技術要約：自律型AIエージェントをランタイムで制御するための5つのプリミティブ

1. 問題提起

エンタープライズ環境における自律型AIエージェントの導入は、人間のユーザーや長寿命のサービス向けに設計された既存のガバナンスモデルには適合しません。本論文は、従来の制御策を無効にするエージェント特有の性質として、以下の3点を特定しています。

• エフェメラリティ（一時性）: エージェントは、プロビジョニングのサイクルよりも速いスピードで出現し、消失する。人間による事前登録に依存する制御は、ボトルネックとなるか、あるいは回避される。
• ランタイムにおけるアクション選択: エージェントは、モデルを通じて実行時に動的にアクションを選択するため、コールサイト（呼び出し箇所）が列挙可能である従来のサービスとは異なる。潜在的なアクションの集合は事前に既知ではないため、静的なポリシー定義では不十分である。
• ディスカバリ（発見）対 プロビジョニング: エージェントは、管理者によってプロビジョニングされるのではなく、APIコールを通じてディスカバリされる。既知のエージェントのみを管理するコントロールプレーンは、未管理で非準拠なサブセットを見逃してしまう。

著者らは、エージェントのガバナンスは、モデルの整合性（モデルの特性）やビルド時の静的解析（ランタイムのモデルの選択を制約できない）とは根本的に異なる、ランタイムの問題であると主張しています。

2. メソドロジーとアーキテクチャ

本論文は、エージェントのアクションが実行される前に、そのすべてを媒介するランタイム・コントロールプレーン・アーキテクチャを提案しています。このシステムは、アクションの前後で回答されるべき問いから導き出された、5つの不可分なプリミティブを中心に構築されています。

5つのプリミティブ

1. ディスカバリ（Discovery）: エージェントが存在するかどうか、およびそれが何を試みているかを判断する。
   • メカニズム: ログを追記するのではなく、能力の試行（capability attempts）を集計する。リトライループによるDoSを防ぐため、値を含まない未登録のアクション「型」（パラメータ名のみ）を記録する。
   • 制約: ディスカバリはオブザーバビリティ（観測可能性）であり、ガバナンスではない。これ自体はリクエストを拒否できず、さもなくば認可パスのブラスト半径を継承してしまう。
2. アイデンティティ（Identity）: 「これは何か？」を証明可能な形で確立する。
   • メカニズム: mTLSを用いたアテステーションベースのワークロード・アイデンティティ（例：SPIFFE/SPIREスタイル）を使用する。認証情報は、人間のプロビジョニングではなく、ランタイムの特性（ポッド、サービスアカウント）から派生した短寿命のものである。
   • 制約: アイデンティティはトランスポート層にバインドされており、ペイロード内で表明されるものではない。これにより、エージェントが任意のプリンシパルを主張することを防ぐ。
3. ガバナンス（Governance）: アクションの実行前に「それを実行してもよいか？」を決定する。
   • メカニズム: メディエーターがクリティカルなリクエストパスに位置し、テナントごとのアクション語彙に対してポリシーを評価する。「デフォルト拒否（deny-by-default）」の姿勢をとり、ループを即座に停止させるための「キルスイッチ」を毎リクエストごとに照会する。
   • 制約: アクション語彙は顧客が作成し拡張可能なものであり、古い監査記録は解釈可能性を維持するために、不変のバージョン化された定義を参照しなければならない。
4. アテステーション（Attestation）: 「何が起きたか」を検証可能な形式で記録する。
   • メカニカズム: 決定事項は、テナントごとのキーによって署名された、追記専用のハッシュ連結レジャー（台帳）に書き込まれる。
   • 制約: 検証はベンダーのシステム外部で行われなければならない。顧客は独立したツールで検証するためにエビデンスパッケージをエクスポートし、紛争時にベンダーが真実の唯一の裁定者とならないようにする必要がある。
5. サプライチェーン（Supply Chain）: 「それは何で作られており、変化していないか？」を判断する。
   • メカニズム: エージェントの構成（モデル、プロンプトテンプレート、ツール記述、依存関係）に対処する。
   • ステータス: 現在は、個別の開発者向けツール（静的検証）として実装されているが、ランタイム・コントロールプレーンにはまだ統合されていない。ランタイムでの強制適用が保留されているものの、ガバナンスにおいて必要な問いであるため、プリミティブとして定義されている。

