論文要約：「Admission to Invariants: Measuring Deviation in Delegated Agent Systems」

この論文は、自律エージェントシステムにおけるガバナンスの構造的限界と、それを克服するための新しい監視層「不変測定層（Invariant Measurement Layer: IML）」の提案について論じています。著者は、従来の強制（Enforcement）ベースの監視メカニズムでは、エージェントの行動が許容範囲内にあるように見えても、実際には admission time（承認時）に定義された行動契約から逸脱している「隠れたドリフト（Hidden Drift）」を検出できないことを数学的に証明しました。

以下に、問題定義、手法、主要な貢献、結果、および意義について詳細にまとめます。

1. 問題定義：強制ベース監視の構造的盲点

自律エージェントシステムは、通常、ランタイムでハード制約違反を検知する「強制エンジン（Enforcement Engine）」によって管理されています。しかし、Agent Control Protocol (ACP) の研究 [5] で指摘されたように、このアーキテクチャには根本的な限界があります。

• 局所観測性の仮定 (Local Observability Assumption): 既存の強制信号 $g$ は、個々のアクションが静的なルールセットに違反するかどうかを「局所的」に評価します。
• 行動空間の不一致: 承認時に定義された「許容行動空間 $A_0$」は、行動の分布、委任の深さ、文脈の整合性など、軌跡全体（グローバル）の性質に基づいて定義されます。
• 検出不能なドリフト: エージェントがハード制約（例：禁止ツールの使用、最大委任深度の超過）を破らずに、行動分布を徐々に変化させ（ドリフト）、$A_0$ から逸脱する場合、従来の強制信号 $g$ は常に「正常（0）」を返します。
• 核心課題: 強制信号 $g$ のみから、エージェントが $A_0$ 内に留まっているかどうかを判定することは構造的に不可能です。

2. 主要な理論的貢献

論文は、以下の 3 つの主要な定理（T1, T2, T3）によってこの問題を形式化し、解決策を提示しています。

T1: コンプライアンスと不変性のギャップの存在 (Existence of the compliance-invariance gap)

• 主張: 局所観測性の仮定の下では、強制信号 $g(\tau)=0$（違反なし）を満たすが、実際には $A_0$ に属さない（$\tau \notin A_0$）軌跡 $\tau$ が必ず存在します。
• 意味: 強制システムが「正常」と判断する領域の中に、実際には許容範囲から外れた行動が含まれていることが数学的に保証されます。

T2: 強制下での $A_0$ の非識別性 (Non-Identifiability of $A_0$)

• 主張: 強制信号 $g$ が生成する $\sigma$-代数 $\sigma(g)$ は、許容行動空間 $A_0$ を含みません（$A_0 \notin \sigma(g)$）。
• 意味: どのような高度なリスクスコアリング関数やルールセットを設計しても、強制信号 $g$ の出力のみから $A_0$ への所属性を復元することは不可能です。これは情報理論的な不可能性であり、システム設計の改善では解決できません。

T3: IML による回復可能性 (IML Recoverability)

• 主張: 承認時の「生成モデル（スナップショット）」に直接アクセスする「不変測定層（IML）」を導入することで、逸脱度 $D(\tau, A_0)$ を一貫して推定し、有限の検出遅延でドリフトを検出できることを証明します。
• 意味: $A_0$ の参照（スナップショット）を保持することで、強制システムが盲点とする領域での監視が可能になります。

3. 手法：不変測定層 (IML)

IML は、強制信号 $g$ ではなく、承認時に取得した行動分布のスナップショット $A_0^{emp}$ に基づいて逸脱を測定します。

• 設計原理:
  • 承認時に、ツールの使用分布 ($P_{E0}$)、委任の深さの統計量 ($\mu_{depth}, \sigma_{depth}$) などを「凍結（frozen）」し、ランタイム中に更新しません。
  • エージェントの現在の行動分布をこの凍結した参照と比較します。
• 逸脱の分解 (Deviation Decomposition):
  総逸脱スコア $\hat{D}$ は、以下の 3 つの成分の加重和として計算されます：
  1. 時間的ドリフト ($D_t$): 現在のツール分布と承認時分布の間の Jensen-Shannon 発散 (JS Divergence)。
  2. 制約近接度 ($D_c$): 行動の平均リスクスコア（事前定義されたリスク値の平均）。
  3. 系譜逸脱 ($D_l$): 観測された平均委任深度と承認時の期待値との正規化された距離。
• 特徴: 従来の異常検知（履歴ベース）とは異なり、参照分布がエージェントのドリフトに合わせて変化しないため、漸進的な変化に対して感度を維持します。

4. 実験結果

4 つの実験環境（3 つの制御されたドリフトシナリオ、n8n ウェブフックパイプライン、LangGraph エージェント）で理論を検証しました。

• シナリオ:
  1. ツールドリフト: 安全なツールの使用率が減少し、境界的なツールの使用率が増加。
  2. 委任ドリフト: 委任の深さが徐々に増加。
  3. 文脈ドリフト: 意味的なプロンプト変化による行動分布のシフト。
• 結果:
  • 強制信号: 全実験（300 ステップ、1000 ステップ、実運用環境）において、強制信号 $g$ は0 回の違反を記録しました（T2 の実証）。
  • IML の検出: IML の逸脱スコア $\hat{D}$ は単調に増加し、すべてのドリフトタイプを 9〜258 ステップ以内に検出しました（T3 の実証）。
  • ベースラインとの比較: 従来の異常検知器（履歴ベース）は、ドリフトが進むにつれて参照分布が汚染され、検出感度が低下しました。一方、IML は凍結された参照により、長期的なドリフトを正確に捉えました。
  • LangGraph 検証: 決定論的なツール選択を行う実エージェントフレームワークでも、強制信号はゼロのまま、IML がドリフトを検出しました。

5. 意義と結論

• ガバナンス・アーキテクチャの再定義:
  エージェントのガバナンスには、単一の強制メカニズムでは不十分であり、以下の 3 層構造が必要であると結論づけています：
  1. Admission (ACP): 承認時に $A_0$ を定義・記録する。
  2. Invariant Monitoring (IML): 強制が盲点とする領域で、行動が $A_0$ からどれだけ逸脱しているかを監視する。
  3. Enforcement: ハード制約違反に対してのみ介入する。
• 理論的インパクト:
  「局所観測性」を持つシステムでは、グローバルな行動契約の遵守を局所的なルールチェックだけで検証できないという構造的な不可能性を証明しました。
• 実用的価値:
  IML は軽量なスナップショットを保持するだけで実装可能であり、既存の強制システムを置き換えるのではなく、それを補完する「第 2 層」として機能します。これにより、漸進的な目標の再解釈や委任の深さの増大など、従来のシステムでは見逃されがちな「許容範囲内での危険なドリフト」を検出できるようになります。

この論文は、エージェントガバナンスに関する 4 部作シリーズの第 2 弾であり、第 1 弾（ACP）で示された「状態を伴う承認制御」の必要性を補完し、完全なガバナンス・スタックの基礎を築くものです。