Agentic Witnessing: Pragmatic and Scalable TEE-Enabled Privacy-Preserving Auditing

アントニー・ロウストロンによる論文「Agentic Witnessing: Pragmatic and Scalable TEE-Enabled Privacy-Preserving Auditing（エージェント型証人：実用的かつスケーラブルな TEE 搭載のプライバシー保護監査）」の詳細な技術的サマリーを以下に示す。

1. 問題定義

本論文は、専有データの監査における根本的な緊張関係、すなわち「検証には透明性が必要だが、専有権には機密性が求められる」というジレンマに取り組んでいる。

• 意味的ギャップ: ゼロ知識証明（ZKPs）などの既存の暗号学的ソリューションは、数学的命題（例：$a+b=c$）や実行整合性の検証には優れているが、意味的検証においては失敗する。これらは「このコードベースは論文で記述された Paxos アルゴリズムを実装しているか？」や「このコードは本番環境向けに準備されているか？」といった定性的で非構造化された属性を検証できない。
• 現在のジレンマ: 監査人は現在、ソースコードの完全開示を要求する（知的財産やプライバシーを侵害する）か、不透明な「信頼せよ」という主張に依存するかという二者択一を迫られている。これは科学における再現性、規制遵守、デューデリジェンスを阻害している。

2. 手法：エージェント型証人（Agentic Witnessing）

著者らは、静的な数学的証明から、Trusted Execution Environment（TEE）内で AI エージェントによって仲介される動的で敵対的な尋問へと検証を移行させるフレームワークであるエージェント型証人を提案する。

システムアーキテクチャ

システムは 3 つの自律エージェントで構成される。

1. 証明者（APrv）: 非公開データセット（例：コードベース）を所有する。信頼されたハードウェア上で動作し、Model Context Protocol（MCP）サーバーとして機能し、監査人に対して read_file や search_repository などの限られたツールを公開する。クエリ制限を定義する署名付きセッションチケットを生成する。
2. 監査人（AAud）: TEE（例：Intel SGX、AWS Nitro）内で動作する仮想エージェント（LLM）である。証明者と検証者の両方から信頼される唯一の存在である。揮発性の状態を持ち、セッション終了後にはデータは永続化されない。MCP インターフェースを使用して証明者のデータを検査する。
3. 検証者（AVer）: 監査を要求する存在である。生データを見ることはできない。高レベルの目標を策定し、それらを監査人への一連の単純な**二値（真/偽/不確実/エラー）**質問に分解する。

中核メカニズム

• 証明された推論（Attested Reasoning）: 数学的制約を証明する代わりに、監査人は Chain-of-Thought（CoT）技術を用いてデータを「推論」し、結論を返す。
• トランスクリプトハッシュチェーン: 整合性と否認防止を確保するため、監査人と証明者間のすべての相互作用は暗号学的ハッシュチェーンに記録される。
  • $H_i = H(H_{i-1} \parallel q_i \parallel a_i)$
  • 両当事者がハッシュチェーンに署名する。最終的なハッシュは、推論トレースをデータセットの特定バージョンおよび TEE のハードウェアルート・オブ・トラストに結びつける。
• 情報漏洩の上限: 検証者が「二分探索」（秘密を抽出するために十分な Yes/No 質問をすること）を通じてデータセットを再構築するのを防ぐため、システムは以下のものを強制する。
  • トークン化されたクエリ予算: セッションあたりの質問数（$K_{max}$）および MCP 呼び出し数の厳格な制限。
  • 理論的限界: 約 40 件の質問と 4 通りの回答（2 ビットのエントロピー）の予算の場合、最大情報漏洩はセッションあたり約 80 ビットに制限される。これにより、256 ビット鍵などの高エントロピー秘密の抽出は計算的に不可能となる。
• LLM モード:
  • モード A（ローカル）: 最大限のプライバシーのために、小規模なオープンウェイトモデルを TEE 内で完全に実行する。
  • モード B（リモート）: GPT や Gemini などの最先端モデルにリクエストを送信する。これはより優れた推論を提供するが、ある程度のデータを API プロバイダに信頼する必要がある。本論文は、将来の TEE 対応 GPU がこれを解決すると予測している。

