技術要約：Proof-of-Continuity（継続性の証明）：分散システムおよびAIエージェントにおける権限伝播の時系列モデル

1. 問題提起

本論文は、現在の認可モデル、特に**Proof-of-Possession（PoP：所有証明）**およびキャパシティベースのシステムが、離散的なマルチホップ実行チェーン（例：分散サービス、AIエージェントによるツール呼び出し）に適用される際に直面する根本的な限界を特定している。

PoPモデルにおいて、権限はアーティファクト（トークン、クレデンシャル、キャパビリティ）の所有に由来する。これらのモデルは、「誰が」アーティファクトを提示できるかを制約することには効果的であるが、後続のステップで実行される権限が、リクエストの起点において確立された権限コンテキストの**因果的な継続（causal continuation）**であることを保証するには至らない。

このギャップが、分散コンテキストにおける**「錯乱した代理人（Confused Deputy）」**問題を引き起こす。代理人（実行者）は、複数の権限ソース（環境的な特権、委譲されたトークン、ベアラークレデンシャル）を保持している場合がある。もし代理人がリクエストを処理し、そのリクエストのパラメータに基づいて、自身が保持しているもののリクエストの起点となる権限コンテキストには含まれていない特権を行使した場合、セキュリティ違反が発生する。このとき、代理人は「錯乱」している。なぜなら、代理人は本来そのアクションを発生させる権限を持たないユーザーによって因果的にトリガーされたアクションを実行しているが、代理人自身は独立してその特権を保持していたからである。

論文は、所有ベースのモデルは**リネージ不変（lineage-invariant）**であると論じている。すなわち、これらはイベント $(o, r)$ （リソース $r$ に対する操作 $o$）を、そのイベントを生み出した時系列的なリネージ $\ell$ を無視して、単に特権の所有に基づき有効であると扱う。その結果、有効な継続としての権限と、単に同じ特権をたまたま保持しているだけの不正な実行を区別することができない。

2. 方法論およびモデルの定義

著者らは、この時系列的なギャップに対処するために、Provenance Identity Continuity (PIC：プロベナンス・アイデンティティ継続性) モデルと Proof-of-Continuity (PoC：継続性の証明) ディシプリンを導入する。

コアとなる定式化

• 実行チェーン（Execution Chain）： 実行は、因果的なステップの連鎖 $\pi = \langle (s_0, C_0), (s_1, C_1), \dots, (s_n, C_n) \rangle$ としてモデル化される。ここで $s_i$ はステップであり、$C_i$ はそのステップで保持される権限コンテキスト（特権の集合 $O \times R$）である。
• Proof of Relationship (PoR：関係性の証明)： 単一ホップの因果プリミティブ。$PoR(s_i, s_{i+1})$ は、ステップ $s_{i+1}$ が同一のリネージ内において $s_i$ の有効な因果的継続であることを断言する。
• 単調な権限制限（Monotonic Authority Restriction）： 有効な遷移には、次のステップにおける権限コンテキストが現在のステップのサブセットである必要がある：$C_{i+1} \subseteq C_i$。権限は減衰（制限）されることはあっても、拡張されることはない。
• Proof of Continuity (PoC：継続性の証明)： 全体的なチェーンにわたる PoR と単調な制限の推移的な合成として定義される。$PoC(\pi)$ は、すべての隣接する遷移が有効である場合に成立する。

理論的枠組み

論文は、投影（projection）を用いた議論によって、**所有（Possession）と継続（Continuity）**の区別を定式化している。

• 所有ベースのポリシーは、リネージに対して不変な関数として定義される：$A(o, r, \ell) = \bar{A}(o, r)$。これらはイベント空間 $E = O \times R \times L$ を $O \times R$ へと投影し、リネージの座標 $L$ を破棄する。
• 定理 3： リネージ不変のポリシーは、個々の発生を識別できない。同一の特権を持つが異なるリネージを持つ2つのイベント（一方は正当な継続、もう一方は錯乱した代理人による実行）に対し、同じ認可判定を下す。
• 定理 5 (トレードオフ)： システムは以下の事項を同時に満たすことはできない：
  1. リネージ不変の認可。
  2. 権限の混合が可能な委譲（実行者が独立した権限ソースを保持している状態）。
  3. 錯乱した代理人に対する安全性。
     権限の混合を必要とするシステムにおいて安全性を確保するためには、モデルはリネージ不変性を放棄し、認可を**リネージ感受的（lineage-sensitive）**にする必要がある。

