セキュリティ設計：共有のサービスアカウントではなく、委任された権限で動きます。
権限の設計を曲げずに、Microsoft Exchange のメールボックスへ AI からアクセスできます。利用者はそれぞれ自分の権限だけを使い、メールの中身は初期設定では保存せずに通すだけ。運用はドイツで、DPA は最初の日から結ばれています。
違いを生む 6 つの原則
同じ約束はデータ処理契約（付属書 1 と 2）にも書かれていて、法的な拘束力があります。ここではそれをやさしい言葉で説明します。
委任された権限、共有アカウントなし
社員はそれぞれ、いま持っている Exchange の権限で自分のメールボックスにアクセスします。全メールボックスに届く中央のサービスアカウントも、アプリケーションによる偽装もありません。よくある「マスターキー」は Postgate AI には存在しません。
キャッシュは初期設定でオフ
初期設定ではメールの中身を保存しません。通り抜けるだけです。残るのは暗号化した資格情報と、技術的なメタデータ（誰が、いつ、どの機能を使ったか）です。必要であれば、組織ごとに暗号化した短期キャッシュを有効にできます。対象はテキストに変換したメール本文と添付ファイルの文字で、初期設定では 7 日間、1 メールボックスあたり最大 32 MB です。ポータルからいつでも切れますし、指定した機密度より上のメールは最初から対象外です。
暗号化した資格情報の金庫
Exchange の資格情報は RSA-4096 で暗号化し、ドイツにある金庫に保管します。利用者どうしは切り離されているので、他人のメールボックスは誰にも見えません。
テナントの分離
組織ごとに専用の、堅牢化したインスタンスが動きます。設定もデータも別で、ほかのお客様と同じ環境を使うことはありません。
データの置き場所はドイツ
処理はドイツのデータセンターだけで行います（運用事業者は ISO 27001 認証）。ローカルの AI モデルを使えば、処理そのものも社内に留められます。
許可する範囲は管理者が決めます
ポータルで、お客様の組織の管理者が何を許すかを決めます。分野ごと（メール、予定表、連絡先、タスク、フォルダー、ルール）と操作の種類ごと（読む、書く、送る、削除する）に、組織全体でも、グループごとでも、利用者ひとりだけでも設定できます。許可のない呼び出しはサーバーが断ります。さらに、一人が一時間に宛てられる宛先の数に上限を置けます（初期値は100）。緊急停止を押せば、それ以降のアクセスはすぐに止まり、再起動も要りません。セキュリティにかかわる出来事は、中身を含めずに記録します。
リクエストは何をたどるのか
AI アシスタントが Postgate AI にリクエストを送ります。ドイツにある当社のサーバー（セルフホストのライセンスならお客様のサーバー）が、その利用者の権限で Exchange から必要なデータを取り出し、お客様が選んだアシスタントへ渡します。透過プロキシのような働きで、どの経路も TLS で暗号化されています。そこで当社の処理は終わりです。初期設定では控えも中身の記録も残りません。キャッシュを有効にした場合だけ、指定した保存期間のあいだメール本文を暗号化して保持します。メールボックスはいつでも Exchange の中にあり、中身をどの AI モデルが扱うかはお客様が決めます。すべて社内で動かすモデルでも構いません。
OWASP Top 10 for LLM Applications 2025 に、項目ごとにお答えします
リストのどの項目にも、それぞれのカードを用意しました。半分しか満たせていない項目も同じです。足りないところは、足りないと書いてあります。コードに裏づけのない仕組みは、当社では仕組みと数えません。
突き合わせたのは、リストの 2025 年版です。新しい版が出たあとも、こちらを作り直すまではこの時点の評価が残ります。エージェント的なシステムの脅威をまとめた OWASP の別のリストは、ここでは対象にしていません。
LLM01:2025 Prompt Injection
読み取りのツールは、返す結果に外から来た内容だという印を付け、これはデータであって指示ではない、とはっきり添えます。あわせてパターンの走査が内容を区分し、当たった数を数えます。
走査は印を付けて数えるだけで、取り除きはしません。さらに、当社が運用するインスタンスでは、送信の前の最後の歯止めである 2 回目の呼び出しでの確認がありません。
LLM02:2025 Sensitive Information Disclosure
Exchange の資格情報は暗号文としてしか置かず、本人ごとに解いて使います。データの鍵も本人ごとに別です。記録では機微な項目を伏せ、アドレスは覆い、本人は仮名で残します。メールボックスの写しやベクトルの置き場は、運用する側が有効にしたときだけできます。
メールの中身が、つないだ AI クライアントへ渡るのは本来の動きです。そこで何が起きるかは、このサーバーの外の話になります。
LLM03:2025 Supply Chain
土台のイメージは、動く名前ではなく決まったチェックサムで留めています。ライブラリーはバージョンとチェックサムつきでロックファイルから入り、ロックファイルを新しくせずに依存関係を書き換えると、見張りが気づきます。
部品表（SBOM）はまだなく、脆弱性の届け出との自動の突き合わせもありません。
LLM04:2025 Data and Model Poisoning
モデルの学習は行いませんし、お客様のデータを学習に渡すこともありません。保存するデータはその本人のメールボックスから来たものだけで、本人ごとに分けて置きます。
わざと仕込まれたメールは、その同じメールボックスの中に残り、あとからの検索に色を付けることがあります。一件ごとに出どころを評価する仕組みはありません。
LLM05:2025 Improper Output Handling
メールに戻す HTML は、許可したタグ、属性、アドレスの形式の一覧を通ります。データベースへの問い合わせはパラメーターを使います。
初期設定の読み取り形式では、ツールはメールの HTML をそのまま渡します。きれいにしているのはメールへ戻る道で、外へ出る道ではありません。つないだクライアントが答えをテキストとして扱うのか、HTML として描くのかは、このサーバーの決められることではありません。
