選び方
- 取得したコンテンツ内のプロンプトインジェクション：コンテキストに入る前に確認します。
- ポリシーやトピックのルール：ルールとモデルを組み合わせたガードレールフレームワーク。
- 危険なツール呼び出しの承認：高速な判定モデル、または人による確認。
確認すべきポイント
選択肢を分けるポイントを、重要な順に並べています。
01
実際にどのリスクを検出するか
それぞれの選択肢を、直面しているリスクに対応づけましょう。プロンプトインジェクションとジェイルブレイク、個人データやシステムプロンプトの漏えい、有害またはポリシー違反のコンテンツ、話題外のリクエスト、危険なツールの使用です。OWASP Top 10 for LLM Applicationsは役に立つチェックリストで、ガードレールが最も直接的に対処するのはLLM01（プロンプトインジェクション）、LLM02（機密情報の開示）、LLM06（過剰な権限）です。有害性だけを採点するツールでは、取得したWebページに隠されたインジェクションは止められません。
02
ループのどこでチェックできるか
入力のチェックはユーザーが送るものを、出力のチェックは回答を確認します。エージェントでは、取得した文書、ツールの入力、ツールの結果のチェックも必要です。NeMo Guardrailsには入力、出力、検索、ツール実行それぞれのレールがあり、Lakera Guardはそのどれも個別のリクエストとして受け付けます。間接的なインジェクションは検索とツールの出力を通じて届くので、ユーザーのメッセージしか見ないガードは、最もよくあるエージェントへの攻撃を見逃します。
03
誤検知は自分のトラフィックで測る
どの検出器も、見逃しと誤ってブロックされるリクエストのトレードオフを抱えており、ベンダーの精度の数字は自社のテストセットで測られたものです。Lakeraは4段階の厳しさを文書化しており、既定は最も厳しい段階です。MetaのPrompt Guard 2のカードは、アプリケーション固有のプロンプトでは精度が下がると警告しています。本番の前に、実際の無害なリクエスト数百件と既知の攻撃のセットをガードに通し、閾値ごとにブロック率と見逃し率の両方を記録してください。
04
チェックごとの遅延と費用
モデルを使うチェックはどれも、ユーザーが回答を見る前に往復を1回加え、エージェントは1ターンに複数回実行することがあります。小さな分類器は高速です。LayaはGPUで1桁ミリ秒、GLiNER2.5-DecideはCPUで数百ミリ秒と報告していますが、メインのLLMに自分自身をチェックさせると数秒増えることがあります。ホスト型のAPIはネットワークの時間が加わり、通常はリクエストごとに課金されるので、会話ごとではなくエージェントの1ターンごとのリクエスト数を数えましょう。
05
セルフホストかAPIか
ガードはすべてのプロンプトと応答を見るので、最も機密性の高いデータを扱います。オープンなフレームワークとオープンウェイトのモデル（NeMo Guardrails、Guardrails AI、GLiNER2.5-Decide、Laya）は、自社のインフラ内で動きます。JevやLakera Guardのようなホスト型サービスは導入が早いものの、データの処理者が1社増えます。Lakeraのセルフホストの選択肢にはEnterpriseライセンスが必要です。
06
ポリシーをどう定義するか
固定の検出器（インジェクション、個人情報、モデレーション）を備えた選択肢もあれば、リクエストごとに独自のラベルやはい/いいえの質問を定義できるものもあり、後者は「上限を超える返金の依頼か」のような業務ルールに向いています。JevやLayaのような判定モデルは柔軟ですが、質問を自分で書いてテストする必要があります。NeMo Guardrailsのようなフレームワークは、Colangでフローのロジックを加えます。強力ですが、覚える言語が1つ増えます。
07
メンテナンスと所有者
この分野は急速に統合が進んでいます。Guardrails AIは2026年8月にホスト型のHubを閉鎖し、Harveyに買収されました。Protect AIのLLM Guardは2026年7月にアーカイブされ、Lakeraは現在Check Pointの所有です。最後のリリース日と所有者の動機を確認し、差し替えられるようにガードを自社のインターフェースの背後に置いておきましょう。
選択肢の違い
