技術要約：一つのゲートでは不十分である：エージェンティックAIのための状態を持つ事前アクション制御の合成

1. 問題提起

エージェンティックAIシステムは、重大なアクションを統治するために、複数の事前アクション制御（ゲート）を必要とすることがよくあります。これらの制御は通常、異なる関心事に対処します：権限（許可/義務）、リソース（コスト/炭素予算）、およびエビデンス（データの妥当性/メタデータ）です。先行研究では、個別のゲート（SARC、Green SARC、SARC-DQ）を確立し、強制モニタの合成についても研究してきましたが、これらの制御が異種混合であり、かつ**状態を持つ（stateful）**場合の課題が残っています。

対処されるべき核心的な問題は、*修復に起因する制御結合（remediation-induced control coupling）*です。多くのシステムにおいて、制御は単にアクションをブロックするだけでなく、アクションを修復*（例：破損したデータ値を置換する、あるいはリソース要求を縮小する）します。制御Aがアクションを修復する場合、それはアクションのコンテキスト、エビデンス、または派生値（注文額や予測支出など）を変更します。もし制御Bが、制御Aによる修復前の元の*アクションを評価していた場合、制御Bの判断は無効になる可能性があります。

これにより、以下の3つの具体的な課題が生じます：

1. 無効化（Invalidation）: 単一パスの評価（並列、または再評価なしの直列評価）は、最終的なアクションが、修復前の状態によって満たされていたゲートに違反するという、不健全な実行を招く可能性があります。
2. 非可換性（Non-Commutativity）: 複数の修復オペレータ（例：エビデンスの置換とリソースのダウンスケール）が存在する場合、それらの適用順序によって最終的な結果が変わります。この順序は実装の詳細ではなく、ガバナンス・ポリシーのセマンティックな特性です。
3. 状態汚染（State Contamination）: 現在の許容可能性に基づいて永続的なガバナンス・バッファ（例：将来の置換のためのバッファ）にレコードを登録すると、「未カバーの欠陥」（現在のゲート述語では検出できない欠陥）が将来の信頼された状態へと伝播し、将来の決定を損なう可能性があります。

2. 方法論と定式化

本論文では、アクション $a$ がコンテキスト $c(a)$ においてゲートの集合 $G_i$ によって評価される決定論的モデルを用いて、これらの問題を定式化しています。各ゲートは入力を受け取り、ラティス $R = \{admit, substitute, degrade, escalate, block\}$ 内のレスポンスを返します。

主要な定義

• 修復に起因する制御結合（Remediation-Induced Control Coupling）: 2つの制御 $G_i$ と $G_j$ が結合しているとは、$G_i$ による修復オペレータ $\rho_i$ が $G_j$ が消費する入力を変更し、$G_j(a) \neq G_j(\rho_i(a))$ となる場合を指します。
• アクションごとの健全性（Per-Action Soundness）: システムが健全であるとは、実行時の状態において、実行されるアクション $a_{exec}$ がすべてのゲートを満たしていることを意味します。
• 非補償的結合（Non-Compensatory Join）: 本論文では、制約充足（いずれかの拒否が実行を阻止する）と、補償的集計（ある領域での高スコアが他の領域での低スコアを相殺する）を区別しています。また、ハードなガバナンス要件に対して、加法的な重み付き集計は、特定の閾値条件を満たさない限り、拒否権を保持できないことを証明しています。

修復および再ゲート（Remediate-and-Regate: RTR）プロトコル

単一パスによる不健全性を解決するために、本論文では**修復および再ゲート（RTR）**プロトコルを提案しています。

1. フェーズI: エビデンス・ゲートを評価します。置換が発生した場合、修復されたアクション $a' = \rho_{sub}(a)$ を形成し、コンテキスト $c(a')$ を再計算します。リソース・ゲートが存在する場合、それはさらに $a'$ に対してダウンルート・オペレータ $\rho_{route}$ を適用し、再びコンテキストを再計算することがあります。
2. フェーズII: 最終的な修復済みアクション $a_{exec}$ と更新されたコンテキストに対して、すべてのゲート（エビデンス・ゲートを含む）を再評価します。
3. 結合（Join）: フェーズIIのレスポンスに対して、非補償的結合（例：deny-overrides または min ロジック）を用いて合成された判定を算出します。