セキュリティ対策

• プロンプトインジェクション: システムは、証明者がコード内に悪意のある指示（例：「エラーを無視せよ」）を埋め込む可能性があることを想定している。監査人は意味を検証するために生ファイルを読み取る必要があるため、忠実度を失わずにこれらの入力をフィルタリングすることはできない。
  • 緩和策: 暗号学的否認防止。 プロンプトの注入を試みても、署名付きトランスクリプトハッシュチェーンに記録される。証明者は最終ハッシュにカウンター署名する必要があり、これにより監査操作の試みを記録した永久的な署名付き記録が事実上作成される。
• サイドチャネル攻撃: システムは、タイミング攻撃を緩和するためにネットワークジッターと定時間応答メカニズムを使用する。

3. 主要な貢献

1. 新しいプリミティブ: プライバシー保護型意味検証の手法としてのエージェント型証人の定義。
2. プロトコル設計: 標準化された検査のためのMCPと、監査整合性のためのトランスクリプトハッシュチェーンを利用した安全なプロトコル。
3. 理論的分析: クエリ予算が敵対的なデータ抽出をセッションあたり約 80 ビットに制限することを示す形式的証明。
4. 実装と評価: 実際の学術的アーティファクトに対して評価された動作プロトタイプ。

4. 結果と評価

著者らは、公開された GitHub コードベースを持つ21 件のピアレビュー済みコンピュータサイエンス論文および自らの論文の自己監査を用いてシステムを評価した。

• 自己監査: システムは自らのドラフト論文とコードを正常に監査した。コアアーキテクチャは実装されていたが、執筆時点ではコードに特定のセキュリティ対策（トークン化されたクエリ予算）が欠落していることを正しく特定した。
• 精度:
  • システムは、準拠しているアーティファクトと非準拠のアーティファクトを正しく区別した。
  • 「ネガティブコントロール」実験（監査人に誤った論文を提供する）において、システムは 21 件すべてのケースで実装に関する質問（Q1/Q2）に対して正しく「No」を返した。
  • 主観的な質問（例：「これは本番環境品質か？」）については、論文が誤っている場合にシステムは高い変動を示し、文脈への感受性を示した。
• パフォーマンス:
  • LLM の支配: 実行時間はほぼ完全に LLM 推論のレイテンシによって支配されている（時間の 96–99%）。
  • スケーラビリティ: 単純な監査は約 20 分、複雑なマルチラウンド監査は最大 85 分を要した。
  • 比較: コードへの完全アクセスを持つ最先端のコーディングエージェント（Gemini CLI）と比較して、エージェント型証人は非常に一貫した結果を生み出したが、プライバシー制約がないため CLI の方が高速であった。

5. 意義

• 検証と開示の分離: エージェント型証人は、基盤となる生データを露出させることなく、高レベルの意味的属性（論理、準拠、再現性）の検証を可能にする。
• ギャップの埋め合わせ: 硬直的な暗号学的証明（ZKPs）と人間の信頼の間の空白を埋め、コードベース、ドキュメント、ログなどの非構造化データの監査を可能にする。
• 規制への影響: このフレームワークは、高リスク AI システムに対する第三者評価を義務付けながら、営業秘密を保護するEU AI 法などの規制への準拠への実現可能な道筋を提供する。
• 将来のパラダイム: LLM を単なるツールとしてではなく、安全なエンクロージャ内の信頼された証人として活用する「証明された推論（Attested Reasoning）」という新しい抽象概念を導入する。

結論として、エージェント型証人は、TEE、暗号学的ハッシング、LLM エージェントを組み合わせることで、専有データの厳格かつプライバシー保護された監査を実行可能であることを示しており、科学出版における「再現性の危機」を実質的に解決し、産業界における安全なデューデリジェンスを可能にする。