Hardware-rooted attestation for AI-agent evidence: composing IETF RATS with action evidence packages

デジタル・ブラックボックスの謎

あなたは、唯一の目撃者が容疑者自身であるようなミステリーを解こうとしていると想像してください。人工知能の世界では、意思決定を行い、コードを書き、あるいはロボットを制御することさえできるスマートなコンピュータ・プログラムである「エージェント」を構築しています。エージェントに誠実さを保たせるためには、その仕事をチェックする方法が必要です。現在、私たちはエージェント自身が書くデジタルな「ログブック（業務日誌）」に頼っています。そこには、「私はこれを行い、これを行う許可を得ており、結果はこうであった」と記されています。これは有用ですが、致命的な欠陥があります。もしエージェントが嘘をついていたり、あるいは巧妙なハッカーがエージェントの脳を別のものにすり替えていたりした場合、ログブックは依然として完璧に見えてしまうのです。それは、クッキーを手に持ったまま、「私はクッキーを盗っていません」と日記に書いている犯罪者のようなものです。日記には署名があり封印もされていますが、それが実際に「誰」によって書かれたのか、あるいは「どの」コンピュータ上で実行されたのかまでは証明してくれません。

これを解決するために、私たちは飛行機のブラックボックスのような「ブラックボックス・レコーダー」を必要としています。これらの装置は第三者によって製造され、密閉されており、パイロット（またはコンピュータのオペレーター）が改ざんできないデータを記録します。コンピュータの世界では、これは「ハードウェア・アテステーション（ハードウェアによる証明）」と呼ばれます。これは、コンピュータ内部にある特別な信頼できるチップが、外部の検査官に対して、「今動いているソフトウェアは、所有者が主張する通りのものであることを約束します」と秘密のメッセージを伝える方法です。科学者たちが投げかけている大きな問いは、エージェント自身の物語（ログブック）と、この壊れないハードウェアの証明（ブラックボックス）をどのように組み合わせれば、単一の、否定できない真実を作り出せるのか、ということです。

ログブックと封印されたレコーダー

本論文は、これら二つの要素を結合させる巧妙な方法を提案しています。著者であるアントン・ソコロフ（Anton Sokolov）は、AIのログブックだけを信じるべきでも、ハードウェアだけを信じるべきでもないと示唆しています。その代わりに、それらを切り離せないように「縫い合わせる」べきだと述べています。

これは、着陸の失敗について説明しようとしている飛行機のクルーを例に考えてみましょう。

1. ログブック（AEP）： これは「アクション証拠パッケージ（Action Evidence Package）」です。これはクルーの書面による報告書です。「管制塔から着陸許可を得て、左の滑走路を使用し、安全に着陸した」といった内容です。詳細かつ署名されていますが、それでもやはりクルーによって書かれた言葉に過ぎません。
2. ブラックボックス（RATS証拠）： これはハードウェアによる証明です。これは密閉されたレコーダーであり、「この瞬間、飛行機のコンピュータはバージョン1.0の着陸ソフトウェアを実行しており、エンジンはフルパワーであった」と記録します。パイロットはこの内容を変えることはできません。これは飛行機自身のセンサーによって記録された物理的な事実なのです。

論文では、クルーが嘘をつく可能性があるため、ログブックだけでは不十分であると論じています。また、ブラックボックスだけでは、なぜ飛行機が着陸したのか、あるいはパイロットがルールに従っていたのかを教えてくれないため不十分です。解決策は、これらを「結合（バインド）」することです。クルーがログブックに記入する際、その「まさにその瞬間」に飛行機のコンピュータが正しい状態にあったことを証明する、ブラックボックスからの新鮮で封印されたスタンプを必ず添付しなければなりません。

実験の方法

著者は単に空想を語ったわけではありません。可能かどうかを確認するために、小さな動作モデルを構築しました。彼らは、実際のコンピュータで見られる特別なセキュリティチップのシミュレーション版である「ソフトウェアTPM」を使用して、ブラックボックスとして機能させました。そして、偽のAIログブックを作成し、それをハードウェアの証明と組み合わせる試みを行いました。

シミュレーションにおける結果は以下の通りです：

• 「正常」シナリオ： AIがすべきことを行い、コンピュータが正しいソフトウェアを実行していた場合、システムはグリーンライトを出しました。判定は**「Attested（証明済み）」**でした。ログブックとブラックボックスが一致していました。
• 「脳のすり替え」シナリオ： 研究者たちはシステムを欺こうと試みました。AIがその脳を別の未承認のモデルにすり替えた状況を想定しました。ブラックボックスは即座に変化を察知しました。たとえログブックが完璧で「私は正しいモデルである」と主張していても、ハードウェアの証明は「いいえ、そうではありません」と告げました。判定は**「Contested（異議あり）」**でした。これが本論文の大きな成果です。ログブック自体は完全に有効なままですが、組み合わせられた判定によって、物語とハードウェアの現実との間の不一致が明らかになるのです。
• 「古いニュース」シナリオ： 昨日使用された有効なブラックボックスのスタンプを、今日のログブックに添付しようとしました。システムは「古すぎる！」と判断し、判定は**「Expired（期限切れ）」**となりました。
• 「偽のログブック」シナリオ： 有効なブラックボックスのスタンプを取り出し、全くの作り物であるログブックに添付しようとしました。システムは即座にこれを拒絶しました。スタンプと物語が一致しなかったため、全体が破棄されました。

この研究が意味すること（および意味しないこと）

本論文は、自身が「行っていないこと」についても慎重に述べています。これは、通常のコンピュータ上で偽のチップを用いたシミュレーションです。これは「アイデア」が機能することを証明していますが、実際のサーバー内の本物の物理的チップが同様に機能することをまだ証明したわけではありません。著者は、現実の世界では、実際のAIモデルのファイル（「脳」）を測定し、ハードウェアが真に未改ざんであることを確認する必要があり、それはより大きなエンジニアリング上の課題であることを認めています。

しかし、核心となるアイデアは強固です。AIの物語とハードウェアの封印を組み合わせることで、新しい種類の真実を作り出すことができます。私たちは「AIは何をしたと言っているか？」という問いから、「オペレーターが所有していると主張する特定のコンピュータが、実際にこれを行ったのか？」という問いへと移行できるのです。

論文は、この「複合的（コンポジット）」なアプローチが、信頼に関する6つの単語の語彙を生み出すことを示唆しています：Authorised（許可された）、Unauthorised（許可されていない）、Indeterminate（不明）、Attested（証明済み）、Contested（異議あり）、Expired（期限切れ）。

要約すると、本論文は、AIのログブックがハードウェアの封印の中にロックされるシステムを構築できることを示しています。もしAIが自身の行動について嘘をついたり、あるいは誰かがAIの脳を別のものにすり替えようとしたりしても、封印は壊れませんが、組み合わせられた判定は**「Contested（異議あり）」**となり、物語と機械の間に食い違いがあることを明らかにします。これは、AIが「私はこれを行った」と言うとき、それが単なる物語ではなく、機械によって裏付けられた事実であることを確信するための方法なのです。