技術要約：検証可能なMCPおよびLLMパイプラインのためのセキュアなツール・マニフェストおよびデジタル署名ソリューション

1. 問題提起

大規模言語モデル（LLM）は、ヘルスケアや金融などの機密性の高い領域にますます導入されているが、その実行パイプラインは操作、検証不可能な挙動、および敵対的攻撃に対して脆弱なままとなっている。モデル・コンテキスト・プロトコル（MCP）は、LLMと外部ツールの間の相互作用を構造化するための基礎を提供するが、既存の実装には検証可能な強制力と透明性のある検証が欠けていることが多い。

現在の制御メカニズムはコンプライアンス・ポリシーを定義しているものの、以下の事象を防ぐことはできない：

• 未検証のツール呼び出し： 暗号学的な認可の証明なしにツールが呼び出されること。
• 敵対的なプロンプト操作： 実行フローを乗っ取る「ツール呼び出しプロンプト（TIP）」攻撃などの手法。
• 不透明な実行時挙動： 決定論的なアクション・トレースや明示的なコンテキスト・バージョニングの欠如。
• 鍵の集中とタイミング・サイドチャネル： 非対称な鍵の優位性とタイムスタンプの分散から生じる、ワークロードのパターンを漏洩させるリスク。

ランタイム・アテステーションやエンクレーブ・ベースのアプローチ（例：Scanclave）などの既存のソリューションは、LLMのワークロードが持つ確率的な、ツール駆動型の性質に対処できていないか、あるいはヘテロジニアスなマルチモデル展開へのスケールに対応できていないことが多い。暗号学的な説明責任と、透明かつスケーラブルな実行パイプラインを統合するシステムレベルのセキュリティにおける決定的なギャップが存在する。

2. 手法

著者らは、MCPに準拠した構造化された拡張機能であるセキュア・ツール・マニフェストおよびデジタル署名フレームワークを提案する。このフレームワークは、決定論的な完全性、メタデータの分離、および透明な監査を保証するために設計された6段階のパイプラインを強制する。

コア・アーキテクチャ

フレームワークは、以下の逐次的なステージを通じて動作する：

1. マニフェスト作成： 各LLMツールリクエストは、決定論的なマニフェスト $M = (M_u, M_m, \tau)$ にカプセル化される。ここで、$M_u$ はユーザー向けパラメータ、$M_m$ はモデル向け入力、$\tau$ は鮮度を示すタイムスタンプを表す。この構造は、情報の漏洩を防ぐための情報フローの分離を強制する。
2. ポリシー強制と署名： 実行前に、マニフェストは決定論的なコンプライアンス・ルール $C(M)$ に対して評価される。コンプライアンスが確認されると、ハードウェア・セキュリティ・モジュール（HSM）を用いて、マニフェストのハッシュとデジタル署名 $\sigma$ が生成される。
3. 検証： システムは署名とポリシーの遵守を検証する。有効な署名とポリシーチェックを通過したマニフェストのみが実行へと進む。
4. 透明性ログ： 検証されたマニフェストは、メルクル木（Merkle tree）を介して統合された不変の透明性ログに追加される。これにより、前方完全性が確保され、効率的な包含証明が可能になる。
5. 監査エクスポート： システムは、実行レイテンシ、検証レイテンシ、およびメルクル・ルート参照を含む、コンパクトで暗号学的に検証可能なエビデンス・タプルを生成する。
6. メトリック収集： スケーラビリティとトレードオフを分析するために、時間的メトリクスとセキュリティ・オーバーヘッドが追跡される。

脅威モデル

本システムは、通信の傍受、ペイロードの注入、およびマニフェストの再送（リプレイ）が可能な確率的多項式時間（PPT）の敵対者を想定している。ただし、敵対者は基礎となる暗号プリミティブ（衝突耐性ハッシュ、EUF-CMA署名）やHSMを侵害することはできない。フレームワークは、成功した攻撃（偽造、リプレイ、改ざん）の確率を無視できるレベル（$negl(\lambda)$）に数学的に限定する。

アルゴリズムの実装

手法は、相互に依存する3つのアルゴリズムによって運用される：

• アルゴリズム1（マニフェスト作成と署名）： カノニカルなマニフェストを構築し、ハッシュ化し、ポリシー・ルールを強制し、ダイジェストに署名を行う。
• アルゴリズム2（検証とロギング）： 署名を検証し、エントリーをメルクル・ログに追加し、ルート・ハッシュを更新する。
• アルゴリズム3（監査とメトリクス）： 実行および検証のレイテンシを計算し、出力ダイジェストを生成し、外部監査者にエビデンスをエクスポートする。

