AIP: Agent Identity Protocol for Verifiable Delegation Across MCP and A2A
MCP および A2A におけるエージェントの身元検証と委任の欠陥を解決するため、公開鍵による検証可能な委任、保持者側の権限縮小、表現力のある連鎖ポリシー、およびプロベナンス指向の記録を単一のトークンチェーンに統合した「Invocation-Bound Capability Tokens (IBCTs)」を提案し、その実用性と堅牢性を実証する。
原論文は CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) でライセンスされています。 これは以下の論文のAI生成解説です。著者が執筆または承認したものではありません。技術的な正確性については原論文を参照してください。 免責事項の全文を読む
この論文は、AI エージェント（自律的に行動する AI）が互いに協力したり、ツールを使ったりする際に生じる**「誰が何をしていいか、そしてその命令が本当に信頼できるのか？」**という大きな問題に対する、新しい解決策を提案しています。
タイトルは「AIP（エージェント識別プロトコル）」ですが、わかりやすく言うと、**「AI 同士の『信頼できる委任状』と『行動の履歴帳』を一つにまとめた新しいシステム」**です。
以下に、難しい技術用語を使わず、日常の比喩を使って解説します。
1. 問題：AI が「なりすまし」や「命令の拡大」をするリスク
今の AI エージェントは、他の AI に「この仕事を頼むよ」と delegate（委任）したり、ツールを使ったりできます。しかし、現状には大きな欠点があります。
- 身分証明がない： 「私は Google の AI です」と言っても、それが本当かどうか確認する仕組みが弱いです。
- 命令の範囲が広がってしまう： 「検索だけして」と頼んだのに、勝手に「銀行口座を操作して」という命令に拡大されてしまうリスクがあります。
- 履歴が残らない： 誰が誰に頼んで、誰が実行したのか、その「つながり」が記録されず、何か問題が起きた時に誰のせいかわかりません。
【比喩：会社の受付と鍵】
今の状態は、会社の受付に「鍵を渡す」ようなものです。
「この鍵で A 社の部屋（検索機能）だけ開けてね」と頼んでも、受け取った人が「実は B 社の金庫（銀行機能）も開けちゃったよ」と言われても、誰がいつ開けたか、誰が許可したかが記録されていません。しかも、その鍵を持っている人が本当に A 社の社員かどうかも、確認が甘いです。
2. 解決策：AIP と「IBCT（呼び出し縛り能力トークン）」
この論文が提案するAIPは、AI 同士のやり取りに**「二重のセキュリティ」と「完全な履歴」をつける仕組みです。その中心となるのがIBCT**という「デジタルな委任状」です。
① 2 つのモード（使い分け）
このシステムは、状況に合わせて 2 つの形をとります。
- コンパクトモード（簡易版）：
- 例： 「1 回きりの買い物」のような、単純なタスク。
- 仕組み： 普通の「署名付きのレシート（JWT）」のようなもの。軽く、高速です。
- チェーンモード（完全版）：
- 例： 「A が B に頼み、B が C に頼み、C が実際に作業する」という、複雑な連鎖。
- 仕組み： **「積み木」**のようなものです。
- 最初の親（人間や管理 AI）が「ここまでは OK」という**土台（ブロック 0）**を作ります。
- 次の AI は、その土台の上に**「私はこれをやる」**という新しいブロックを積み、署名します。
- さらに次の AI も、**「私はさらにこれをやる（でも範囲は狭める）」**とブロックを積みます。
- 重要： 積み木は**「上に行くほど範囲が狭くなる」**というルールがあります。親が「検索だけ」と制限したのに、子が「銀行操作」を足そうとすると、積み木が崩れて（検証に失敗して）その命令は拒否されます。
② 3 つの強力な特徴
この「積み木（IBCT）」には、従来のシステムにはなかった 3 つのすごい特徴があります。
- 身分証明（誰が？）：
- AI が「私は誰です」と主張する際、ブロックチェーンのような重い仕組みを使わず、**「自分の鍵で署名した身分証明書」**を提示します。これにより、なりすましを防ぎます。
- 範囲の制限（何まで？）：
- 「親からもらった権限」を、「子」が勝手に広げることができません。 親が「検索だけ」と制限すれば、子は「検索」しかできません。これを「減衰（アテニュエーション）」と呼びますが、**「権限は下に行くほど小さくなる」**という物理的なルールで守られています。
- 完全な履歴（どうなった？）：
- 作業が終わると、最後に**「完了ブロック」**を積み上げます。「誰が、いつ、何をして、結果はどうだったか」がすべて記録されます。これにより、後から「誰がやったのか」を完全に追跡できます。
3. 性能：本当に遅くなるの？
「セキュリティを強化したら、AI の動きが遅くなるのでは？」という心配があります。しかし、実験結果は驚くほど軽快でした。
- スピード： この「署名と確認」にかかる時間は、0.05 ミリ秒（Rust 言語の場合）です。人間が瞬きをする間（約 100〜400 ミリ秒）の 1/2000 以下です。
- 実用性： 実際の AI（Gemini 2.5 Flash など）が考える時間（約 2 秒）に比べれば、このセキュリティチェックは**0.08%**の時間しかかかりません。
- 結論： 「セキュリティを強化しても、AI の動作はほとんど遅くならない」ことが証明されました。
4. 攻撃への強さ
研究者は、600 回もの攻撃シミュレーションを行いました。
- なりすまし： 100% 撃退。
- 権限の拡大： 100% 撃退。
- 記録の改ざん： 100% 撃退。
特に、従来のシステムでは防げなかった**「命令の連鎖が深くなりすぎた場合」や「記録を消して隠蔽しようとする」**ような巧妙な攻撃も、この「積み木（チェーン）」の仕組みなら 100% 検知できました。
まとめ：なぜこれが重要なのか？
AI が「お金を使ったり、他の AI に仕事を頼んだり」する未来が来る中で、**「誰が、何を、どの範囲まで、誰に頼んでやったのか」**を明確にする必要があります。
この論文が提案するAIPは、
- 「身分証明書」（誰か）
- 「制限付きの委任状」（何までできるか）
- 「改ざんできない履歴帳」（どうなったか）
これらを**「一つのデジタルトークン」にまとめました。まるで、「魔法のパスポート」**を持っていて、そのパスポートに「この国（システム）では A までしか通れない」というスタンプが押され、さらに「誰がどこを通ったか」がすべて記録されるようなものです。
これにより、AI エージェントが安全に、信頼して、複雑なタスクを協力して行えるようになる未来への第一歩が示されました。
自分の分野の論文に埋もれていませんか？
研究キーワードに一致する最新の論文のダイジェストを毎日受け取りましょう——技術要約付き、あなたの言語で。