技術要約：エージェンティックAIシステムにおける委任実行のオブザーバビリティ（観測可能性）

問題提起

本論文は、大規模言語モデル（LLM）ベースのエージェンティック・システムにおけるオブザーバビリティの決定的な欠落を指摘している。それは、「委任スコープの実行（delegation-scoped execution）」が標準的なオブザーバブル（監査ログや実行トレース）からは識別できないという点である。

従来のシステムでは、実行は規定されたワークフローに従う。しかし、エージェンティック・システムにおける実行は**委任（delegation）**される。すなわち、プリンシパル（主体）がエージェントに対して永続的な認可コンテキストを発行し、エージェントはそのコンテキストの下で動的にツールを選択し、実行シーケンスを変化させ、バックトラックを行い、サブエージェントを生成する。これにより、構造的なミスマッチが生じる：

1. 権限と因果関係の直交性（Orthogonality of Authority and Causality）: 説明責任の単位（委任）は、実行の単位（因果的トレース／スパン）と構造的に直交している。単一の委任が、因果的に断絶したツール呼び出し（並列リトライ、非同期ファンアウト）にまたがる場合がある一方で、因果的に接続されたアクションが異なる委任の下で行われる（再委任）場合もある。
2. 非識別性（Non-Identifiability）: 本論文は、実行トレースとイベントローカルの属性のみから委任への所属を再構成することは不可能であることを証明している。互換性のない複数の委任割り当てが、同一の観測可能なテレメトリ（監査ログおよび因果グラフ）を生み出す可能性がある。
3. 既存ツールの限界: SIEM、OpenTelemetry、LangSmithなどの既存のメカニズムは、個別の動作や因果チェーンを記録するが、異種混合システム全体にわたって「特定の委任の下でどのようなアクションが発生したか」を再構成するためのセマンティクス（意味論）を欠いている。これらはヒューリスティックな時間窓の相関やセッションIDに依存しており、マルチエージェントの構成、リトライ、および重複する委任の下では機能しない。

メソドロジー：エージェント認識型共通情報モデル（CIM）

これに対処するため、著者らは軽量でエージェント認識型のオブザーバビリティ基盤であるCIMを提案している。CIMは意図推論エンジンではなく、実行時に委任コンテキストを結合する構造的モデルである。

コア・コンポーネント

CIMは、委任された実行のための二重構造モデルを導入する：

1. 実行グラフ ($G_{exec}$): 因果関係（トレース、スパン、親子リンク）を表す。
2. 権限グラフ ($G_{auth}$): 委任関係（プリンシパル、エージェント、再委任、リネージ）を表す。
3. 権限関係 ($R_{auth}$): イベントを委任に明示的に紐付ける。

セマンティックな要件

CIMは、委任スコープの再構成を明確に定義するために、4つのセマンティックなコミットメントを強制する：

• R1（永続的な委任コンテキスト）: すべてのイベントは、永続的な delegation_id に紐付けられる。
• R2（権限と因果関係の分離）: 権限によるパーティションは、必ずしもトレースと一致する必要はなく、モデルは明示的にその乖離をサポートする。
• R3（委任の閉包性）: 再委任とエージェントの生成は、リネージ（系譜）の閉包性を持って表現され、ある委任とそのすべての後継者に対するクエリを可能にする。
• R4（クロスシステム正規化）: アクションとリソースは、ペイロードの検査なしにクロスツール・クエリを可能にするため、安定した語彙（例：read, write, share, invoke）に正規化される。

実装：ゲートウェイ

著者らは、キャプチャの境界として軽量なゲートウェイを提案している。このコンポーネント（プロキシ、サイドカー、またはライブラリ）は、エージェントのツール呼び出しをインターセプトし、以下の処理を行う：

• ミントとバインド（Mint and Bind）: イベントを認証されたプリンシパルに関連付け、delegation_id を発行する。
• 伝播（Propagate）: マルチエージェント・チェーンを通じて委任コンテキストが確実に伝播するようにする。
• 正規化（Normalize）: ツール固有の操作をカノニカル（標準的）なアクション語彙にマッピングする。
• 不変条件の強制（Enforce Invariants）: delegation_id が自由形式の文字列ではなく、検証されたバインディングであることを保証し、委任コンテキストが欠落している場合はイベントを明示的に「アンバウンド（未結合）」としてマークする。