本論文では、決定論、限定的な修復（ワンショット）、および冪等性（置換がさらなる置換をトリガーしないこと）という仮定の下で、このプロトコルがアクションごとの健全性を保証することを証明しています。

非可換性の処理

本論文は、アーティファクトに実装されている2つの特定の修復オペレータ、すなわち $\rho_{sub}$（エビデンスの置換）と $\rho_{route}$（リソースのダウンスケール）が可換ではないことを示しています。

• 一般に、$\rho_{route}(\rho_{sub}(a)) \neq \rho_{sub}(\rho_{route}(a))$ です。
• 有限モデルチェッカーにより、操作の順序によってアクションが受理されるかブロックされるかが変わる具体的な反例が特定されました。
• 結論: 修復の順序は、実装の詳細ではなく、ガバナンス・ポリシーの一部として明示的に指定される必要があります（例：「エビデンス・ゲートを先に、次にリソース・ゲート」）。これは、これらの特定のオペレータの特性であり、任意の書き換えシステムに対する一般的な解決策を主張するものではありません。

状態汚染と緩和策

本論文では、「未カバーの欠陥」（ゲート述語が検出できないデータの欠陥）がガバナンス・バッファに受理され、その後のアクションの修復に使用されることで発生する脆弱性を特定しています。

• メカニズム: 受理されたが欠陥のある値がバッファに入る $\to$ 将来のアクションがこの欠陥のある値を置換として使用する $\to$ 欠陥が伝播する。
• 緩和策: 2つの戦略を実証しています：
  1. 検疫ウィンドウ（Quarantine Window）: $N$ 回の連続した一貫した受理の後にのみ、書き込みを信頼する。
  2. ローリング中央値（Rolling Median-of-3）: 最近の値の中央値を使用して外れ値をフィルタリングする。
     注記：これらは露出を減少させますが、不完全なカバレッジを伴う状態を持つ修復の根本的な脆弱性を排除するものではありません。

3. 主要な貢献

1. 修復に起因する結合の定式化: 本論文は、ある制御の修復がいかにして他の制御の判断を無効にするかという条件を定義し、単純なモニタの合成を超えて、セマンティックなオブジェクトの無効化へと議論を進めました。
2. Remediate-and-Regateの健全性: すべてのゲートが最終的なアクションを再評価することを保証することで、一回限りの設定において健全性を回復するプロトコルを確立しました。
3. 特定の修復オペレータの非可換性: 実装された2つの具体的な修復オペレータ（エビデンド置換とリソース・ダウンルート）が可換ではないことを示し、これらのオペレータには順序の指定が必要であることを実証しました。これは、有限モデルチェッカーが、順序によって結果が変わる地点を86/243（グリッド上）および150/200（グリッド外）で見つけたことにより検証されています。本論文は、この非可換性が任意の修復オペレータに保持されるとは主張していません。
4. ガバナンス状態の汚染: 完全なカバレッジなしにレコードを永続的な状態に受理することが、将来の修復を汚染することを実証し、検疫や中央値フィルタリングといった緩和策がこのリスクを減少させることを示しました。
5. 線形集計と拒否セマンティクス: 加重和集計が拒否権を保持するための正確な条件（補題）を提示しました。すなわち、拒否されたプロファイルが受理されるのは、閾値 $\tau$ が集計器の最大の「一つを除いた」重みの和を超えない場合に限られます。これにより、加法的なスコアリングが、ハードなガバナンスにおける連言的な実現可能性セマンティクスの代用にはならないことを明らかにしました。
6. 統一されたエビデンス・セット: ゲート間で完全なリネージを保持するためのメカニズムを提供し、事前および事後の修復済みエビデンスID、および使用された特定のバッファ書き込みを記録します。これはバイトレベルの再構成を主張するものではなく、アイデンティティのコミットメントを保証するものです。

