技術的概要：検証可能なエージェント基盤 – 主権的 AI システムのための証明に基づく承認

1. 問題定義

現代のクラウドおよびエンタープライズシステムは、有効な資格情報を持つ呼び出し元がコマンドの実行に安全であると仮定する、アイデンティティ中心の承認モデルに依存しています。この仮定は、構文的には有効だが意味的には安全でないアクションを生成し得る自律型 AI エージェントの文脈では破綻します。エージェントに広範な常設権限を付与することは、特にエージェントが重要インフラ、規制されたデータ、金融ワークフローと相互作用する主権的 AI システムにおいて、重大な運用リスクを生み出します。

「意図統治型」サブストレート（OpenKedge など）は、エージェントが直接状態を変更するのではなく、評価のために提案を提出することを要求することで、エージェントのアクションに介入し、これを緩和します。しかし、これらは重要なギャップを残しています。すなわち、承認決定自体がしばしば監査不可能であり、単一障害点となっているという点です。解決される核心的な問題は、意図を承認する決定を検証可能、分散化、および再生可能にする方法です。具体的には、本論文は以下の問いを投げかけます：評価者が承認する安定した対象物とは何か？一時的な権限は、呼び出し元の常設ロールではなく、承認記録からどのように導出されるのか？そして、なぜ実行権限が存在したかを再構築するために、何が永続化されなければならないのか？

2. 手法：分散信頼フレームワーク（DTF）

著者は、統治された変更サブストレート向けに設計された検証レイヤーである分散信頼フレームワーク（DTF）を提案します。DTF は、信頼の所在を主体（エージェント）から決定ライフサイクルへと移行させます。これは、コンパクトな承認不変条件を強制します。すなわち、証明オブジェクトなしに高リスクの実行を行わないこと、合意なしに導出権限を付与しないこと、証拠から切り離された有効な変更を行わないことです。

このフレームワークは、4 つの主要な構成要素を通じて動作します。

2.1 正当化証明（JP）

自然言語の説明や事後の監査ログの代わりに、DTF は**正当化証明（Justification Proofs）**と呼ばれる構造化された機械検査可能なアーティファクトを利用します。JP は、権限が発行される前に、アクションの受容性の根拠を符号化します。これには以下が含まれます：

• 変更仕様（$M_t$）： 提案されたアクション。
• 境界状態とコンテキスト（$S_t$）： 決定時点における承認に関連するコンテキストのスナップショット。
• ポリシー根拠（$\Pi_t$）： 適用された特定のポリシーと制約。
• リスク評価（$R_t$）： リスクの分類と必要な承認の強度。
• 実行境界（$B_t$）： 承認された場合の許容される最大範囲（アクション、リソース、時間、および義務）。

2.2 合意検証

DTF は、独立した評価者が同じ証明オブジェクトに証明することを要求することで、承認に対する信頼を分散させます。

• 評価者スウォーム： ポリシー、状態、リスク、シミュレーション、および人間監督などの多様な評価者のセットが、同じ JP を処理します。
• 証明（Attestations）： 各評価者は、承認、拒否、または棄権を示す署名付き証明（$a_i$）と、構造化された異議を出力します。
• 合意ルール（$q$）： 統治ルールは、過半数の閾値、評価者の多様性、および拒否権に基づいて最終決定を計算します。権限は、合意が明示的に証明を承認した場合にのみ付与されます。

2.3 実行アイデンティティ（EI）

合意承認後、システムは実行アイデンティティを導出します。

• 一時権限： 常設ロールとは異なり、EI は一時的で非転送可能なトークンです。
• 範囲導出： EI の範囲は、証明から導出された境界（$B_t$）によって厳密に制限されます。システムは、アイデンティティの有効範囲が証明の境界を超えてはならないことを強制します。
• 実装： クラウド環境では、EI は制限付きセッションポリシーを持つ短命の資格情報（例：AWS STS セッション）として実装されます。

2.4 証拠チェーン（EC）

再生可能性を確保するために、DTF はすべての変更試行に対して追記専用の証拠チェーンを維持します。

• 完全性： チェーンは、意図、コンテキスト、ポリシー、正当化証明、証明、統治メタデータ、決定、実行アイデンティティ、変更試行、および結果を含む、完全なライフサイクルを記録します。
• 再生可能性： この構造により、監査人はエージェントの内部推論を再シミュレートすることなく、承認の根拠を再構築できます。