主な貢献

本論文には3つの主要な貢献がある：

1. 委任オブザーバビリティの定式化: 並行処理やマルチエージェント構成下においても、ヒューリスティックな時間窓の相関なしに、委任下の動作セットを再構成できるシステム特性を定義した。
2. 非識別性の証明: 委箋された権限は因果的制御フローと直交しているため、監査ログと因果トレーシングだけでは委任スコープの実行を復元できないことを示した。
3. CIMの導入: 委任された実行を、二重の構造（権限グラフと実行グラフ）としてモデル化する共通情報モデル（CIM）を導入し、信頼性の高い事後的な再構成とフォレンジック・クエリを可能にした。

実験結果

著者らは、高ボリュームの合成ジェネレータ（10万エージェント、1万ユーザー）と、実際のツール呼び出しを含むマイクロデプロイメントの2つの環境を用いてCIMを評価した。

再構成精度

• 曖昧さ（Ambiguity）: ベースライン手法（トレースのみ、時間窓、またはハイブリッド相関）では、並行性が高まるにつれて曖昧さ（有効な委任グループの数）が劇的に増加した。例えば、マルチエージェント・ワークフローにおいて、ベースラインの曖昧さは中央値で10,856に達した。対して、CIMは構成上、対象となるイベントに対して曖昧さを1とした。
• 再現率（Recall）: トレースの境界が委任の境界と一致しない場合、ベースライン手法は低い再現率（p05で0.03まで低下）を示した。CIMは、対象となるイベントに対して100%の再現率を達成した。
• 乖離（Divergence）: 実験により、権限と因果関係の乖離が蔓延していることが確認された（例：単一の委任が一部のワークフローで35以上の因果コンポーネントにまたがる）。これは、権限と因果関係を独立したものとして扱うモデルの必要性を裏付けている。

運用オーバーヘッド

• イベントサイズ: CIMは、イベントあたり約247バイト（委任コンテキスト、リネージ、正規化された述語）を追加する。
• レイテンシ: ゲートウェイの処理によるレイテンシは無視できる程度である（中央値 0.01 ms、p95 0.29 ms）。
• クエリの労力: 最も大きな利点は、クエリ構築の負担軽減である。ベースラインのクエリは、クラスごとに6〜14の操作（結合、ウィンドウ、正規化）を必要とする。CIMは、これを安定したフィールドに対する1〜3個の直接的な述語へと削減する。テストされたスケールにおいて、クエリの実行性能はCIMとベースラインで同等であった。

意義と主張

本論文は、エージェンティック・システムには委任を認識したオブザーバビリティが必要であると主張している。なぜなら、委任された権限は、事後的にトレースのみから信頼性を持って再構成することができないからである。

• 構造的な説明責任: CIMは、ワークフローをフラットなイベントストリームとしてではなく、構造化されたオブジェクトとして再構成することを可能にし、「委任 $d$ の影響範囲（blast radius）は何か？」や「この権限の下でどのサブエージェントが動作したか？」といったフォレンジックな問いへの直接的な回答を可能にする。
• 意図に依存しない（Agnostic to Intent）: システムは**帰属（attribution）と意図（intent）**を明示的に分離している。CIMは、そのアクションが意図されたものか、プロンプトインジェクションの結果か、あるいはエラーによるものかにかかわらず、それがどの委任の下で実行されたかを帰属させる。これにより、「アクセス／共有のフットプリント」を、エージェントの内部推論を推論したりプロンプトインジェクションを検知したりすることなく、監査可能にする。
• 補完性: CIMは、既存のセキュリティおよび監査の取り組みを補完するインフラストラクチャとして提示されている。これは誤用を防止したり意図を推論したりするものではなく、マルチエージェント・システムにおける複合的な結果、創発的な振る舞い、および実行のドリフトを調査するために必要な構造的データを提供するものである。

著者らは、このような基盤がなければ、「委任スコープの再構成」問題はエージェンティックAIにおいて構造的に未決定のままとなり、エージェント・システムがスケールするにつれて、信頼性の低いフォレンジック分析を招くことになると結論づけている。