Q11.プロンプトに秘密情報（APIキー・パスワード）を入れないための対策は？
回答
秘密はプロンプトに書かず、シークレットストアとランタイム注入に寄せ、キーは環境変数・ボールト・短期トークンで渡します。ログからもマスクします。
開発者がデバッグのためにキーを貼る習慣が、本番ログやベンダー側の学習ポリシーと衝突します。CIでリポジトリとプロンプトテンプレートをスキャンし、プリコミットフックと同様にチャット入力もDLPで検知します。エージェントには「ユーザーが貼った秘密はツールに渡さない」ルールと、コード実行サンドボックスのネットワーク制限を組み合わせます。漏えいしたキーはローテーション手順を分かりやすく文書化し、ローテの責任者と期限を決めます。
- ●設計: シークレットはプロンプト外、ツール側で注入
- ●検知: DLP・git-secrets・ログマスキング
- ●対応: 漏えい時のローテーションRunbook