技術サマリー：共有状態LLMワークフローのためのPatchOptic

問題提起

共有された構造化状態（shared, structured state）上で動作するエージェント・ワークフローにおいて、大規模言語モデル（LLM）の限定的なコンテキストウィンドウと、システムのグローバルな妥当性要件との間には、根本的な不一致が存在する。コンテキストを管理するために、システムはプログレッシブ・ディスクロージャー（段階的開示）を採用し、特定のステップに必要な状態の断片のみを公開する（例：RAGやASTクエリを介して）。これは「読み取り」側の管理には有効であるが、「書き込み」側は依然として脆弱である。

エージェントがローカルな断片のみに基づいて更新を提案する場合、その更新をフル・ステートに対して検証するために必要なグローバルなコンテキストが欠落している。これにより、主に2つの失敗パターンが生じる：

1. 情報の漏洩（Secret Leakage）: 現在のステップとは無関係な保護された値がエージェントの視野に入り、出力に不注意に公開される。
2. コミットの合法性エラー（Commit-Legality Failures）: エージェントが、不正な形式、フェーズ制約の違反、許可されていないスコープ外への書き込み、あるいは許可されていない状態パス（隠れたソース）から派生した値を生成するパッチを提案する。

スキーマ・バリデーターや制約付きデコーディングといった既存の制御策は、ローカルな構文や構造には対処できるが、状態値のプロベナンス（由来）や、遷移のグローバルな妥当性を検証することはできない。ローカルな書き換えをグローバルな妥当性と結びつけ、マルチステップ・マルチエージェントのワークフロー全体で構成（compose）するための「契約」が欠如している。

メソドロジー：PatchOpticの設計

本論文では、投影された読み取り（projected reads）と検証された構造化更新を結合する、オプティクス（optic）に着想を得たインターフェースであるPatchOpticを導入する。コアとなるメカニズムは、権限の三つ組（authority triple） $(O_s, W_s, P_s)$ によって定義されるステップ契約に基づいている：

• $O_s$ (投影された読み取り / Projected Read): フル・ステート $x$ を、アクターに見えるローカルなビュー $O_s(x)$ へと投影したもの。
• $W_s$ (書き込み領域 / Write Region): アクターが変更を許可されている状態パスの集合。
• $P_s$ (パッチソース領域 / Patch-Source Region): パッチの適用中（例：JSON Patchにおける copy, move, test 操作など）に、アクターが読み取ることが許可されている現行状態のパスの集合。

ランタイムの強制（Runtime Enforcement）

ランタイムのパスは以下のように動作する：

1. 投影（Projection）: アクターは、機密フィールドを隠蔽した投影ビュー $O_s(x)$ のみを受け取る。
2. 提案（Proposal）: アクターは、変異提案（JSON Patchとして実装）を生成する。
3. 検証（Verification）: コミット前に、検証器が4つのゲートを用いて、フル・ステート $x$ に対する提案をチェックする：
   • スコープ（Scope）: 書き込みターゲットおよびパッチソースのパス（move 操作における from パスを含む）が、$W_s$ および $P_s$ の範囲内に収まっていることを確認する。
   • フェーズ（Phase）: ステップが現在のワークフロー・フェーズにおいて許可されているかを検証する。
   • スキーマ（Schema）: 構造的な妥当性と出力契約をチェックする。
   • 不変条件（Invariants）: 変異後、ワークフローの不変条件が保持されていることを検証する。
4. コミット／拒絶（Commit/Reject）: すべてのゲートを通過した場合のみ状態が変異する。そうでなければ、提案は拒絶され、状態は変更されない。

静的フットプリント代数（Static Footprint Algebra）

実行時だけでなく、ステップの宣言は静的フットプリント $(R_s, W_s, P_s)$ （ここで $R_s$ は実現された読み取り領域）をもたらす。これにより、アクターが実行される前の静的解析が可能になる：

