# KMS／HSM／Envelope Encryption for AI CURRENT_STATUS: CURRENT OBSERVATION: SPEC_ONLY FRESHNESS: CURRENT PAGE_TYPE: reference CANONICAL_URL: /tools/ea-256-kms-hsm-envelope-encryption-for-ai CLAIM_IDS: none EVIDENCE_IDS: EA-256-CURRENT-APPROVAL, EA-256-CURRENT-BODY-READBACK UNKNOWN_IDS: EA-256-UNKNOWN-01 OPS_IDS: none ## Summary KMS/HSMはAI workloadのroot/key material保護と監査可能なcryptographic gateに有効です。ただし、KMS/HSMを利用しているだけでprompt、application memory、DEK cache、logs、vector data、tool actionまで自動的に安全になるとは扱いません。 ## Current judgment KMS/HSMはAI workloadのroot/key material保護と監査可能なcryptographic gateに有効です。ただし、KMS/HSMを利用しているだけでprompt、application memory、DEK cache、logs、vector data、tool actionまで自動的に安全になるとは扱いません。 ## Scope KMS／HSM／Envelope Encryption for AI ## Confirmed ## UNKNOWN - EA-256-UNKNOWN-01: organization KMS/HSM、Azure Managed HSM detailed current semantics、chosen provider/region/key type、IAM/key policy、DEK cache/zeroization、rotation/rewrap、ciphertext inventory、deletion controls、backup/key-material policy、quotas/latency、PKCS#11/provider/client versions、tenant data classification、Agent runtime plaintext/logging surfacesは未確認です。 ## Evidence - EA-256-CURRENT-APPROVAL (RESEARCH): 現行本文の監査・revision対応 - EA-256-CURRENT-BODY-READBACK (IMPL): 現行本文の収録照合 ## Failure / limits wrong key/version、alias drift、AAD mismatch、context log leakage、plaintext DEK retention、overlong cache、dump/swap exposure、direct-encrypt size limit、quota/throttle、region outage、HSM/client incompatibility、disable/pending deletion/permanent deletion、imported material expiry、external key store disconnect、rotation without rewrap、lost provenance、last-use misinterpretation、overbroad decrypt、cross-tenant context collision、decrypt/action-auth混同、plaintext prompt/log/trace、backup内old key material、untested recoveryを想定します。 ## Practice key disable、pending deletion、imported material expiry、external/custom key store disconnectをfailure scenarioとします。cached data keyを持つresourceが直ちに停止するとは限らず、restart/reattach/replay時にdecrypt failureが顕在化する場合があります。最近KMS API callがないことをkey不要の証明にしません。 ## Practice 本項は2026-10-06時点のAWS KMS、Google Cloud KMS/Cloud HSM current documentation、AWS 2026 key-usage guidance、およびbounded PKCS#11 integration issue evidenceに基づきます。live KMS/HSM、organization IAM、Agent runtimeへのmutationやcryptographic performance testは未実施です。 ## PUBLIC_CLAIM KMS/HSMはAI workloadのroot/key material保護と監査可能なcryptographic gateに有効です。ただし、KMS/HSMを利用しているだけでprompt、application memory、DEK cache、logs、vector data、tool actionまで自動的に安全になるとは扱いません。 ## ENVELOPE_BOUNDARY bulk dataは原則としてDEKでlocal encryptionし、KMS/HSM管理下のKEKでDEKをwrapするenvelope encryptionとして設計します。providerのdirect-encrypt APIを大容量prompt、document、vector/object data pathへ無条件に使用せず、API size、quota、latencyを確認します。 ## DEK_LIFECYCLE GenerateDataKey型APIではplaintext DEKがapplication processへ返る場合があります。plaintext DEK memory lifetime、cache lifetime、process isolation、crash dump/swap exposure、plaintext persistence禁止、restart/recoveryを別controlにします。HSM利用を「application processにplaintext keyが存在しない」保証として扱いません。 ## KEY_PROVENANCE provider/region、key ID/version、algorithm/usage、key state、encryption context/AAD contract、wrapped DEK、client/SDK/provider versionを追跡します。