論文「Right to History: A Sovereignty Kernel for Verifiable AI Agent Execution」の技術的サマリー

この論文は、AI エージェントが人間の代わりに行動する際、その行動記録が改ざん可能で検証不可能であるという根本的な課題を提起し、**「History への権利（Right to History）」**という新しい原則を提案しています。具体的には、個人ハードウェア上で動作する AI エージェントのすべての行動について、完全で検証可能かつ改ざん検知可能な記録を個人が保持する権利を確立し、これを技術的に実現する「PunkGo」と呼ばれるソブリンティカーネルを設計・実装しました。

以下に、問題定義、手法、主要な貢献、評価結果、および意義を詳細にまとめます。

1. 問題定義：AI エージェント時代の説明責任の欠如

• 背景: AI エージェントはメール送信、ファイル操作、コード実行、外部 API 呼び出しなど、多様な行動を人間に代わって実行するようになっています。
• 課題:
  • 検証可能性の欠如: 現在のシステムには、「誰が」「いつ」「何を」「どの権限で」実行したかを示す暗号学的な証明（改ざん検知可能な記録）が存在しません。
  • 規制とのギャップ: EU AI 法（2026 年 8 月施行予定）や NIST のリスク管理フレームワークは、高リスク AI システムへの自動ログ記録と透明性を義務付けていますが、現在のエージェントフレームワーク（LangGraph, OpenAI SDK など）は、単なる一時停止機能やブーリアンフラグに留まり、永続的で検証可能な記録を提供していません。
  • 個人ハードウェアの特殊性: クラウドプロバイダーがログを管理する従来のモデルとは異なり、ユーザーが自身のハードウェアでエージェントを実行する場合、ログの完全性を保証する中央集権的な存在が不在です。
• 核心: 「データへのアクセス権」から「行動記録へのアクセス権」へと拡張する必要性が指摘されています。

2. 手法とアーキテクチャ：PunkGo カーネル

提案されたシステム PunkGo は、Rust で実装された「ソブリンティカーネル（Sovereignty Kernel）」であり、AI エージェントの行動を記録・検証するための信頼計算基盤（TCB）として機能します。

2.1 基本設計思想

• カーネルを TCB として: LLM（大規模言語モデル）自体を信頼するのではなく、LLM が生成した行動を記録・検証する「カーネル」を唯一の信頼基盤とします。
• 3 層アーキテクチャ:
  1. カーネル層 (TCB): イベントログ、エネルギー台帳、境界チェッカー、ペイロードバリデータ、監査証明器を含む。すべてのコミットポイント。
  2. エージェント層: LLM 推論やツール実行を行い、結果をカーネルに提出する（実行環境はエージェントの責任）。
  3. クライアント層: ダッシュボード、承認インターフェース、履歴ブラウザを提供。

2.2 主要なメカニズム

1. RFC 6962 準拠の Merkle 木ログ:
   • すべての行動イベントを「追記のみ（Append-Only）」のログに記録します。
   • 包含証明（Inclusion Proof）と整合性証明（Consistency Proof）を O(log n) のサイズで生成し、第三者による独立した検証を可能にします。
2. 能力ベースのアクセス制御 (Capability Model):
   • 各アクター（人間・エージェント）に「書き込み可能ターゲット（writable_targets）」を宣言させます。
   • デフォルトは拒否（Default Deny）であり、宣言された範囲を超えた行動は即座に拒否されます。
3. エネルギー・ガバナンスモデル:
   • ハードウェアの計算能力（TOPS など）を基に「エネルギー」を生成・配分します。
   • 各アクションにコストを割り当て、エージェントがリソースを枯渇させたり、無限ループに陥ったりするのを防ぎます。
4. Hold Mechanism（人間による承認メカニズム）:
   • 高リスクな行動や特定の条件に合致する際、エージェントは実行を一時停止し、人間の承認を求めます。
   • 経済的制約: 承認リクエスト自体にエネルギーコストを課し、承認を拒否またはタイムアウトした場合でも「コミットメントコスト（予約エネルギーの 20%）」を徴収します。これにより、境界を無意味に探る攻撃（プロベリング）を抑制します。

2.3 5 つのシステム不変条件（Invariants）

論文は、以下の 5 つの数学的・論理的な不変条件を定義し、その妥当性を証明しています。

1. 追記のみ (Append-Only): ログは一度書き込まれたら削除・変更できません。
2. 完全性 (Completeness): 境界チェックとエネルギー要件を満たしたすべての行動は、ログに記録されます。
3. 完全性 (Integrity): Merkle 木のルートハッシュがログの内容を正確にコミットしており、改ざんを検知できます。
4. 境界強制 (Boundary Enforcement): 宣言された権限範囲を超えた行動はコミットされず、ログにも残されません。
5. エネルギー保存則 (Energy Conservation): エージェントは割り当てられたエネルギーを超えて消費することはできません。

3. 主要な貢献 (Contributions)

1. 形式的フレームワークの提案:
   • 「History への権利」を定義し、AI エージェントの行動監査のための形式的モデル（Actor, Energy, State）と 5 つの不変条件を提示しました。
2. PunkGo カーネルの実装:
   • Rust で実装された、Merkle 木ログ、能力ベースの隔離、エネルギー管理、人間承認メカニズムを統合したカーネルです。
   • LLM を TCB とする既存の AIOS と異なり、検証可能なカーネルを TCB とします。
3. 主権の逆転 (Sovereignty Inversion):
   • 既存研究が「エージェントが人間からいかに主権を維持するか」を問うのに対し、本論文は「人間がエージェントに対していかに主権を維持するか（行動記録の所有権）」を問う点に革新性があります。
4. 実証的検証:
   • 敵対的テストにより 5 つの不変条件がすべて成立することを確認し、パフォーマンス評価を行いました。

4. 評価結果

• レイテンシ:
  • アクションごとの中央値レイテンシは 1.3ms 未満（observe: 0.66ms, execute: 1.25ms など）。
  • 保存 I/O がボトルネックですが、個人利用には十分高速です。
• スループット:
  • 約 400 アクション/秒 の連続コミットを達成しました。
• 証明の効率性:
  • ログエントリが 10,000 件の場合、包含証明のサイズは 448 バイト（14 ハッシュ）のみで、O(log n) のスケーリングを示しています。
• セキュリティ検証:
  • 特権昇格、ログ改ざん、エネルギー枯渇、承認バイパスなどの攻撃シナリオに対して、すべての不変条件が防御機能として機能することを確認しました。

5. 意義と将来展望

• 規制対応: EU AI 法などの「自動ログ記録」要件を、中央集権型プロバイダーに依存せず、個人が自身のハードウェアで自己準拠（Self-compliance）できる形で満たす道を開きました。
• アーキテクチャ的転換: 単なる機能追加ではなく、システム構造そのものを「検証可能な行動記録」を中心に再設計するアプローチ（Right to History）を提唱しています。
• 将来の課題:
  • 分散環境への拡張（コンセンサスプロトコルの導入）。
  • 機械検証（Verus 等を用いた形式検証）。
  • TEE（Trusted Execution Environment）との統合による、レベル 2（権限を持つプラットフォーム攻撃者）への防御強化。
  • プライバシー（削除権）との調整（暗号化による削除など）。

結論

この論文は、AI エージェントの自律性が進む中で、人間がその行動を「検証可能」に追跡する権利と技術的基盤を確立しました。PunkGo カーネルは、暗号学的な完全性、能力ベースの隔離、経済的制約を組み合わせることで、AI エージェントの「黒箱」化を防ぎ、透明性と説明責任を技術的に担保する新しいパラダイムを提示しています。