> For the complete documentation index, see [llms.txt](https://docs.maiagent.ai/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.maiagent.ai/tech/ja/ai-gateway/ai-gateway-security.md). # AI Gateway のセキュリティ 「AI中継サービス」の問題から、企業が複数のモデルを利用する際の実際のリスクを考えます。MaiAgent AI Gatewayが接続先、モデル、データ、責任、記録の5つの観点で提供する保護と、現時点での制限について説明します。
非公式のAI中継サービスと企業向けAI Gatewayの比較

どちらも利用者とモデルの間に立ちます。違いは、検証できるかどうかです

この2年間、企業が利用するAIモデルは増え、接続方法も複雑になっています。OpenAI、Anthropic、Googleはそれぞれ独自のAPIを提供しており、開発チームは「このタスクに最適で、最も安いモデルはどれか」を求めてプロバイダーを切り替えています。tokenの使用量も何倍にも増えています。その結果、市場に新たな役割が生まれました。利用者とモデルの間に立ち、1つの窓口で複数のモデルに接続し、キーと請求を統一する中間層です。 この役割には正規のサービスがあります。たとえば米国のOpenRouterは、1つの窓口で400を超えるモデルを提供しています。一方で、グレーなサービスも存在します。中国では海外モデルの地域制限を背景に、非公式の「AI中継サービス」が多数登場しました。海外のアカウントやクレジットカードがなくても、少額の人民元を支払えばClaude、ChatGPT、Geminiを利用でき、価格は公式の1〜3割です。その安さの代償として、リスクはすべて利用者に転嫁されます。 お客様から、次のような質問をいただきました。**MaiAgentも利用者とモデルの間に立っているのではありませんか。その便利さの裏に、同じようなセキュリティ上の懸念はないのでしょうか。** これは、丁寧にお答えすべき大切な質問です。本記事は2つの部分で構成しています。第1節と第2節では、AI中継サービスとは何か、非公式の事業者がどのような手法を使っているかを説明します。第3節と第4節では、同じ位置に立つMaiAgent AI Gatewayが、どのような異なる対応をしているかを説明します。 ## 1. AI中継サービスとは まず、APIという技術用語を説明します。レストランの注文窓口のようなものだと考えてください。プログラムが窓口に質問を送り、AIサービスが処理した後、同じ窓口から回答を返します。 「AI中継サービス」は、利用者とAIサービスの間にもう1つ窓口を設けます。利用者は1つのサイトに接続しているつもりでも、実際には質問が背後にある複数のモデルへ転送されます。AIの世界における購入代行のような仕組みです。 このビジネスが中国で特に盛んな背景には、4つの構造的な理由があります。 * **地域制限**：OpenAIは中国をサポートしておらず、Anthropicも中国でClaudeを直接提供していません。2025年には、中国などの非対応地域の事業体が過半数を所有する海外企業も利用できないという制限が追加されました。 * **利用開始のハードルの高さ**：海外アカウントの作成、支払い、本人確認には手間がかかります。中継サービスはこれらをまとめて代行します。 * **token需要の急増**：tokenは、モデルが処理するテキスト量を計算する単位で、おおよそ中国語の1文字に相当します。中国当局は2026年3月、国内の年間token使用量が1,000倍以上に増えたと発表しました。AI Agentの時代には、消費がさらに加速しています。 * **利用者の考え方の変化**：開発者は「このタスクに最適で、最も安いモデルはどれか」を考えるようになりました。1つの窓口で複数のモデルに接続できる仕組みは、自然と便利になります。 「中間層」そのものが悪いわけではありません。グレーかどうかは国ではなく、検証できるかどうかで決まります。正規の中間層はすでに大きなビジネスになっており、最近では決済会社が75億米ドルを超える金額でOpenRouterを買収する計画を発表したという業界報道もありました。AIがインフラになるにつれ、企業がすべてのAI呼び出しを1つのゲートウェイに集約し、どのモデルに送るかをゲートウェイが決める方式が広がっています。 問題は「仲介者がいるかどうか」ではなく、「その仲介者を信頼し、検証できるかどうか」です。 ## 2. 非公式の中継サービスの実態 中国メディアによる非公式の事業者や利用者への取材では、この産業の仕組みが詳しく明らかにされています。
非公式のAI中継サービスの仕組みと3つのリスク

