技術要約：セマンティック・クォーラム保証 (Semantic Quorum Assurance: SQA)

1. 問題提起

大規模言語モデル（LLM）エージェントが自律的なクラウド運用に統合されるにつれ、それらはインフラストラクチャの制御プレーンに対して変異権限（mutative authority）を獲得する。これらのエージェントは、構文的に正しく、静的に許可された変更（例：IAMポリシーの修正、ファイアウォールルールの開放、またはデータエクスポートの実行）を提案できる一方で、セマンティックな信頼性の問題を引き起こす。

古典的な分散合意プロトコル（PaxosやRaftなど）は、状態遷移がノード間で一貫して複製されることを保証するが、それらの遷移が決定論的であり、厳格なルールによって事前検証されていることを前提としている。これらは、提案された意図の**運用の安全性（operational safety）**を評価しない。その結果、エージェントは、権限があり、構文的に正しく、一貫して複製されているにもかかわらず、文脈において壊滅的なリクエスト（例：唯一稼働しているデータベースバックアップの削除、あるいは推論のハルシネーションによるデータベースのパブリックインターネットへの露出）を生成する可能性がある。既存の防御策である静的ポリシーエンジン（OPAなど）や監査ログは、これらセマンティックな失敗をアドミッション時（受理時）に検知できず、あるいは不可逆的なダメージが発生する前に対処するには遅すぎる。

2. 手法：セマンティック・クォーラム保証 (SQA)

SQAは、非決定論的なエージェントによるインフラストラクチャを統治するために設計された、コントロールプレーンのプリミティブとして導入される。これは、状態変異が発生する前に、セマンティックな検証を実行権限から切り離し、リスク適応型の認証レイヤーを挿入するものである。

コア・アーキテクチャ

1. 実行契約とエビデンス・チェーン： プロポーザー（提案者）は、観測事項、ツールの出力、および推論のアーティファクトを含む暗号化されたエビデンス・チェーン（$E$）に紐付けられた、宣言的な実行契約（$C$）として変異を表現する。
2. ヘテロジニアス（異種混合型）バリデータ・クォーラム： コントロールプレーンは、$(C, E)$ を、多様な読み取り専用のサンドボックス化されたバリデータ・エージェントのパネルへとルーティングする。これらのバリデータは、異なるモデルファミリーおよびアーキタイプ（例：セキュリティ監査官、データベース管理者、コスト最適化担当者）を保有している。
3. 相関的認知失敗モデル： SQAは、LLMバリデータが、共有されたモデルファミリー、学習データ、またはプロンプトのバイアスにより同一の失敗をするリスクを定式化する。これは、特定のドメインにおけるバリデータ間の相関係数 $\rho_{ij}(D)$ を通じてモデル化される。
4. リスク適応型クォーラム述語： 述語 $\Pi(C, Q, seq)$ は、以下の6つの条件に基づいてアドミッション（受理）を決定する：
   • クォーラム選択の整合性： 選択されたクォーラムは、契約およびレジストリのスナップショットに基づく決定論的な選択アルゴリズム $H$ に一致しなければならない。
   • 多様性条件： クォーラム内のペアごとの認知失敗の相関は、リスク適応型の閾値 $\epsilon(R(C))$ を下回らなければならない。
   • 重み付き承認閾値： 重み付き承認の合計（バリデータの権威 $w_i$ と較正された確信度 $c_i$ に基づく）は、閾値 $\tau(R(C))$ を超えなければならない。
   • クリティカル・アーキタイプの拒否権： 高い確信度を持つクリティカルなアーキタイプ（例：セキュリティ）による拒否票があってはならない。
   • 署名の妥当性と結合： すべての投票は、暗号的に署名され、特定の契約、エビデンス、およびシーケンス・エポックに結合されていなければならない。
5. ソブリン実行ゲート： 信頼されたコンポーネント（ゲート）のみが、インフラストラクチャの状態への書き込み権限を持つ。このゲートは、状態変異をコミットする前に、クォーラムの証明 $\Gamma$（署名、投票、および選択アルゴリズムの出力を含む）を検証する。

システムモデルの詳細

• バリデータの隔離： バリデータは、外部ネットワークへのアクセスを持たない、エフェメラル（一時的）な読み取り専用サンドボックス（例：gViser）内で実行される。これらは、自身のドメインに関連するシステムの読み取り専用の投影（projection）を受け取る。
• 暗号学的集約： アカウンタビリティを維持しつつ証明のサイズを最小化するために、バリデータの署名は集約される（例：BLS署名）。
• 結果スコアリング： 結果スコア $R(C)$ は、影響範囲（blast radius）、権限レベル、不可逆性、データの機密性、およびエビデンスの不確実性に基づいて非線形に計算される。このスコアは、必要なクォーラムサイズ、多様性の制約、および承認閾値を動的に調整する。