ガードレールには3つの系統があります。フレームワーク（NeMo Guardrails、Guardrails AI）は、LLMの呼び出しをチェックのパイプラインで包み、正規表現や個人情報のツールからLlama Guardのような安全性の分類器まで、検出器を差し込めます。最も広い範囲をカバーしますが、設定が必要です。ホスト型のスクリーニングAPI（Lakera Guard）は、メンテナンスされた検出器を1つのエンドポイントの背後で提供し、厳しさを調整でき、動かすモデルもありませんが、テキストをベンダーに送ることになります。小さな分類モデルと判定モデル（GLiNER2.5-Decide、Laya、Jev）は、「これはインジェクションの試みか」や「このツール呼び出しを承認すべきか」のように自分で定義した質問に、閾値を設定できる確率で答えます。
実際にはチームはこれらを組み合わせます。すべての入力と取得した文書には高速な分類器かAPIを、業務ルールとツールの承認にはフレームワークか判定モデルを、そしてその下には最小権限のツールの権限を置きます。適応してくる攻撃をすべて捉えられる ガードはないからです。
7 個のツールを比較
当サイトの評価順です。各レビューで出典、料金、評価の詳細を確認できます。
| ツール | 評価 | 当サイトの評価 | 向いている用途 | 料金 |
|---|---|---|---|---|
| NVIDIA NeMo Guardrailsリポジトリ | 4.0/5 | NeMo Guardrailsはエージェント向けの最も広範なオープンポリシーレイヤーですが、その広範さの代償として、設定の手間、レイテンシ、そして破壊的変更の多い変更履歴が伴います。 | すべてのモデル呼び出しおよびツ ール呼び出しの周囲に、設定可能なポリシーレイヤーを必要とするエージェントや顧客向けアシスタントを構築するチームに適しています。 | Apache 2.0に基づく無料でオープンソースのソフトウェアです。NVIDIAのNemoGuardモデルおよびNIM microservicesは個別に配布されています。 |
| Lakera Guard (Check Point AI Guardrails)ツール | 4.0/5 | Lakera Guard は、API 呼び出し 1 つで追加できる、ドキュメントの充実したプロンプトインジェクション対策のフィルターです。ただし月 10,000 リクエストを超えると、Check Point の企業向け営業チームとの交渉になります。 | 自前の分類器を運用せずに、チャットボットやエージェントの前でプロンプトインジェクションとデータ漏えいを審査するマネージドの仕組みがほしいチーム。 | Community は無料：月 10,000 リクエスト、8k トークンのプロンプト、SaaS のみ。Enterprise は見積もり制：柔軟な利用量、SaaS またはセルフホスト、SSO、RBAC、SIEM 連携。無料プラン以外の価格は 公表されていません。 |
| Jevモデル | 3.8/5 | Jevは型付きの判断を製品にしましたが、その後オープンモデルがスコアと価格の両方で追い越しています。 | 自前のGPUを動かさずに、テキストの振り分け、トリアージ、yes/noの関門に使える低コストのホスト型APIを求めるチーム。 | 100万入力トークンあたり$0.042（10億トークンあたり$42）で、出力トークンは無料です。長いコンテキストでも同じ価格です。エンタープライズ向けの上限は営業経由です。 |
| Splunk Agent Observabilityツール | 3.7/5 | Galileoの小型の評価モデルのおかげで、エージェントのすべての会話を安く採点できます。ただしSplunkの傘下に入り、営業との商談を経て買う企業向けの製品になりました。 | すでにSplunk Observabilityを使っていて、エージェントのすべての会話を採点し、危険な操作を実行時に阻止したい大規模な組織。 | Agent Observabilityは年1.2Mスパンあたり月$100からで年払い、年500MのLunaトークンと年5回のLunaのファインチューニングを含みます。追加のLunaトークンと保持期間の延長は見積もりです。Splunk Observability Cloud Free Edition（最大15ホスト、期限なし）にはエージェントのトレースが含まれます。Galileoの旧Free（月5,000トレース）とPro（年払いで月$100、50,000トレース）のプランは、もう公開されていません。 |