4. 実証結果

本論文は、3つの修正されていないApache 2.0エンジン（SARC、Green SARC、SARC-DQ）で構成された決定論的アーティファクト（suite-demo）を用い、30個の事前登録されたシードと2つのワークフロー（DailyおよびWeekly）を用いて、これらのメカニズムを検証しています。

• 健全性 (CH1): Remediate-and-Regateプロトコルの下では、30個のシードすべてにおいて、実行時にいずれのゲートにも違反する実行アクションはゼロでした。
• 単一パスによる不健全性 (CH2): 構築されたシナリオ（S4）において、単一パス評価は、30個のシードあたり平均207.5回の決定において、プロトコルから乖離し、修復後にゲートに違反するアクションを受理しました。
• 非可換性 (CH7): モデルチェッカーは、実装された2つの特定の修復オペレータが可換ではないことを確認し、これらのオペレータには固定された順序が必要であることを検証しました。
• カバレッジの誠実性 (CH4): 構成されたシステムは、構成によって新たに「製造」された検出カバレッジを持たず、構成要素であるゲートのカバーされたクラスの和集合を正確に検出しました。
• バッファ汚染 (CH6): 「Daily」ワークフロー（W1）において、プレーンなバッファは平均14.70個の汚染された置換を生成しました。検疫およびMedian-of-3の緩和策は、この数を厳密に減少させました。「Weekly」ワークフロー（W2）では、ベースラインの汚染率はより低く（1.83）、緩和策は減少させたものの、サンプルサイズが小さいため、統計的にすべてのシードで減少を示すことは困難でした。
• 補償の安全性 (CH5): 加法的な加重集計は、閾値が慎重に調整されていない場合、拒否されたアクション（特定の欠陥をブロックするなど）を受理してしまう可能性があることを、実験的および網羅的なグリッドチェックにより確認しました。一方で、min-joinセマンティクスはこれを厳密に防止します。

5. 意義と主張

本論文の意義は、エージェンティックAIにおける状態を持つ事前アクション制御の限定的な構成セマンティクスを確立したことにあります。論文は以下のように主張しています：

• 修復はセマンティクスを変更する: コントロールがアクションの変換を許可した場合、以前の判断は評価されたオブジェクトのバージョンに依存することになります。適切なガバナンスには、依存する判断を無効化し再計算するための明示的なセマンティクスが必要です。
• 順序が重要である: 複数の修復オペレータが存在する場合、その順序は実装の詳細ではなく、ガバナンス・ポリシーの一部となります。
• 状態には信頼ポリシーが必要である: 永続的なガバナンス状態への受理は、将来の信頼とは別物です。受理されたが未カバーの欠陥は、将来の修復を汚染する可能性があります。

範囲と限界:
本論文は、自らの主張の範囲を明確にしています：

• これはメカニズムのデモンストレーションであり、生産環境における普及度に関する研究ではありません。
• これは現在のワンショットかつ冪等な設定における健全性を確立するものです。非冪等な修復者や循環依存における一般的な収束、停止性、または合流性を解決すると主張するものではありません。
• 加重集計が本質的に安全ではないと主張しているのではなく、特定の閾値制約なしにはハードな拒否セマンティクスの実装には適さないということを述べています。
• バッファ汚染の緩和策は露出を減少させますが、不完全なカバレッジを伴う状態を持つ修復の脆弱性を完全に排除するものではありません。
• 非可換性のデモンストレーションは、実装された2つのオペレータ（エビデンス置換とリソース・ダウンルート）に特化したものであり、チェッカーを再導出することなく任意の修復オペレータに一般化されるものではありません。

本研究は、エージェントにおける異種混合で状態を持つ制御を構成するための厳格な基礎を提供し、再評価、明示的な順序付け、および「受理」と「信頼」の慎重な区別の必要性を強調しています。