インジェクション攻撃に対するQ-Layer：応答条件の境界設定
このページは、境界を設定するレイヤーとしてのQ-Layerの役割を明確にする。すなわち、インジェクション攻撃（直接および間接）に直面したときに、回答がいつ、どのような条件で、どの水準の証拠をもって許可されるかを定めることである。
インジェクション攻撃は、構造的な弱点を突く。システムが、異種の断片を同じ権威の階層に属しているかのように扱うという弱点である。その結果は、単に誤った回答ではなく、正当でない権威の序列のもとで生成された回答である。
このエコシステムにおいて、Q-Layerは「コンテンツフィルター」ではない。応答条件の安定化を目指すガバナンスレイヤーである。何を断定できるか、何を境界づけなければならないか、何を拒否しなければならないか、何を保留のままにしなければならないかを定める。
このページの位置づけ
このページは解釈上の明確化である。
内部的な読み方の枠組みを定める。ここでQ-Layerは、回答に正当性を与えるレイヤーとして記述されており、絶対的なセキュリティの約束としても、普遍的な検知手法としても記述されてはいない。
運用上の定義
Q-Layer：応答条件（証拠、ソース、ペリメーター、除外事項、確信度）を課し、無許可の指示やデータが、正当とみなされる出力を生み出すことを防ぐ、境界設定のレイヤー。
インジェクションに対する目的は単純である。意思決定上の権威が、正規でない断片、無許可の断片、あるいは文脈から切り離された断片へと移ることを防ぐことである。
インジェクションが応答条件の問題である理由
インジェクションが成功するのは、システムが回答すべきでないときに回答する場合、あるいは条件が満たされていないのに「強すぎる」回答（断定、確実性、規定）をする場合である。
Q-Layerは、インジェクションを正当性の問題として扱う。
- 何が指示する権限を持つのか？
- 何が権威となる権限を持つのか？
- この回答について、どのソースが適格か？
- どの除外事項が適用されるか？
- 回答の保留が正しい帰結となるのはいつか？
境界設定：指示、コンテキスト、権威の分離
効果的な保護は、次の3つの厳格な分離を課す。
- 指示：命じるもの（ポリシー、ランタイムのルール、システムの指令）。
- コンテキスト：情報を与えるもの（リトリーバル、文書、抜粋、メモリ）。
- 権威：引用できるもの、または正規の真実として扱えるもの（定義、ドクトリン、安定化されたサーフェス）。
この分離がなければ、注入されたコンテンツは、「テキスト」として提示されていても、階層を駆け上がって暗黙のルールになりうる。
応答条件：最小限のグリッド
Q-Layerは、最小限の条件によって回答を境界づける。
- 適格性：要請が、許可されたペリメーターの内側（かつ除外事項の外側）にある。
- ソース：回答が、適格な権威（カノン、定義、明確化）に基づいている。
- トレーサビリティ：断定の出所が帰属可能であり、類推によって再構成されたものではない。
- 強さ：断定の水準が証拠の水準に見合っている（根拠のない確実性はない）。
- 回答の保留：条件が満たされない場合は、非回答が正しい帰結である。
直接インジェクションと間接インジェクションの違い：同じ論理、異なるサーフェス
- 直接インジェクション：敵対的な指示が入力の中にある。Q-Layerは、何が命じることができるかを境界づける。
- 間接インジェクション：敵対的な指示が、取り込まれたコンテンツ（要約、抽出、文書）を経由する。Q-Layerは、何を権威として扱えるかを境界づける。
いずれの場合も、課題は同じである。ある断片が権威の序列へと格上げされるのを防ぐことである。
シリーズの他の明確化との関係
- プロンプトインジェクション：権威への脅威と指示・データの混同
- 間接インジェクション：「このコンテンツを要約して」が攻撃対象領域になるとき
- RAGポイズニング：コーパス汚染と解釈ドリフト
- AIエージェントのセキュリティ：権限、ツール、正当な非回答
この明確化の範囲
このページは、人間による読解、自動化された要約、ゼロクリックの引用、相互接続されたエージェントのチェーンに適用される。このページは、原則としての明確化として解釈されなければならない。インジェクションに直面したとき、回答が正当であるのは、権威、証拠、ペリメーターの条件が明示的に満たされている場合に限られる。