| GLiNER2.5-Decideモデル | 3.6/5 | GLiNER2.5-Decideは高速で素直なラベル分類器です。Fastinoのタスクでは良い成績ですが、それ以外のタスクでは大きく後れを取ります。 | 安価なCPUだけで意図のルーティング、モデレーション、スパム判定を行う必要があり、自前のラベルでファインチューニングできるエンジニアに向いています。 | 重みとライブラリはApache 2.0で無料です。Fastinoのホスト型ファインチューニングエージェントは別の製品です。 |
| Layaモデル | 3.4/5 | 非常に速く、本当にオープンです。ただし、そのままでは難しい判定で当て推量に近く、Jevの代替ではなくファインチューニングの土台です。 | 独自のラベル付き判定データを持ち、高速な振り分けやガードレール向けにファインチューニングできる小さなセルフホストのモデルを求めるチーム。 | 重みとPythonパッケージはApache 2.0で無料。有料のホスト型APIはなく、自分で動かします。 |
| Guardrails AIリポジトリ | 3.2/5 | 持ち主を失った堅実なアイデアです。Apache 2.0 のコードは今も動きますが、修正をマージする人はおらず、ホスト型の部分はなくなりました。 | 決定論的なバリデーターを使っていて、バージョンを固定し、自分でパッチを当てられる既存のユーザー。 | Apache 2.0 の下で無料のオープンソースです。ホスト型の Hub レジストリと無料のリモート推論は 2026年8月25日に終了しました。 |
仕様の比較
このステップで重要な仕様です。2026年10月23日に確認しました。導入前に提供元のサイトで確認してください。
| ツール | 種類 | チェック対象 | デプロイ | 公表されている遅延 | ライセンス |
|---|---|---|---|---|---|
| NVIDIA NeMo Guardrails | レールのフレームワーク（YAMLとColang） | 入力、出力、検索、ツール、対話 | セルフホスト：ライブラリ、サーバー、NIM | 使うレール次第 | Apache 2.0 |
| Lakera Guard (Check Point AI Guardrails) | ホスト型のスクリーニングAPI | インジェクション、個人情報、モデレーション、リンク、ツール | SaaS。Enterpriseでセルフホスト | 50 ms未満（ベンダーの主張） | プロプライエタリ |
| Jev | ホスト型の判定モデル | 自分で定義するはい/いいえ、選択、スコア | APIのみ | 中央値267〜316 ms | プロプライエタリ |
| GLiNER2.5-Decide | ゼロショット分類器（0.5B未満） | リクエストごとに定義するラベル | セルフホスト、CPUまたはGPU | デスクトップのCPUで294 ms | Apache 2.0 |
| Laya | オープンな判定モデル（421M） | 自分で定義するはい/いいえ、選択、スコア | セルフホスト、CPUまたはGPU | 中央値5.8 ms | Apache 2.0 |
| Guardrails AI | バリデーターのライブラリ | 個人情報、有害性、構造、カスタム | セルフホストのみ（Hubは閉鎖） | 非公開 | Apache 2.0 |
エージェントに接続する
Claude、ChatGPT、Cursor などのアシスタントがこれらのツールを直接使えるようにする MCP サーバーです。
このステージが使われる場面
- 文書とのチャット：まず NVIDIA NeMo Guardrails から始めます。
- カスタマーサポートエージェント：まず NVIDIA NeMo Guardrails から始めます。
- コーディングエージェント：まず Jev MCP から始めます。
- 長期記憶を持つアシスタント：まず NVIDIA NeMo Guardrails から始めます。
- 画像生成パイプライン：まず GLiNER2.5-Decide から始めます。
- 動画制作：まず GLiNER2.5-Decide から始めます。
- 音声エージェント：まず NVIDIA NeMo Guardrails から始めます。
- プライベートなオンデバイスAI：まず Laya MCP Server から始めます。
- 文書処理：まず NVIDIA NeMo Guardrails から始めます。
- 自社専用のファインチューニング済みモデル：まず NVIDIA NeMo Guardrails から始めます。
- ワークフロー自動化：まず Jev MCP から始めます。