技術要約：カストディ・エンベロープの閾値（The Custody Envelope Threshold）

問題提起

現代の組織的インフラストラクチャは、外部で維持されているアーティファクト（例：パッケージ依存関係、コンテナイメージ、CI/CDアクション、Terraformモジュール、モデルの重み）に大きく依存している。これらのアーティファクトを個々の開発者が取得し構成することは容易であるが、機関（組織）は、それらが失敗した後の受理、統治、取り消し、あるいは防御を行うことに苦慮している。SLSA、NIST SSDT、MicrosoftのS2C2Fといった既存のフレームワークは、プロデューサーの完全性、安全な開発慣行、または安全な消費の成熟度に焦点を当てている。しかし、これらはある決定的な経験的パズルを説明できていない。すなわち、「なぜ同等のアーティファクト・クラスが、異なる制度的結果をもたらすのか」という問題である。一部のアーティファクトは直接受理される一方で、他はプロキシ化され、ポリシーによって媒介され、ベンダーによって媒介され、内部化され、あるいは拒絶される。本論文は、既存の文献には、なぜ異なるアーティファクト・クラスが異なるカストディ（保管・管理）条件に拘束されるのか、そして機関がいかにしてガバナンス・モードを選択するのかを説明する記述的・予測的モデルが欠けていると主張する。

メソドロジー

本論文は、アーティファクト受理の権限スケール・モデルである**カストディ・エンベロープ閾値（Custody Envelope Threshold）**を提案する。メソドロジーは以下のように構成される：

1. 理論的系譜： 本モデルは、リファレンス・モニターの伝統（最小権限、完全な媒介）と、トランザクション費用経済学（比較制度的選択としてのガバナンス・モード）を統合したものである。
2. インストルメント（測定器）： 4つの条件からなる順序尺度を用いて、特定の利用文脈におけるアーティファクトをスコアリングする：
   • 実行権限 ($A$)： アーティファクトが付与される権限レベル（0：非実行、3：特権的なプロダクション/インフラ）。
   • オブジェクト識別性 ($I$)： アーティファクトのアイデンティティの安定性と検証可能性（0：不安定/暗黙的、3：検証可能/ポリシーに拘束されたもの）。
   • イングレス・パス ($G$)： アーティファクトが機関に流入する方法に対する制御（0：直接的なパブリック・フェッチ、3：ポリシーによって強制された境界）。
   • 取り消し能力 ($R$)： 受理後にアーティファクトをブロック、削除、または置換する能力（0：経路なし、3：監査可能な迅速な取り消し）。
3. 閉鎖ルール（Closure Rule）： 直接的な制度的受理は、カストディの最弱のリンクが権限閾値を満たす場合にのみ正当化される：
   $$\min(I, G, R) \ge A$$
   この条件が満たされない場合（$D = A - \min(I, G, R) > 0$）、「カストディの欠損（custody deficit）」が存在する。
4. ガバナンス選択ヒューリスティック： 直接的な受理が失敗する場合、機関は欠損を解消できる最も負担の少ないガバナンス・モードを選択する。この選択は以下に依存する：
   • 局所的カストディ特異性 ($S$)： 安全な使用のために、どれだけの機関固有の知識が必要か（0：コモディティ、3：機関固有）。
   • 外部による閉鎖の可用性： 外部プロバイダーが不足している境界を提供できるかどうか。
   • 制度的精査 ($Q$)： 外部または内部のレビュー圧力。
5. 導出と検証： モデルは6つの導出ケース（パッケージ依存関係、GitHub Actions、コンテナイメージ、Terraformプロバイダー/モジュール、デベロッパー拡張機能、オープンモデルのアーティファクト）に適用される。これは curl | bash フローに対してストレス・テストされ、Model Context Protocol (MCP) サーバーの保持されたエビデンスに対して評価される。検証デザインとして、権限のスケーリング、結合の欠損、文脈依存性、および精査の相互作用に関する4つの仮説をテストするための、入力と出力の独立したコーディングを含むプロセスが提案されている。

