ほとんどのRAGチュートリアルは、チャンキング戦略、埋め込みモデル、ハイブリッド検索の融合といった関連性に焦点を当てています。しかし、セキュリティについてはほとんど触れられていません。本番環境では、取得パイプラインは異なるアクセスレベル、機密性分類、規制要件を持つソースからデータを取得します。ベクトル類似度スコアが高いという理由だけで、サポートエージェントが役員報酬データを見るべきではありません。顧客からの問い合わせを処理するAIエージェントが、質問と語彙が一致するという理由だけで、内部監査の調査結果を返すべきではありません。この記事はそのギャップを埋めます。既存のRAGパイプラインに、取得前のチャンクごとの権限強制、プロンプトインジェクションスキャン、言語モデルのためのセキュアなコンテキスト構築、コンプライアンスのための監査ログ記録といった、薄いセキュリティレイヤーとしてID認識型アクセス制御を追加する手順を説明します。各ステップで、適応可能な具体的な成果物が生成されます。すべての例でプレーンPythonを使用します。