図1：非公式のAI中継サービスの仕組みと、利用者が負う3つのリスク

### 参入のハードルは想像以上に低いです 匿名の事業者は南京新聞に、典型的な開業手順を説明しました。海外のクラウドサーバーを借り、オープンソースのAIゲートウェイソフトウェアをダウンロードし、海外モデルのアカウントをまとめて用意し、既存のスクリプトを組み込み、決済システムに接続すれば営業を始められます。各プラットフォームの無料試用特典や低価格の月額プランで利用者を集め、WeChatグループや自社サイトでのチャージに誘導します。Claude、ChatGPT、企業向けサービスを別々に販売する3つのサイトを同時に運営する事業者もいます。 ### 安さの理由は「アカウントプール」です Claudeの公式価格は決まっていますが、一部の中継サービスはその1〜3割で販売しています。なぜこれほど安くできるのでしょうか。答えはアカウントプールです。事業者は大量の海外アカウントを登録または購入し、スクリプトで自動管理します。利用者が質問するたびに、システムはプールからまだ使えるアカウントを選んで送信します。そのアカウントが停止されたら、次のアカウントに切り替えます。 プールのアカウントはどこから来るのでしょうか。研究者が整理した調達元には、新規利用者向けの特典、他人が使い切っていないクレジット、企業向けや教育向けの割引があります。いずれも、サービス契約で保証できる調達元ではありません。 ### 利用者が負う3つのリスク **突然サービスが消えることがあります。** ある利用者は、毎日120米ドル分の利用枠をうたう月額25人民元のプランを購入しました。しかし、約20日後に大規模なアカウント停止が発生し、店舗がそのまま消えてしまいました。別のサービスに乗り換えると、月額料金は元の3〜4倍に上がり、事業者は「上流側が深刻な影響を受けた」と説明しました。中国では2026年5月末から取り締まりが始まり、多くの事業者がサイトを閉鎖しました。 **どのモデルを使っているか分からないことがあります。** ドイツの研究チームは17の非公式中継サービスを調査し、テスト問題への回答の特徴を比較して、背後のモデルが表示どおりかを判定しました。この手法をモデルフィンガープリント検証と呼びます。検査したモデルの半数近くが検証に合格しませんでした。つまり、高性能モデルの料金を払っていても、実際には性能を落としたモデルが提供され、公式モデルより約5割低い性能になる可能性があります。 **プロンプトが見知らぬ相手を経由します。** 米国の研究者が淘宝や閑魚などのECプラットフォームで購入した中継サービスを検査したところ、9つのサービスが悪意のあるコードを積極的に注入していました。研究者が不正利用を検出するために意図的に置いた偽のキーが、複数のサービスで使用されたほか、盗んだ秘密鍵を使って暗号資産を盗むサイトもありました。中国国家安全部も、一部の中継プラットフォームが利用者のデータを傍受・窃取していると公に警告し、企業の機密情報の漏えいを懸念しています。 覚えておきたいのは、次の点です。**AIが水道や電気のようなインフラになるほど、信頼が必要なのはAIサービスを提供する企業だけではなく、質問の最終的な送信先を決める仲介事業者も含まれます。** ## 3. 企業が確認すべき5つの質問 上記の3つのリスクに、企業の調達で必ず確認する責任と記録を加えると、AI中間層を評価する際に確認すべき5つの質問になります。 1. **リクエストはどこに送られますか。** 公式のエンドポイントでしょうか。それとも、さらに見えない仲介者を経由するのでしょうか。 2. **どのモデルを使っていますか。** 指定したモデルと、実際に動作するモデルは同じでしょうか。 3. **誰がプロンプトを見ることができますか。** 転送中、保存時、中間層そのものでは、それぞれどのように扱われるのでしょうか。 4. **問題が起きたとき、誰が責任を負いますか。** 責任を問える法人、契約、認証はあるのでしょうか。 5. **照合できる記録はありますか。** 毎回の呼び出しについて、「誰が、いつ、どのモデルを使い、いくらかかったか」を再現できるのでしょうか。 非公式の中継サービスは、ほぼどの質問にも答えられません。ここからは、MaiAgentがどのように答えるかを説明します。 ## 4. MaiAgent AI Gatewayはこの5つの質問にどう答えますか まず、MaiAgent AI Gatewayについて説明します。企業がすべてのAIモデル呼び出しを一元管理するためのゲートウェイです。社内の各システムが言語モデルに接続する際、個別にキーを申請し、プロバイダーと連携する必要はありません。すべてを1つの窓口に集約し、どのプロバイダーのモデルを使うか、誰が使えるか、どれだけ使えるか、いくら使えるかを企業が一元管理します。OpenAIのインターフェース仕様と互換性があるため、OpenAIの公式ライブラリで書いた既存のプログラムは、接続先URLをMaiAgentに変えるだけで接続できます。 本記事で使う3つの用語を説明します。**エンドポイント**はモデルサービスの接続先URLです。\*\*Bring Your Own Key（BYOK）\*\*は、貴社がプロバイダーとの契約で取得したAPIキーを持ち込み、プラットフォームに代理で呼び出してもらう方式です。**フォールバックグループ**は、主モデルに問題が起きた際に予備モデルへ自動的に切り替える設定です。 アーキテクチャ上の位置は、AI Gatewayも中継サービスも同じで、利用者とモデルの間に立ちます。違いは、次の図に示す内容にあります。
MaiAgent AI Gatewayの構成と5つの管理観点