LLM06:2025 Excessive Agency
アクセスは、確かめた本人と、その本人が持つ Exchange の権限でだけ動きます。本人が分からない呼び出しは、サーバーが断ります。共有のサービスアカウントも代理アクセスもありません。緊急停止と送信の上限は、サービスを再起動せずに送信を止めます。
組織、グループ、利用者ごとの権限の表が効くのは、管理者が有効にしてからです。送信と削除の前の 2 回目の呼び出しでの確認は、セルフホストで運用する場合に動き、当社が運用するインスタンスでは切ってあります。
LLM07:2025 System Prompt Leakage
サーバーがモデルに渡す指示文には、秘密が入っていません。権限もその文ではなく、本人が持つ Exchange の権限に付いています。
その文は運用する側が書き換えられますし、そこに書いたことは、つないだクライアントすべてから見えます。
LLM08:2025 Vector and Embedding Weaknesses
ベクトルの置き場へのアクセスはどれも本人を求め、行ごとのアクセス制御を強制した表に向かいます。鍵になるのは仮名です。件名、メールの本文、添付から取り出した文字は、そこには入りません。
ベクトルそのものは暗号化していないので、データベースの役割を回り込める人は、この決まりも回り込めます。索引に入る内容が指示を仕込まれていないかどうかは、調べていません。
LLM09:2025 Misinformation
ツールが返すのは、元にあるメールボックスのデータです。正しさの基準は Exchange のままです。外から来た内容には出どころの印が付きます。システムカードは、提供元、モデル、送り先をそのまま示します。
サーバーはモデルの出力を検査しません。要約が合っているかどうかは測っていませんし、一文ごとに根拠を示させる決まりもありません。
LLM10:2025 Unbounded Consumption
呼び出しの回数は本人ごとに制限し、処理の待ち行列には上限を置き、Exchange への同時実行も絞り、送信は本人ごと 1 時間あたりで上限を設けています。
複数のノードで動かす場合、共通の数え上げをデータベースに置くまでは、上限はノードごとに効きます。つないだモデルにかかる費用は、このサーバーが抑えるものではありません。
完全な一覧表には、項目ごとに仕組み、判定、限界、そしてコードのどこにあるかまで書いてあります。ご請求に応じてお渡しします。 一覧表を請求する
メールの本文にある指示に対して、何が動いているか
メールには、モデルへの命令のように読めるテキストが入っていることがあります。これに対しては 3 つの仕組みが動きます。どれも、すべてを捕まえるフィルターではありません。
外から来たテキストは、外から来たものだと分かる形で渡します
読み取りの結果にはどれも、これはデータであって指示ではない、という但し書きが付きます。モデルが受け取るのは中身だけではなく、出どころも一緒です。
パターンの走査。届く範囲は正直に
今のところ見分けられるのは、ドイツ語と英語の命令の言い回し、チャットのひな形に使う制御記号、隠したテキスト、目に見えない文字です。印を付けて数えるところまでで、それ以上はしません。当たった数と危険度は、別のものを測っています。数はいちばん強い当たりが 1 つ出た時点で増え、危険度は設定した境目を越えてから上がります。
外から来たテキストにしか出てこない宛先
アドレスが、読み込んだ外部のテキストの中にしか出てこない場合、出口の見張りは送信の前の問いかけを厳しくします。これが効くのは、送信の前の確認が動いているところ、つまりセルフホストで運用する場合です。
このパターンは、自分たちで考えた例だけを相手にしているわけではありません。第三者が公開している攻撃例の一覧、つまり NVIDIA の garak を使い、文書やメールの中身からの間接的なインジェクションを試す探査で走らせました。どの例も、それぞれ 1 つのテストとして残っています。そこで見つかった穴は、わざと失敗するテストとして残してあり、あとで塞いだときに黙って消えるのではなく、目に見えて分かります。ふつうのメールで誤検知が出ないことも、別のテストで押さえています。道具の名前を挙げるのは、名前のない一覧では裏づけにならず、ただの主張になるからです。
よくある質問
GDPR に適合していますか。
はい。処理はドイツで行い、GDPR 第 28 条にもとづくデータ処理契約（DPA）は登録の時点で結ばれます。技術的および組織的な措置の記録と、再委託先の一覧もついています。登録済みの利用者は、ポータルからいつでも契約書を見られます。
全メールボックスに届くサービスアカウントは、なぜ危ないのですか。
組織全体のメールボックスに届くアカウントは、狙われる一点になります。乗っ取られればすべてのメールボックスが露出しますし、操作はどれも同じ ID で行われるため、誰がやったのかを後から追えません。Postgate AI はこれを一切使いません。
Postgate AI が保存し続けるデータは何ですか。
暗号化した Exchange の資格情報（RSA-4096、金庫はドイツ）、ポータルのアカウント情報（氏名、会社のメールアドレス、パスワードのハッシュ）、そして中身を含まない技術的な監査メタデータです。メールの中身は初期設定では含まれず、Exchange の中に残ります。キャッシュを有効にすると、テキストに変換したメール本文と添付ファイルの文字が加わり、暗号化したうえで初期設定では 7 日後に消えます。
AI の提供元に社内のメールは見えますか。
それはお客様しだいです。AI アシスタントを選んでサービスにつなぐのはお客様なので、どのモデルが中身を扱うかはお客様の手の中にあります。社内で動かすモデル（Ollama など）を使えば、中身は社外に出ません。当社は自前の AI を運用していません。
データ保護責任者が納得するセキュリティを。
TOM と再委託先の一覧つきの DPA は、登録の時点で結ばれます。トライアルも、本番とまったく同じ設計の上で動きます。