありません。
- 使うコネクションだけを残します。 実際に必要なサービスのみを認可し、それ以外は 設定 → コネクション から削除してください。
- シークレットをチャットに貼り付けないでください。 認証情報はコネクタの OAuth フローで扱われ、会話にもサンドボックスにも残りません。
Treasure AI は、このページに記載したプラットフォームの境界を運用します。お客様には以下の責任があります。
- AI が生成した出力をデプロイ前に確認・検証すること
- シークレット、パスワード、アクセストークンをチャットメッセージに含めないこと
- 上記の管理者コントロールを組織のポリシーに合わせて設定すること
- セキュリティに関する懸念事項を security@treasure-data.com に報告すること
Treasure AI Studio のペネトレーションテスト、脆弱性スキャン、その他のセキュリティ評価を実施するには、Treasure AI の事前の書面による同意が必要です。
いいえ。Treasure AI Studio は Amazon Bedrock 上で推論を実行します。Amazon Bedrock は基盤モデルの学習や改善に顧客データを使用せず、リクエスト完了後にプロンプトやレスポンスを保持しません。チャット履歴は Studio が別途保持し、組織のチャットデータ保持設定に従います。
いいえ。Treasure AI Studio のエージェントはすべて、サーバーサイドの独立したサンドボックス内で実行され、お使いのデバイスのファイルシステムにアクセスできません。これは Web と Mobile だけでなく Desktop でも同じです。ファイルは明示的なアップロードとダウンロードによってのみデバイスとサンドボックスの間を移動します。
いいえ。Treasure AI Studio のチャットとファイルはユーザーごとに分離されています。アカウント管理者ロールは組織全体のポリシーコントロール（ネットワークポリシー、監査ログ、保持期間、クレジット上限）を付与しますが、他のユーザーの会話やファイルへのアクセスは付与しません。
アカウントのリージョンに紐づく地理的範囲の内側です。US01 は米国リージョン、AP01 は日本リージョン、EU01 はヨーロッパリージョン、AP02 はアジアパシフィックリージョンです。いずれも regional な Amazon Bedrock 推論プロファイルを使用し、その宛先リージョンは固定であるため、プロンプトが記載の地理的範囲を出ることはありません。
いいえ。エージェントのサンドボックスが保持するのはプレースホルダートークンのみです。Treasure AI Studio はサンドボックスの外側のネットワーク境界で実際のアクセストークンに差し替えるため、どんなプロンプトや生成スクリプトもお客様の認証情報を読み出せません。
依頼してください。Treasure AI Studio のエージェントは、止まるよう伝えられていなければリクエストを遂行するために自ら動きます。そのため確認のポイントは明示的に作ります。「変更内容を説明して、私の OK を待ってからプッシュして」のようにメッセージで伝えるか、同じルールをカスタムインストラクションや作業フォルダのインストラクションに入れておけば、すべての会話に適用されます。インストラクションはエージェントを確実に誘導しますが強制的なゲートではないため、決して起きてはいけない変更についてはアカウントの権限を境界としてください。
ネットワークポリシーでそのドメインに対するブロックルールを追加し、先に一致してしまう広範な許可ルールより上に配置してください。制御はサーバーサイドで行われるため、エージェントが上書きすることはできません。
- （管理者）設定 → 組織のネットワークポリシーページに想定どおりのルールセットが表示される
- （管理者）ネットワーク監査ログに直近のエージェントアクティビティのレコードが返る
- （管理者）データ保持期間が組織のデータポリシーと一致している
- 設定 → プロフィールの環境の値（例：
production-us01）が、コンプライアンス要件で想定している推論の地理的範囲を持つリージョンと一致している
| 問題 | 解決策 |
|---|---|
| 「サンドボックス環境が予期せずクラッシュし、再起動しています」 | しばらく待ってからメッセージを再送してください。繰り返す場合は新しいチャットを開始してください。操作がサンドボックスのリソース制限を超えている可能性があります。 |
| エージェントの操作が外部サービスに到達できない | ネットワークポリシーがそのホストをブロックしている可能性が高いです。ネットワーク監査ログで確認し、ネットワークポリシーで許可してください。 |
| 設定に組織セクションが表示されない | これらのコントロールにはアカウント管理者ロールが必要です。組織の管理者にロールを確認してください。 |
| クエリが権限エラーで失敗する | Studio はお客様自身の認証情報をそのまま使用するため、エージェントにはお客様と全く同じ権限が見えています。アクセス制御を参照してください。 |
- ネットワークポリシー — エージェントが到達できる外部ドメインを制御する
- ネットワーク監査ログ — エージェントの外向き接続を確認する
- アクセス制御 — 権限、IP Allowlist、ユーザーごとの Studio アクセス
- チャットデータ保持 — 保持期間とデータのライフサイクル
- SSO ログイン — 認証、リージョン、セッションの扱い
- コネクション — コネクタ、OAuth 認可、認証情報の差し替え