主要な貢献

• 記述的・予測的モデル： 処方的な成熟度フレームワーク（S2C2Fなど）とは異なり、本論文は、アーティファクトの権限とカストディの閉鎖の相互作用に基づいて、機関がなぜ特定のガバナンス・モード（プロキシ、ポリシー媒介、ベンダー媒介、内部化、隔離）を選択するのかを予測するモデルを提供する。
• 権限スケール・カストディ： 本論文は、カストディの要件は静的なものではないことを確立している。それは、アーティファクトに委譲された実行権限に応じてスケールする。低権限のアーティファクトには緩やかな制御で足りるが、高権限のアーティファクトには強力な識別性、制御されたイングレス、および迅速な取り消しが求められる。
• ガバナンス・モードのタクソノミー： 6つの異なるガバナンスの結果を、単なる任意のラベルとしてではなく、委譲された権限下でのカストディ欠損に対する経済的応答として定義する。
• 運用的インストルメント： 識別性、イングレス、取り消し、および特異性のための決定論的なスコアリング・ルーブリック（0–3）を提供し、主要なガバナンス・モードを機械的に予測することを可能にする。
• 保持されたエビデンス (MCP)： 本論文は、MCPサーバーを保持されたアーティファクト・クラスとして導入し、新たなガバナンス表面（レジストリ、ゲートウェイ、スコープ化された認可）が、高権限のAIツールに対してモデルが予測する通りに具体化していることを示している。

結果と観察

6つの導出ケースへのフレームワークの適用により、以下のパターンが得られた：

• パッケージ依存関係： 通常、イングレスおよび名前空間解決の欠損を示す。予測されるモードはプロキシ型（内部フィード、ミラー）である。
• GitHub Actions： 変更可能なアイデンティティと高い権限の欠損に直面することが多い。予測されるモードはポリシー媒介型（フルSHAによる固定、ホワイトリスト）または隔離型である。
• コンテナイメージ： しばしば取り消しおよびイングレスの欠損に苦しむ。モードは、キュレーションされたランタイム制御を伴うプロキシ型である。
• Terraformプロバイダー： 高い権限を持つものの、強力なアイデンティティ（署名）とイングレス（ミラー）により、署名およびロックされた配布による受理が可能となる。
• Terraformモジュール： ローカルのカストディ特異性（アーキテクチャ上の知識）に拘束される。モードは内部化（内部へのコピー/ラップ）である。
• デベロッパー拡張機能： エンドポイントの権限と更新制御の欠損に直面する。モードはポリシー媒介型またはカタログ媒介型である。
• オープンモデルのアーティファクト： 高権限の文脈において、安全なロードメカニズムや取り消しパスを欠くことが多い。モードはベンダー媒介型（管理されたカタログ）または隔離型である。
• MCPサーバー（保持されたケース）： 初期のエビデンスは、エコシステムの成熟に伴い、高権限のMCPサーバーがベンダー媒介型のガバナンス（ゲートウェイ、カタログ）へと移行していることを示唆している。

本論文は、精査が低い文脈では curl | bash が存続するが、精査が高い環境ではそれが変換またはブロックされることを指摘しており、これは「精査がカストディの強化への収束を駆動する」というモデルの予測を裏付けている。

意義と主張

本論文は、分析の単位を「オープンソースの承認」から「アーティファクト・クラスの受理」へとシフトさせることを主張する。その中心的な意義は、機関の分岐を説明する反証可能なフレームワークを提供することにある：

1. 反証可能性： 高精査の機関が、媒介なしに弱いカストディ閉鎖を持つ高権限のアーティファクトを日常的に受理する場合、モデルは弱体化する。逆に、強力なカストディ閉鎖が受理と相関しない場合も、モデルは弱体化する。
2. ガバナンス経済学： 本論文は、セキュリティ上の決定を、リスク許容度に対してカストディの欠損を埋める負担を最小化しようとする経済的選択として再定義する。
3. 予測力： フレームワークは、パブリック・アーティファクトの使用が増加し続ける一方で、真剣なプロダクションの経路においては、直接的なパブリック・フェッチが減少し、プロキシ、キュレーションされたレジストリ、およびゲートウェイに取って代わられることを予測する。
4. 先行研究との区別： 本論文は、プロデューサーの完全性や安全な開発慣行に焦点を当てるSLSAやNIST SSDFとは異なり、受理の決定と、アーティファクト・クラス間での結果の分岐に焦点を当てることで、それらと一線を画している。

本論文は、機関は単にアーティファクトが有用であるからといってそれを受理するのではなく、その有用性が、許容可能なガバナンス負担の下で、権限スケール・カストディへと変換できる場合にのみ受理するのだと結論づけている。