図2：MaiAgent AI Gatewayの位置と5つの管理観点

### 質問1：リクエストはどこに送られますか * **Amazon BedrockにはAWSの公式ライブラリで直接接続します。** この経路のコードには、エンドポイントを書き換えられる設定がありません。 * **OpenAIとAnthropicには公式APIで接続します。** GoogleのモデルにはGoogle Cloud Vertex AIで接続します。 * **プラットフォーム管理モデルのエンドポイントはMaiAgentが一元設定します。** 貴社のどのアカウントも管理画面やAPI経由で変更できないため、誤設定や悪意のある操作によって非公式エンドポイントに変更されることを防ぎます。主要プロバイダーには公式エンドポイントで接続します。一部のモデルにはOpenRouterのような正規の商用モデルマーケットプレイスを通じて接続し、これらはすべてエンドポイント一覧に明示します。 * **貴社のカスタムモデルのエンドポイントは貴社が入力します。** たとえば、BYOKを使って貴社が自らホストするvLLMやOpenAI互換サービスに接続する場合、この設定を変更できるのは貴社だけです。 * ご要望に応じて、貴社で実際に有効になっているモデルと、それぞれの接続先エンドポイントの一覧を提供し、1件ずつ照合できます。 正確には、次のように説明できます。**貴社が利用するすべてのモデルについて、エンドポイントを確認できます。プラットフォーム管理のエンドポイントを変更できるのは当社だけで、貴社のカスタムエンドポイントを変更できるのは貴社だけです。** ### 質問2：どのモデルを使っていますか * 組織管理者は管理画面で**利用可能なモデルの許可リストと拒否リスト**を設定します。これはバックエンドで強制される制御です。Agentが許可リストにないモデルを指定すると、バックエンドがその場で拒否します。 * Gatewayが外部に表示するモデル名（エイリアス）と実際のモデルは、別々に設定できます。MaiAgentのプラットフォーム管理者は、各エイリアスを利用できる組織を設定できます。 * **毎回のリクエストで、実際に解決されたモデル**、プロバイダー、BYOKを使用したかどうかを記録します。 * フォールバックグループは貴社が作成して順序を設定し、設定できるのは組織オーナーだけです。呼び出し時にグループ識別子をモデル名として送信した場合にのみ、フォールバックチェーン全体が有効になります。グループを指定しない通常の呼び出しは、自動的に別のモデルへ転送されません。切り替えは、主モデルのタイムアウト、接続失敗、プロバイダーによるレート制限、サーバー側のエラーが発生した場合に限られます。パラメーターの誤りや無効なキーなど、リクエスト側のエラーでは切り替えず、設定ミスを隠さないようにしています。 ### 質問3：誰がプロンプトを見ることができますか この質問には明確にお答えします。**プラットフォーム管理方式では、MaiAgentがプロンプトを見ることができます。** 会話記録は、監査と追跡機能の一部です。違いは、どのような保護の下に置かれるか、そして貴社に選択肢があるかどうかです。 転送と保存の保護は、3つのレベルで共通です。サイト全体の暗号化通信（HTTPSに加え、HSTSでブラウザーに暗号化接続を強制）、データベースとファイルストレージの保存時暗号化、組織単位のデータ分離、そして顧客データを学習に送信するコード経路が存在しないことです。3つのレベルの違いは、中間層そのものがデータを見ることができるかどうかです。
3種類のモデル提供元の信頼レベル