3. 主な貢献

本論文は、主に3つの貢献を行う：

1. フレームワーク設計： MCP準拠のLLM実行のための、暗号学的に署名されたマニフェスト形式を定義する、新しいセキュア・ツール・マニフェストおよびデジタル署名フレームワーク。これはマニフェストの完全性を確保し、メタデータの分離を強制し、実行パイプラインへの信頼を構築する。
2. 評価手法： パフォーマンスとセキュリティの両面から、大規模なスケールでのトレードオフを体系的に評価するための、デュアル・パースペクティブ・パイプライン。これは、セキュアなLLMインフラストラクチャに関する将来の研究のための再現可能な基盤を提供する。
3. システムレベルの洞察： 異なるLLM（GPT-4-turbo、LLaMA-3.5、DeepSeek-V3）間でのセキュアな実行に関する初の比較分析。本研究は、非対称な鍵の優位性やタイムスタンプの分散といった脆弱性を特定・定量化し、レジリエントなデプロイメントのための実用的なガイダンスを提供する。

4. 実験結果

フレームワークは、3つの代表的なLLMを用い、100から50,000のマニフェスト・インスタンスにわたるワークロードで評価された。

スケーラビリティ

• 近線形スケーリング： システムは、回帰適合度 $R^2 = 0.998$ の極めて優れた線形スケーラビリティを示している。計算複雑性は、ロギングにおいて $O(\log N)$、署名/検証においてリクエストあたり $O(1)$ に収束する。
• オーバーヘッド： 正規化されたセキュリティ・オーバーヘッドは、すべてのスケールにおいて5%未満（$\delta < 0.05$）に維持されており、暗号学的な強制がパフォーマンスを著しく低下させないことを裏付けている。

公平性と分布

• モデル利用率： モデルの使用率は、各モデル約33%のバランスの取れた分布（GPT-4-turbo、LLaMA-3.5、DeepSeek-V3）に収束し、公平性指数 $F = 0.97$ を示した。
• 鍵の使用： 本研究では、単一の鍵（dev-k1）が利用率の80%を占めるという脆弱性を特定しており、適応的な鍵ローテーション戦略の必要性を浮き彫りにした。
• 深刻度の強制： システムは適応的な強制力を示し、「警告（warn）」および「ブロック（block）」の結果が敵対的なストレスに応じて比例的に増加した。これは、制御されたフィードバック・メカニズムを示している。

検証と信頼性

• 正確性： フレームワークは、有効な実行に対して平均80%の検証成功率を達成した一方で、無効または偽造されたマニフェストを一貫して拒絶した。
• レイテンシの安定性： 検証レイテンシは有界（GPT-4-turboで中央値1.9ms）であり、分散が低いため、タイミングに基づくサイドチャネル推論を防止している。
• エラー挙動： 特定の失効失敗により絶対的なエラー数は超線形に増加したが、正規化されたエラー密度は漸近的に安定（$\rho_E \to 0.15$）しており、システムが累積的な検証リスクに苦しんでいないことを示している。

5. 意義と主張

本論文は、提案されたフレームワークが、モデル中心の安全性研究とシステムレベルの実行セキュリティの間の溝を埋めることに成功したと主張している。その意義は以下の点にある：

• 説明責任の運用化： 事後的なフォレンジック分析や孤立したエンクレーブによるアテステーションに焦点を当てた従来の研究とは異なり、本フレームワークは、能動的な暗号学的強制とリアルタイムの透明性ロギングを実行パイプラインに直接組み込んでいる。
• スケーラブルな信頼： 近線形のスケーラビリティと限定されたオーバーヘッドを実証することで、高信頼な暗号メカニズム（署名、メルクル・ロギング）が、低レイテンシが要求される規制対象のLLMデプロイメントと共存可能であることを証明している。
• 数学的定式化： 本研究は、経験的な挙動（レイテンシ、公平性、エラー率）が理論的な暗号学的境界に収束する、形式的な安定性エンベロープを提供しており、信頼できるAIに対する数学的根拠に基づいたアプローチを提示している。

著者らは、本フレームワークが、わずかな実行エラーやポリシー違反であっても深刻なコンプライアンスおよびセキュリティ上の結果をもたらし得る安全性重視の領域において、検証可能、監査可能、かつ公平なLLMパイプラインの基礎を確立すると結論づけている。