KMS／HSM／Envelope Encryption for AI

KMS/HSMはAI workloadのroot/key material保護と監査可能なcryptographic gateに有効です。ただし、KMS/HSMを利用しているだけでprompt、application memory、DEK cache、logs、vector data、tool actionまで自動的に安全になるとは扱いません。

bulk dataは原則としてDEKでlocal encryptionし、KMS/HSM管理下のKEKでDEKをwrapするenvelope encryptionとして設計します。providerのdirect-encrypt APIを大容量prompt、document、vector/object data pathへ無条件に使用せず、API size、quota、latencyを確認します。

GenerateDataKey型APIではplaintext DEKがapplication processへ返る場合があります。plaintext DEK memory lifetime、cache lifetime、process isolation、crash dump/swap exposure、plaintext persistence禁止、restart/recoveryを別controlにします。HSM利用を「application processにplaintext keyが存在しない」保証として扱いません。

provider/region、key ID/version、algorithm/usage、key state、encryption context/AAD contract、wrapped DEK、client/SDK/provider versionを追跡します。aliasやlatestだけでhistorical decryptabilityを再現しません。

encryption context/AADはtenant/resource/purpose bindingに使えますがnon-secret metadataとして扱います。audit log等へplaintextで現れる実装ではPII、credential、prompt secretを入れません。

KEK rotationと既存DEKのrewrap/re-encryptionを別工程として扱います。rotation設定変更だけでhistorical ciphertextのwrapped DEKが自動更新されたとは仮定しません。

key disable、pending deletion、imported material expiry、external/custom key store disconnectをfailure scenarioとします。cached data keyを持つresourceが直ちに停止するとは限らず、restart/reattach/replay時にdecrypt failureが顕在化する場合があります。最近KMS API callがないことをkey不要の証明にしません。

key deletion前にdependent ciphertext/resource inventory、backup/snapshot、historical replay、wrapped DEK provenance、disable-first impact test、waiting period、recovery procedureを確認します。KMS providerがそのkeyで暗号化された全ciphertext inventoryを保持しているとは仮定しません。

KMS decrypt権限とAgent/tool business-action権限を分離します。decrypt可能であることを送金、削除、承認、外部送信等のaction permissionとして扱いません。

prompt/model input、model output、retrieval result、tool response���trace/log、vector/feature cache、application memoryは別controlです。暗号化at-restをruntime confidentialityの保証へ外挿しません。

HSM certificationやPKCS#11対応表記だけでapplication interoperabilityを保証しません。HSM、provider、PKCS#11/JCE/library、client/runtime versionの組合せを検証します。

wrong key/version、alias drift、AAD mismatch、context log leakage、plaintext DEK retention、overlong cache、dump/swap exposure、direct-encrypt size limit、quota/throttle、region outage、HSM/client incompatibility、disable/pending deletion/permanent deletion、imported material expiry、external key store disconnect、rotation without rewrap、lost provenance、last-use misinterpretation、overbroad decrypt、cross-tenant context collision、decrypt/action-auth混同、plaintext prompt/log/trace、backup内old key material、untested recoveryを想定します。

本項は2026-10-06時点のAWS KMS、Google Cloud KMS/Cloud HSM current documentation、AWS 2026 key-usage guidance、およびbounded PKCS#11 integration issue evidenceに基づきます。live KMS/HSM、organization IAM、Agent runtimeへのmutationやcryptographic performance testは未実施です。

KMS/HSMはAI workloadのroot/key material保護と監査可能なcryptographic gateに有効ですが、利用しているだけでprompt、application memory、DEK cache、logs、vector data、tool actionまで自動的に安全になるわけではありません。bulk dataはDEK/KEKを分離したenvelope encryptionを基本とし、key ID/version/state、AAD/encryption context、wrapped DEK、rotation/rewrap、IAM、cache lifetimeを追跡してください。key利用履歴が最近ないことをunusedの証明にせず、削除前に依存resourceと復旧経路を検証します。

organization KMS/HSM、Azure Managed HSM detailed current semantics、chosen provider/region/key type、IAM/key policy、DEK cache/zeroization、rotation/rewrap、ciphertext inventory、deletion controls、backup/key-material policy、quotas/latency、PKCS#11/provider/client versions、tenant data classification、Agent runtime plaintext/logging surfacesは未確認です。