テクニカル・サマリー：エージェンティックな決済プロトコルにおけるゼロトラスト・ランタイム検証

1. 問題提起

自律的な商取引を実行可能な自律型AIエージェントの導入により、インタラクティブなセッションベースの認可から、マンデート（委任）ベースのプロトコル、具体的にはUniversal Commerce Protocol (UCP) および Agent Payments Protocol (AP2) への移行が必要となっている。AP2は、暗号学的な完全性、真正性、および有効期限のセマンティクスといった仕様レベルのセキュリティ保証を提供するが、これらの保証は、自律型エージェントの複雑なランタイム挙動を抽象化して排除した仮定に基づいている。

現実世界のエージェント環境では、自動リトライ、並列タスク実行、エージェント間委任、オブザーバビリティ駆動のリプレイといった挙動が発生する。これらのダイナミクスは、時間的および文脈的な複雑さをもたらし、マンデートの使用に関する暗黙の仮定に挑戦する。具体的には、本論文はプロトコル設計とランタイムの現実との間のギャップを特定している。すなわち、AP2のマンデートは暗号学的には有効であっても、有効期間内に複数回消費された場合（リプレイ）、あるいは意図しない実行コンテキストに転送された場合（コンテキスト結合の失敗）に悪用される可能性がある。著者らは、仕様レベルの正当性が、非同期かつ高度に並行するエージェントのランタイムにおける安全な実行を保証するものではないと主張している。

2. メソドロジーとシステムモデル

これらの強制力の欠如に対処するため、著者らは**ゼロトラスト・ランタイム検証（ZTRV）**フレームワークを提案している。システムモデルは以下の3つのエンティティで構成される：

• ユーザーエージェント (A): 暗号学的なマンデートを保持する自律的実体。
• マーチャントエンドポイント (M): 取引を履行するサービスプロバイダー。
• ランタイムベリファイア (V): エージェントとマーチャントの間に位置する、信頼されたミドルウェアコンポーネント（セキュリティゲートウェイとして機能）。

ZTRVは、最小限の時間限定のステートを備えたステートレスな検証ゲートウェイとして動作する。これは、すべてのマンデートを伴うリクエストが、決済インフラに到達する前に明示的なチェックを通過しなければならないという、厳格なフェイルクローズ型の検証パイプラインを強制する。

コアメカニズム

本フレームワークは、主に2つのメカニズムを通じてセキュリティを強制する：

1. コンテキスト認識型結合 (Context-Aware Binding):
   各マンデートは、特定のランタイム実行コンテキストに暗号学的に結合される。ベリファイアは、実行属性（例：task.id, agent.id, merchant.id, scope）に基づくハッシュ（$H_{ctx}$）を計算し、それをマンデートの署名に埋め込まれたハッシュと比較する。不一致がある場合は即座に拒否され、これにより、異なるタスク、エージェント、またはマーチャント間でのマンデートの再利用を防ぐ。

2. 動的一度のみ消費ノンスレジストリ (Dynamic Consume-Once Nonce Registry):
   リプレイ攻撃（同一コンテキストおよびクロスコンテキストの両方）を防ぐため、システムは「一度のみ消費」のセマンティクスを強制する。各マンデートには一意に生成された動的なノンスが含まれる。ベリファイアは、分散データ構造として実装されたスライディングウィンドウ・ノンスレジストリを維持し、アトミックなチェック・アンド・セット操作を実行する。ノンスは、その有効期間（$\Delta t$）内において一度だけ受け入れられる。これにより、高コンカレンシー下においても冪等な実行が保証され、同一のマンデートの複数回消費を防ぐ。

検証アルゴリズムは、マンデートのパース、暗号署名と鮮度の検証、コンテキスト整合性の検証、アトミックなノンス消費、そして最終的なリクエストの承認という5つのステップで進行する。