3. 主な貢献

1. Proof-of-Continuity (PoC)： 最小限の権限伝播ディシプリン。ここでは、権限はエンティティの静的な属性としてではなく、実行チェーンの時系列的な属性として定義される。権限は、オリジンのコンテキストの非拡張的な継続としてのみ存在する。
2. 錯乱した代理人のリネージ不一致としての定式化： 本論文は、錯乱した代理人問題を、単なる指定と権限の分離（キャパビリティの空間的視点）としてではなく、時間を忘却する投影の下での、異なるリネージの衝突として再定義している。
3. 不可能性の結果：
   • 定理 3： 所有ベースのモデルでは、有効な継続と錯乱した代理人による実行を区別できないことを証明する。
   • 定理 6： PIC モデルの下では、錯乱した代理人の条件を満たすことは有効な挙動として不可能であることを証明する。ある特権がオリジンコンテキスト $C_0$ に存在しない場合、有効な PoC チェーン内のいかなる後続のコンテキスト $C_n$ にも出現することはできない。
4. プリミティブの区別： 以下の役割を明確化する：
   • Proof-of-Possession： アーティファクトの制御を証明する。
   • Proof-of-Relationship： 隣接するステップ間の因果的結合を証明する。
   • Proof-of-Continuity： 全体のリネージにわたる、拡張を伴わない権限の伝播を証明する。

4. 結果と安全性の保証

主要な結果は、PIC モデルの安全性である。Proof-of-Continuity の下では：

• 起点に拘束された権限（Origin-Bounded Authority）： ホップ $n$ で行使されるいかなる特権も、オリジンの権限コンテキスト $C_0$ に存在していたものでなければならない。
• 不可逆的な減衰（Irreversible Attenuation）： もしあるホップ $j$ において特権が脱落した場合（すなわち $C_j$ に含まれない場合）、その特権は永久に失われ、それ以降のホップ $k > j$ で再出現することはない。
• 錯乱した代理人の排除： このモデルは、錯乱した代理人の条件を構造的に防止する。エグゼキューター（実行者）は、たとえそのエグゼキューターが独立して特権を保持していたとしても、リクエストの起点コンテキストによって許可されていない特権を、リクエストによってトリガーされたアクションのために行使することはできない。

論文は、この安全性がリネージ不変性を放棄することによって達成されることを示している。認可決定は、リネージの座標（PoR の証拠を介して）を読み取り、そのアクションが原因となったリクエストの有効な継続であるかどうかを判断しなければならない。

5. 意義と範囲

本論文は、Proof-of-Continuity を、OIDC、ウォレット、あるいはベアラートークンのような既存のメカニズムの代替ではなく、**モデリングの洗練（refinement）**として位置づけている。

• 補完性： アイデンティティおよび認証メカニズムは、オリジンを確立するために依然として不可欠である。PoC は、オリジンが確立された後に、権限がどのように伝播するかに対処するものである。
• AI エージェントへの関連性： このモデルは、AI エージェントにとって極めて重要であると明示的に強調されている。AI エージェントは多くの場合、複数の権限ソース（サービス資格情報、ユーザー・トークン、ツールのスコープ）を保持し、ツールの呼び出しの連鎖を実行する。PoC は、例えばユーザーの元の意図（例：「文書を要約する」）が特定のアクション（例：「ファイルを削除する」）を許可していなかった場合、エージェントが（たとえエージェント自身が削除の特権を独立して持っていたとしても）そのツールを使用してアクションを実行することを防ぐ。
• 時間的 vs 空間的： 論文は、キャパビリティ・モデルが「指定（designation）」という空間的問題を解決する一方で、キャパビリティが保持されるアーティファクトとして扱われる限り（これは所有へと回帰してしまうため）、マルチホップのリネージにおける「時間的」な伝播の問題には失敗することが多いと論じている。PoC は、権限を連続的かつ非拡張的なフローとして扱うことで、キャパビリティの「構成による（by-construction）」保証を、マルチホップのリネージ全体へと拡張する。

結論として、本論文は、錯乱した代理人は、パッチを当てるべきランタイムの脆弱性ではなく、有効な PIC 実行においては構造的に不可能な事象であると述べている。モデルは、責任をランタイムの警戒から、権限がその因果的履歴によって厳密に定義されるディシプリンへと移行させている。