aliasやlatestだけでhistorical decryptabilityを再現しません。 ## CONTEXT_AND_AAD encryption context/AADはtenant/resource/purpose bindingに使えますがnon-secret metadataとして扱います。audit log等へplaintextで現れる実装ではPII、credential、prompt secretを入れません。 ## ROTATION_AND_REWRAP KEK rotationと既存DEKのrewrap/re-encryptionを別工程として扱います。rotation設定変更だけでhistorical ciphertextのwrapped DEKが自動更新されたとは仮定しません。 ## KEY_UNAVAILABILITY key disable、pending deletion、imported material expiry、external/custom key store disconnectをfailure scenarioとします。cached data keyを持つresourceが直ちに停止するとは限らず、restart/reattach/replay時にdecrypt failureが顕在化する場合があります。最近KMS API callがないことをkey不要の証明にしません。 ## DELETION_GATE key deletion前にdependent ciphertext/resource inventory、backup/snapshot、historical replay、wrapped DEK provenance、disable-first impact test、waiting period、recovery procedureを確認します。KMS providerがそのkeyで暗号化された全ciphertext inventoryを保持しているとは仮定しません。 ## AUTHORIZATION_BOUNDARY KMS decrypt権限とAgent/tool business-action権限を分離します。decrypt可能であることを送金、削除、承認、外部送信等のaction permissionとして扱いません。 ## AI_PLAINTEXT_BOUNDARY prompt/model input、model output、retrieval result、tool response、trace/log、vector/feature cache、application memoryは別controlです。暗号化at-restをruntime confidentialityの保証へ外挿しません。 ## HSM_AND_CLIENT_BOUNDARY HSM certificationやPKCS#11対応表記だけでapplication interoperabilityを保証しません。HSM、provider、PKCS#11/JCE/library、client/runtime versionの組合せを検証します。 ## FAILURE_ENVELOPE wrong key/version、alias drift、AAD mismatch、context log leakage、plaintext DEK retention、overlong cache、dump/swap exposure、direct-encrypt size limit、quota/throttle、region outage、HSM/client incompatibility、disable/pending deletion/permanent deletion、imported material expiry、external key store disconnect、rotation without rewrap、lost provenance、last-use misinterpretation、overbroad decrypt、cross-tenant context collision、decrypt/action-auth混同、plaintext prompt/log/trace、backup内old key material、untested recoveryを想定します。 ## IMPLEMENTATION_STATE 本項は2026-10-06時点のAWS KMS、Google Cloud KMS/Cloud HSM current documentation、AWS 2026 key-usage guidance、およびbounded PKCS#11 integration issue evidenceに基づきます。live KMS/HSM、organization IAM、Agent runtimeへのmutationやcryptographic performance testは未実施です。 ## SAFE_WORDING KMS/HSMはAI workloadのroot/key material保護と監査可能なcryptographic gateに有効ですが、利用しているだけでprompt、application memory、DEK cache、logs、vector data、tool actionまで自動的に安全になるわけではありません。bulk dataはDEK/KEKを分離したenvelope encryptionを基本とし、key ID/version/state、AAD/encryption context、wrapped DEK、rotation/rewrap、IAM、cache lifetimeを追跡してください。key利用履歴が最近ないことをunusedの証明にせず、削除前に依存resourceと復旧経路を検証します。 ## OPEN_UNKNOWN organization KMS/HSM、Azure Managed HSM detailed current semantics、chosen provider/region/key type、IAM/key policy、DEK cache/zeroization、rotation/rewrap、ciphertext inventory、deletion controls、backup/key-material policy、quotas/latency、PKCS#11/provider/client versions、tenant data classification、Agent runtime plaintext/logging surfacesは未確認です。 NEXT: /agent/start.json STOP: This is a knowledge projection, not an execution order.