3. 主な貢献

本論文は、以下の具体的な貢献を行う：

• 脅威モデリング: 自律型エージェントのランタイムにおけるAP2マンデート実行に関する体系的な脅威モデルを提示し、同一コンテキストのリプレイ（T1）、クロスコンテキストのリプレイ（T2）、コンテキスト漏洩による悪用（T3）、オブザーバビリティに基づくリプレイ（T4）といった特定の脅迫を特定した。
• 強制力のギャップの特定: 著者らは、AP2の仕様には、現実世界の型エージェントのリトライやオーケストレーションに必要となる、ベリファイア側のステートフルな実行セマンティクス（例：一度のみ消費の強制および厳格な実行時コンテキスト結合）に関する規範的な定義が欠けていることを示した。
• フレームワーク設計: 静的な発行特性を超えて、実行時の明示的なコンテキスト結合と一度のみ消費のセマンティクスを強制するZTRVフレームワークを導入した。
• 実証評価: シミュレーションベースの評価を通じて、コンテキスト認識型結合と一度のみ消費の強制が、それぞれ独立しており、かつ補完的な関係にあること（どちらか一方だけでは、すべてのクラスのマンデート悪用を防ぐには不十分であること）を実証した。

4. 実験結果

本フレームワークは、標準的なAP2チェック（署名と有効期限）のみを行うベースラインのベリファイアに対し、高コンカレンシー条件下（最大10,000 TPS）で評価された。

• セキュリティの有効性: ZTRVは、評価されたすべての攻撃シナリオ（リプレイおよびコンテキスト転送攻撃）において、100%の阻止率を達成した。対照的に、ベースラインのベリファイアは、テストされた攻撃を一つも阻止できなかった。
• パフォーマンスオーバーヘッド: フレームワークは、ピークスループット時においても約 3.8 ms の安定した検証レイテンシを維持した。オーバーヘッドは暗号署名の検証によって支配されており、コンテキスト結合およびノンスレジストリの操作による追加コストは無視できる程度であった。
• スケーラビリティ: ストレージオーバーヘッドに関する研究では、必要なランタイムステートは累積的なトランザクション履歴ではなく、ピークコンカレンシーによって制限されることが明らかになった。60秒のノンスウィンドウを10,000 TPSで運用した場合でも、メモリフットプリントは約12 MBと控えめであり、クラウドネイティブなデプロイメントへの適合性を示した。
• アブレーション研究: 各メカニズムを分離した実験により、コンテキスト結合のみではクロスコンテキスト攻撃を防げるが同一コンテキストのリプレイには失敗し、一方で一度のみ消費の強制はリプレイを防ぐがコンテキスト転送には失敗することが確認された。両方のメカニズムを組み合わせることで初めて、包括的な保護が可能となった。

5. 意義と主張

本論文は、提案されたフレームワークが、エージェンティックな決済システムにおけるプロトコルの仮定とランタイムの現実との間の決定的なギャップを埋めるものであると主張している。実行時に認可プロパティを強制することにより、ZTRVは、大きなパフォーマンスオーバーヘッドを課すことなく、リプレイおよびコンテキスト結合の失敗を軽減する。

著者らは、彼らのアプローチがヒューリスティックな不正検知システムとは異なり、誤検知や検知漏れが発生しやすい性質を持つものとは一線を画す、決定論的なセキュリティ保証を暗号学的ロジックを通じて提供することを強調している。また、エージェントの決済実行のための堅牢なランタイムセキュリティは、最小限かつ予測可能なオーバーヘッドで達成可能であると断言している。

本研究は、ランタイムでの強制が、自律システムにおけるセキュアエンジニアリングの基礎的な構成要素として考慮されるべきであると結論付けている。ZTRVは実行レイヤーでの悪用に対処するものであるが、エージェントの意図を操作するセマンティックな攻撃（例：プロンプトインジェクション）を防ぐものではなく、基礎となる暗号プリミティブが侵害されていないことを前提としている。今後の課題として、ベリファイアをさらに強化するための信頼実行環境（TEE）の統合を挙げている。