ADR-0041: 列挙は網羅でないことを原則として明記し、列挙の外を探す義務は課さない
採用(2026-08-14)
コンテキスト
Section titled “コンテキスト”本標準は3箇所で、列挙した範囲の外に何かが残っているかという同じ形の問いに直面しています。
| 箇所 | 列挙するもの | 外に残りうるもの |
|---|---|---|
| 第6章 危険源の同定 | OWASP Top 10 for Agentic Applications の分類 | 分類に無い危険源 |
| 第4章 G-7 基準1 | 計画したテスト | 計画に入らなかった検証対象 |
| 第5章 依存関係の確認 | 追加する依存 | 探さなかった既存の部品 |
3箇所の扱いが一致していませんでした(#242)。
ADR-0040は帰結に「網羅性は保証しない」と書いています。一方、第6章の危険源の同定は「網羅性の担保には、OWASP Top 10 for Agentic Applications の分類を用います」と書いていました。同じ標準の中で、限界の開示と網羅性の主張が併存していました。
外部の規格は、いずれも網羅性を否定している
Section titled “外部の規格は、いずれも網羅性を否定している”ISO/TR 14121-2 5.3.2(危険源の同定):
One of the drawbacks of a top-down approach is the over-reliance of the team on the checklist, which may be incomplete. … Therefore, checklists should not be interpreted as exhaustive, but should encourage creative thinking beyond the list.
AISI「AIセーフティに関する評価観点ガイド」2.3:
本書で示す各評価観点は網羅的なものではなく、将来的に内容が更新されることが想定される。
同ガイド 5.1.4 は「予防的対策ではすり抜けてしまう問題が生じることを前提とし」と書き、すり抜けの存在を設計の前提に置いています。
本標準が土台とする系の規格と、参照する公的ガイドの双方が、列挙の非網羅を明示していました。
列挙の外を探させる要求は、逆流を招く
Section titled “列挙の外を探させる要求は、逆流を招く”会議体では「分類のどちらにも当てはまらない危険源を1件以上探し、結果を記録する」案が出ました。採りません。「外も1件探した」という記録は、新しい形の網羅性の主張として読まれます。網羅性を主張しないという本 ADR の目的を、記録の側から打ち消します。
同じ理由で、テストの分母の妥当性、探索の範囲の妥当性についても、質を判定する検査を置きません。第5章 5.7.4 は記述の質を機械的に判定することを禁じており、この禁止は列挙の外についても働きます。
1. 列挙は網羅でないことを、列挙のある箇所で明記する
Section titled “1. 列挙は網羅でないことを、列挙のある箇所で明記する”分類・チェックリスト・観点の一覧を示す箇所では、その一覧で尽きていないことを本文に書きます。「網羅性の担保」のように、一覧が網羅を与えると読める表現を使いません。
2. 一覧の出典と版を記録させる
Section titled “2. 一覧の出典と版を記録させる”一覧を外部の文書から借りる場合、出典と版を記録します。版が動いたときに、実行層へ配った一覧が古いままであることを検出できるようにするためです。
3. 一覧の外を見る手掛かりを、一覧と並べて示す
Section titled “3. 一覧の外を見る手掛かりを、一覧と並べて示す”一覧を示す箇所では、一覧の構成原理と、その原理では拾えない性質を併記します。網羅を主張しない代わりに、どちらの向きに漏れるかを読み手へ渡します。
危険源の同定であれば、OWASP の分類は攻撃面で構成されており、攻撃者を想定しない失敗様式は原理的に含まれません。この性質を書けば、読み手は自分で外を見に行けます。
4. 一覧の外を探す義務は課さない
Section titled “4. 一覧の外を探す義務は課さない”件数を指定して探させません。探索の結果を記録させることもしません。理由は前掲のとおり、記録が網羅性の主張として読まれるためです。
5. 範囲の妥当性を判定する検査を置かない
Section titled “5. 範囲の妥当性を判定する検査を置かない”危険源の分類・テストの分母・探索の範囲のいずれについても、範囲が妥当であるかを判定する検査を置きません。置くのは範囲の宣言と、宣言した範囲の非網羅の明示までです。
検討した選択肢
Section titled “検討した選択肢”| 案 | 却下の理由 |
|---|---|
| 一覧の外を1件以上探させ、結果を記録させる | 記録が新しい形の網羅性の主張として読まれる。決定1 を打ち消す |
| 範囲の妥当性を判定する会議体を置く | 判定の総数が増える。かつ質の判定は第5章 5.7.4 が禁じている |
| 3箇所それぞれで別の扱いを続ける | 現状。同じ形の問いに別の答えを出しており、標準の内的整合を欠く |
| 網羅性を主張したまま、一覧を厚くする | 一覧を厚くしても網羅には達しない。ISO/TR 14121-2 5.3.2 が明示する |
- 第6章の危険源の同定から「網羅性の担保」の表現を除く
- 一覧を借りる箇所で、出典と版を記録させる
- どちらの向きに漏れるかを書く義務が生じる。書けない一覧は、そもそも根拠として弱い
- 列挙の外に何が残っているかは、記録に現れない。この限界は解消しない