システムモデルの詳細

• バリデータの隔離： バリデータは、外部ネットワークへのアクセスを持たない、エフェメラル（一時的）な読み取り専用サンドボックス（例：gVisor）内で実行される。これらは、自身のドメインに関連するシステムの読み取り専用の投影（projection）を受け取る。
• 暗号学的集約： アカウンタビリティを維持しつつ証明のサイズを最小化するために、バリデータの署名は集約される（例：BLS署名）。
• 結果スコアリング： 結果スコア $R(C)$ は、影響範囲（blast radius）、権限レベル、不可逆性、データの機密性、およびエビデンスの不確実性に基づいて非線形に計算される。このスコアは、必要なクォーラムサイズ、多様性の制約、および承認閾値を動的に調整する。

3. 主な貢献

本論文には、以下の6つの具体的な貢献がある：

1. プリミティブおよびシステムモデル： 実行契約、エビデンス・チェーン、および署名された投票記録を用いて、エージェントによる変異を認証する、SQAをコントロールプレーンのプリミティブとして定義した。
2. 相関的認知失敗モデル： バリデータの失敗を、共有されたモデルファミリーやプロンプトに起因するドメイン依存のセマンティックなイベントとして定式化し、明示的にモデル化した。
3. リスク適応型クォーラム述語： 結果スコア、確信度の較正、および推定相関に基づいて、バリデータの選択とアドミッション閾値をスケーリングするメカニズム。
4. ソブリン・ゲート・アーキテクチャ： 検証と変異権限を分離し、選択された正確なクォーラムと署名を検証する実行ゲート。
5. プロトタイプ実装： サンドボックス化されたバリデータ、Go言語ベースのルーター/アグリゲーター、BLS集約署名、およびKubernetesアドミッション・ゲートの統合を備えた、クラウドネイティブなプロトタイプ。
6. 評価： インシデントパターンから派生した500のインフラストラクチャ関連の変異シナリオ（Kubernetes、データベース、IAM/セキュリティ）を用いて、SQAの有効性を実証した。

4. 評価結果

著者らは、インシデントパターンから派生した500のインフラストラクチャ関連の変異シナリオ（Kubernetes、データベース、IAM/セキュリティ）を用いてSQAを評価した。結果は、曖昧なケースを除外した、保持された安全/不安全な試行について報告されている。

• 安全性向上： SQAは、不安全な承認率を18.5%（単一エージェントによる検証）から**0.3%**へと減少させた。これは、単一エージェントのベースラインと比較して98.4%の相対的な減少である。
• レイテンシ： 中央値となる検証レイテンシは、クォーラムのサイズ（2から7のバリデータ）に応じて、低、中、高リスクのバケット間で1.45秒から4.12秒の範囲であった。
• コスト： トークンコストは、検証あたり$0.0048（低リスク）から$0.080（高リスク）の範囲であった。
• アブレーション研究：
  • モデルファミリーおよびアーキタイプの多様性を排除すると、不安全な承認率は6.9%に上昇した。
  • 拒否権を排除すると、不安全な承認は3.7%に増加した。
  • 同質なモデルファミリー（HomoQ）を使用した場合、不安全な承認率は21.0%となり、多様性の必要性が浮き彫りになった。
• 相関的失敗ストレス・テスト： バリデータの失敗が完全に相関している場合（$\rho=1.0$）、SQAの不安全な承認率は8.4%に上昇し、システムが失敗が完全に結合していないという仮定に依存していることを確認した。

5. 意義と主張

本論文は、SQAが、非決定論的なインフラ操作に対して、暗号学的に強制され、較正され、かつリスク適応型の認証プロセスを提供することを主張している。

• 絶対的な安全性ではない： 著者らは、SQAが絶対的なセマンティック的安全性を証明するものではないことを明示している。代わりに、較正されたバリデータの失敗率と相関推定から導出されたリスク関数によって、不安全な契約をアドミットする残留リスクが制限されることを保証するものである。
• コントロールプレーンのプリミティブ： SQAは、静的なポリシー強制と、LLMの動的で推論ベースの性質との間のギャップを埋める、自律型エージェントのための必須レイヤーとして位置づけられている。これは、リクエストが構造的には正しいが、運用上は安全ではないという「セマンティック・ギャップ」に対処するものである。
• 実現可能性： プロトタイプは、セマンティックな検証が秒単位の中央値レイテンシでクラウドネイティブなコントロールプレーンに統合可能であることを示しており、これにより「スローパス（slow-path）」のコントロールプレーンの変異（例：構成変更、マイグレーション）には適しているが、「ファストパス（fast-path）」のデータプレーン操作には適さないことが示された。

結論として、古典的なコンセンサスは一貫性を保証するが、非決定論的な推論が存在する場合に安全性を保証することはできない。SQAは、不可逆的な状態遷移が発生する前に、意図を共同で認証するためのメカニズムを提供し、エージェントによる破滅的なインフラストラクチャの失敗のリスクを大幅に軽減する。