3. システム不変条件

本論文は、DTF によって強制される 4 つのコアライフサイクル不変条件を定義します。

1. 証明束縛実行： 対応する有効な正当化証明なしに、高リスクの変更は実行されません。
2. 合意ゲート権限： 合意ルールが証明を明示的に承認しない限り、実行アイデンティティは発行されません。
3. エスカレーションの禁止： 実行アイデンティティの有効権限範囲は、証明から導出された境界内に収束されなければなりません。
4. 証拠の完全性： 結果に関わらず、すべての意図提案は、構造的に完全な証拠チェーン 1 つに正確にマッピングされます。

4. 実装と評価

著者は、OpenKedge ベースの統治された変更サブストレート上に DTF をインスタンス化し、AWS 上でマイクロサービススイート（約 4,500 行の Go）として展開しました。

• アーキテクチャ： システムには、意図ゲートウェイ、正当化エンジン、評価スウォーム（ステートレスな AWS Lambda 関数を使用）、実行ブローカー、および証拠ストア（Amazon QLDB を使用）が含まれます。
• ワークロード： 評価では、破壊的なリソース終了、本番環境設定の変更、緊急ブレークグラス実行という 3 つのシナリオにわたって、10,000 件の合成エージェント変更がテストされました。
• ベースライン： システムは、(B1) 標準的な監査ログを備えた常設 IAM 資格情報と、(B2) ポリシーのみの事前チェックと比較されました。

主要な結果

• 安全性： DTF は、2,400 件のすべての安全でない変種（古い状態、欠落した依存関係、保護されたリソースのターゲティングを含む）に対して、100% のブロックまたはエスカレーション率を達成しました。対照的に、ポリシーのみのベースライン（B2）は、安全でない変更の 14% が通過することを許容しました。
• 権限の封じ込め： DTF は、平均的な実行範囲を常設資格情報の 450 リソースから、リクエストあたり正確に 1 つの承認されたリソースに削減し、権限の露出を99.7% 削減しました。
• 監査可能性： 証拠チェーンは100% の完全性を達成しました。監査人は、標準的な監査ログの 23.0% と比較して、手動のログ相関なしに 99.9% のイベントの承認ライフサイクルを再構築できました。
• レイテンシ： エンドツーエンドの決定レイテンシの平均は58.3 ミリ秒（中央値 52.6 ミリ秒）であり、99 パーセンタイルは 171.3 ミリ秒でした。著者は、このオーバーヘッドは、サブストレートのレイテンシと人間のレビュー時間によって支配される高リスク操作にとっては許容可能であると指摘しています。

5. 意義と主張

本論文は、DTF が主権的 AI 展開において、エージェント実行を統治可能、監査可能、および境界設定可能にするための基盤インフラを提供すると主張しています。

• 信頼の転換： 主要な貢献は、承認の対象を永続的な主体から記録された決定ライフサイクルへと移行させることです。システムはエージェントの内部推論を信頼する必要はありません。実行権限が明示的な証明、独立した承認、および境界設定された発行から導出されることのみを要求します。
• 検証可能性： 承認を（証明、合意、アイデンティティ、証拠という）再生可能なアーティファクトのライフサイクルとして構造化することで、DTF は従来のポリシーエンジンに内在する「監査不可能な決定ギャップ」に対処します。
• 限定的な範囲： 著者は明示的に、DTF は正しいポリシーを合成するものでも、グローバルに最適な決定を保証するものでも、エージェント内でのプロンプトインジェクションを解決するものでもないと述べています。その価値はアーキテクチャ的であり、記録された証明、記録された承認、境界設定された発行、および永続的な証拠なしに、高リスクの権限が正当に具現化されることを防ぎます。結果は、既知の変更クラスを持つ制御された、アーキテクチャ制御のシナリオ内で検証されたものであり、無制限のインターネット規模のベンチマークではありません。

本論文は、「証明なしに高リスクの実行を行わず、合意なしに権限を付与せず、証拠から切り離された有効な変更を行わない」という不変条件を強制することにより、DTF が承認を監査の願望から、実行可能で検証可能なライフサイクルへと変換すると結論付けています。