図3：3種類のモデル提供元で、それぞれ誰がプロンプトを見ることができるか

信頼レベルプロンプトを見ることができる主体追加の保護
プラットフォーム管理MaiAgentとモデルプロバイダーAmazon Bedrockはサービス規約に基づき、顧客の入力をモデルの学習に使用しません。他のプロバイダーには、それぞれのAPIサービス規約が適用されます。
Bring Your Own Key（BYOK）MaiAgentと貴社が直接契約したプロバイダー貴社のキーは、業界標準のAES-256-GCMアルゴリズムで暗号化して保存します。暗号文は意図的に検索可能なフィールドに格納せず、データベースクエリでは取得できません。管理画面にはマスクされたプレビューのみを表示し、キーを読み戻すことはできません。
オンプレミス展開（プラットフォームとモデルの両方を貴社のデータセンターに配置）貴社のみ言語モデルと埋め込み（文書を検索可能な数値表現に変換する処理）は、貴社の内部ネットワークで自らホストするvLLMやOllamaなどのモデルサービスに接続できます。リランキング（最も関連性の高い段落を選ぶ処理）は、現在vLLMに対応しています。3つの層がすべて内部ネットワーク内にある場合、モデルに処理させるデータは一切外部に出ず、MaiAgentも見ることができません。
{% hint style="warning" %} モデルだけを貴社の内部ネットワークに配置し、MaiAgentプラットフォームはSaaS版を使う場合、プロンプトはSaaSプラットフォームを経由してから内部ネットワークのモデルへ送られます。データの流れは、表の1行目と同じです。 {% endhint %} ### 質問4：問題が起きたとき、誰が責任を負いますか * MaiAgentは台湾で登記された頑碼資訊有限公司（Playma Co., Ltd.）が運営しています。貴社と正式な契約関係を結び、ニュー台湾ドル建ての請求書を発行します。 * 当社は情報セキュリティ管理のISO 27001:2022認証と、プライバシー情報管理のISO 27701:2019認証を取得し、毎年の維持審査を受けています。 * プラットフォームで利用する第三者サービス（AWS、Cloudflare、Elastic Cloud、Sentry）と、そのコンプライアンス認証の開示一覧があります。第5節の方法でお取り寄せいただけます。重要なサービスを追加する際には、事前に通知します。 * フォールバックグループを有効にすると、主要プロバイダーが停止しても予備モデルに切り替えられます。アカウントプールのように、一夜にしてサービス全体が失われる仕組みではありません。 ### 質問5：照合できる記録はありますか Gatewayを経由するすべてのリクエストで監査記録を作成し、次の項目を含めます。 * リクエスト識別子、所属組織、使用したAPIキーとメンバー * クライアントが要求したモデルエイリアス、実際に解決されたモデルとプロバイダー、BYOKを使用したかどうか * 入力と出力のtoken数、キャッシュ（重複する内容の一時保存）の作成と読み取りのtoken数 * 合計レイテンシー、上流側のレイテンシー、モデルの最初のtokenが出るまでの待ち時間 * 処理ステータスと課金ステータス 関連する制御は、呼び出しの「前」に行われます。**クレジットが不足している組織は、呼び出し前にブロックされます**（ウォレット残高と最低残高のしきい値で判定し、同時にプランの状態も確認します）。処理を実行してから照合する方式ではありません。貴社の管理画面で使用量ダッシュボードとクレジット取引明細を確認でき、すべてのクレジット引き落としにプロバイダーとモデル名が記録されます。 冒頭の質問に戻ると、MaiAgentと中継サービスの違いは位置ではなく、あらゆる点を貴社が検証できることにあります。 ## 5. 利用を開始するには 1. に連絡し、貴社の組織でAI Gatewayを有効にします。 2. 貴社のデータ分類に応じて、プラットフォーム管理、BYOK、オンプレミス展開から信頼レベルを選びます。 3. 既存プログラムの接続先URLをMaiAgent Gatewayのエンドポイントに変更し、貴社の組織のAPIキーを使ってBearer認証を行います。呼び出しロジックを変更する必要はありません。 4. 管理画面で利用可能なモデル、フォールバックグループ、使用量の上限を設定し、ダッシュボードで照合を始めます。 {% hint style="info" %} 参考資料：本記事の非公式中継サービスに関する業界データと研究結果は、LINE TODAY「TODAY 看世界」の2026年9月5日の報道[「VPNなしで最高級AIを利用？中国の高収益産業『AI中継サービス』を解明！」](https://youtu.be/UtjsrVr2jZg)からの間接引用です。この報道は、南京新聞、第一財経、毎日経済新聞、およびドイツと米国の研究チームの情報をまとめたものです。本記事では、元の研究を別途検証していません。 {% endhint %} {% hint style="success" %} 貴社のセキュリティ部門や監査部門で、プラットフォームのセキュリティに関する詳しい説明、第三者サービスの開示一覧が必要な場合、または貴社の要件を1つずつ確認する技術会議をご希望の場合は、営業窓口にお申し付けください。対応する資料を提供します。 {% endhint %} --- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://docs.maiagent.ai/tech/ja/ai-gateway/ai-gateway-security.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.