• 制限（Restriction）: フットプリントを狭めることで、サブアクターへの委譲をサポートする。
• 結合（Union）: フットプリントを組み合わせることで、ピア（同等のエージェント）間の構成をサポートする。
• 交換証明書（Commutation Certificate）: 同一フェーズ内における独立したステップの安全な並べ替えを可能にする。2つのステップは、それらの書き込み領域が互いに排他的であり（$W_A \perp W_B$）、かつ一方が他方の書き込み内容を読み取らない場合（$R_A \perp W_B, R_B \perp W_A$）、並べ替えることができる。

主な貢献

1. ランタイム・メカニズム: 共有状態に対する投影されたビューと検証されたJSON Patchの書き込みを結合し、ビュー、提案、および検証器の決定に関する構造化されたトレースを生成するシステム。
2. フットプリント代数: 宣言された読み取り、書き込み、およびパッチソースの領域に関する形式化であり、委譲、構成、および独立したステップの並べ替えのための静的証明をサポートする。
3. PatchBench: 6つのドメイン（金融、マーケティング、医療、科学、ソフトウェア、サポート）にわたる46のハンド・オーサード（手動作成）ケースによるベンチマーク。妥協したアーティファクトを用いた「ノーモデル（no-model）」テストとライブ・アクターの実行を分離することで、設計を評価する。

実証結果

評価は、強力なアクター（GPT-5-mini相当）と弱いアクター（Mistral 7B）を用い、6つの設定（Unconstrained, Schema Only, FSM+ACL, View Only, Verify Only, PatchOptic）で行われた。

• 漏洩の削減: 投影された読み取りは、報告された漏洩を大幅に減少させた。GPT-5-miniにおいて、フル・ステートの設定では漏洩率が約31.5%であったのに対し、PatchOpticはこれを0.2%にまで低減した（平均漏洩回数は1ラウンドあたり約14.5から0.1へ減少）。
• トークン効率: 投影された読み取り設定は、フル・ステート設定と比較して、1ランあたり11–13%少ないトークンを使用した。
• 出力品質: 強力なアクターの下では、投影された読み取りによって出力品質が低下することはなかった（Content Scoreは約0.927を維持）。その結果、セマンティック・パス率（品質 ＋ 漏洩なし）は、Unconstrainedの約0.61からPatchOpticの0.78–0.80へと上昇した。
• 検証の有効性: ランタイム検証は、コミット前に宣言された契約違反（フェーズおよびスコープのエラー）を正常にブロックした。「ノーモデル」のストレス・テストにおいて、PatchOpticとVerify Onlyは、隠れたソースパスを引用しようとする妥協したアーティファクトを100%拒絶した。一方、パッチソースのチェックがない設定（例：FSM+ACL）では、9件中8件のアーティファクトを受け入れてしまった。
• 弱いアクターの挙動: 弱いMistralアクターにおいて、PatchOpticは、投影（漏洩を防止）と検証（無効なパッチをブロック）を組み合わせることで、モデル本来の低い品質を補い、最も高いセマンティック・パス率（0.690）を達成した。

意義と主張

本論文は、PatchOpticがローカルなモデルの行動とグローバルなシステム妥当性の間の、必要な「契約」を提供すると主張している。その意義は以下の通りである：

• 観測とコミットの分離: アクターが何を観測できるか（投影されたビュー）と、ランタイムが何をコミットするか（検証されたパッチ）を明示的に分離しており、モデルがグローバルなセキュリティ義務を負う必要をなくしている。
• 構成可能性: フットプリント代数は、委譲、構成、および並べ替えの静的検証を可能にし、マルチエージェント・ワークフローのより安全なスケーリングを実現する。
• 多層防御（Defense in Depth）: 投影（アクターに秘密を見せない）とパッチソースの強制（アクターが侵害された場合やアーティファクトが注入された場合に、パッチが秘密を読み取ることを防ぐ）を組み合わせることで、プロンプト・インジェクションのリスクと、妥協したアーティファクトのリスクの両方に対処する。

著者らは限界についても認めており、システムはポリシー作成者を信頼していること（契約が誤っていれば、システムは誤った契約を強制する）、および意味論的なエラーやポリシーによって許可された開示を防ぐことはできないことを指摘している。しかし、PatchOpticは、大規模な共有状態システムにおいてLLMエージェントを安全にデプロイするための基礎的な制御レイヤーを確立するものと位置づけている。