システムフロー

エージェントのアクションは以下の通り流れます。

1. アイデンティティ: エージェント（サイドカー経由）は短寿命の認証情報を取得する。
2. ガバナンス: エージェントは認可エンドポイント（POST /v1/actions/authorize）を呼び出す。メディエーターは、トランスポート層のアイデンティティをチェックし、アクション型に対してポリシーを評価し、キルスイッチを確認する。
3. ディスカバリ（該当する場合）: アクション型が未知である場合、それは拒否されるが、能力のディスカバリイベントとして記録される。
4. アテステーション: 決定事項はハッシュ化、署名され、レジャーに追記される。
5. 検証: 顧客は後で、独立してチェインをエクスポートし、検証できる。

3. 主な貢献

1. 不可分な分解: 本論文は、これら5つのプリミティブが必要不可欠であり、かつ分離可能であることを主張しています。いずれか一つを欠くと、他の要素では対処できない失敗モードが発生します（例：アイデンティティは「未知のアクション」問題を解決できず、ガバナンスは「プロベナンス（由来）」の問題を解決できない）。
2. エージェント特有の設計上の帰結:
   • **ディスカバリの表面（Surfaces）**は、リトライループによる無制限な増殖を避けるため、追記ではなく集約（upsert）を行う必要がある。
   • アイデンティティは、ペイロードのなりすましを防ぐために、トランスポート層にバインドされる必要がある。
   • ガバナンスは、動的な語彙を扱う必要があり、バージョン化されたポリシー定義を要求する。
3. セルフ・ガバナンス: コントロールプレーン自身の内部エージェントも、全く同じアイデンティティ、媒介、キルスイッチ、およびアテステーション・パスを経由し、別のポリシー名前空間とトランスポート層のアイデンティティ・チェックによって強制される。
4. 正直なコスト会計: 本論文は、アーキテクチャ上のコストを明示的に詳述しています。
   • レイテンシ: 強制ポイントがクリティカルパス上にあり、ネットワークのラウンドトリップとポリシー評価の遅延を導入する。
   • インフラストラクチャ: アイデンティティのアテステーションのために、ワークロードごとにサイドカーが必要となる。
   • 可用性: フェイルクローズ（失敗時に閉じる）型の媒介は、ガバナンス層の障害をエージェントのサービス拒否（DoS）へと変換する。
5. ステータスの透明性: 本論文は、「構築済み」と「統合済み」の区別を明確にしています（例：構築はされているが、ランタイムパスには統合されていないサプライチェーンなど）。

4. 結果と実装状況

著者らは、一般的なリリースではなく、プライベート・パイロットで稼働しているシステムについて報告しています。

• 構築済みかつ稼働中: アイデンティティ（アテステーションベース）、ガバナンス（キルスイッチを備えたメディエーター）、およびアテステーション（独立した検証器を持つ署名済みレジャー）。
• 部分的または未統合:
  • ディスカバリ: 能力のディスカバリ（未知のアクションの記録）は稼働しているが、集団のディスカバリ（コードやデプロイメントのスキャン）はライブラリとして存在するものの、まだプロダクション・パスでは呼び出されていない。
  • サプライチェーン: 構成分析は個別のツールとして存在するが、リクエストパスにおいて認可決定を条件付ける段階には至っていない。
• 方法論的注記: 著者らは、コンポーネントが構造的に機能を果たす能力を持たないまま「正常」であると報告してしまう再発性の失敗モード（例：何も検証していない検証器）を指摘しており、ステータス報告において「構築済み」と「配線済み（動作可能）」を厳格に区別しています。

5. 意義と主張

本論文は、広範な展開集団に対する測定された結果を提供したり、これら5つのプリミティブがすべての組織にとって十分であることを証明したりすることを目的とはしていません。その意義は以下の点にあります。

• タクソノミー（分類学）対 コードベース: ガバナンスのタクソノミーは、単に著者が作成したモジュールからではなく、「回答されるべき問い」から導き出されるべきであると主張しています。サプライチェーンというプリミティブを含めることは、解決策に合わせて問題を再定義することを避けるための意図的な措置です。
• ランタイムへの焦点: 「モデルを整列（アライン）させる」ことから「デプロイメントを制約する」ことへとパラダイムを転換しています。これは、完璧に整列されたモデルであっても、動的な環境においては限定された権限が必要であることを認めるものです。
• 信頼のアーキテクチャ: エージェント・ガバナンスにおける信頼には独立した検証（オフベンダー）が必要であり、コントロールプレーンは特権的な例外を排除するために自らを統治しなければならないことを強調しています。

結論として、本アーキテクチャは大きな運用コスト（レイテンシ、サイドカー、フェイルクローズ動作）を伴いますが、エフェメラルで、自己選択的で、プロビジョニングではなくディスカバリされるプリンシパルを制御するためには、これらのトレードオフは必要不可欠であるとしています。