💻 computer science

Drift-Aware Governance-as-Code for Agentic Cloud Operations: Formalizing State Certifiability and Testing Dynamic Authority Control in an AWS Testbed

本論文は、ドリフトを検知するガバナンス・アズ・コード（DAGA）を導入および検証するものであり、これは、観測された乖離が定義された信頼限界を超えた場合にインフラストラクチャの状態を動的に証明し、ロックアウトの閾値を強制することで、必要な復旧作業を不当に妨げることなく、エージェンティックなクラウド運用におけるポリシー違反を大幅に削減するランタイム権限制御モデルである。

原著者： Albert Adusei Brobbey, Jin Lang, Brandon Taylor, Nasr Omar

公開日 2026-10-08

📖 1 分で読めます☕ さくっと読める

CC BY 4.0

原著者： Albert Adusei Brobbey, Jin Lang, Brandon Taylor, Nasr Omar

原論文は CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) でライセンスされています。 ✨ これは以下の論文のAI生成解説です。著者が執筆または承認したものではありません。技術的な正確性については原論文を参照してください。免責事項の全文を読む

現代のデジタル世界において、企業はビジネスを運営するために、膨大なコンピュータサーバーとソフトウェアツールのネットワークに依存しています。これらのシステムを円滑に稼働させ続けるために、組織は、人間の手を介さずに意思決定や問題解決を行うための、多くの場合人工知能を活用した自動プログラムを使用しています。これらのプログラムは、サービスを拡張したり、セキュリティ設定を変更したり、故障したコンポーネントを再起動したりすることを、一瞬のうちに行うことができます。しかし、これらの自動エージェントは、自身が管理すべきシステムの「地図」に基づいて動作しています。この地図とは、システムがどのようであるべきかを記述したルールと構成のリストです。問題は、実際のシステムが、地図が知らない方法で変化したときに発生します。システムが本来あるべき姿と、現時点での実際の姿との間に生じるこの乖離は、「ドリフト（漂流）」と呼ばれます。もし自動エージェントが古い地図に基づいて問題を解決しようとすれば、地図上では安全であっても、現実には危険な変更を加えてしまう可能性があります。エンジニアにとっての核心的な課題は、いつ地図が非常に信頼できなくなったのかを見極め、エージェントに操作を停止させて人間に状況の確認を待たせるべきかを判断することです。

研究チームは、これらの自動エージェントを統治するための新しい手法を開発することで、この特定の問題を解決しようと試みました。彼らは、実際のシステムが意図された設計からどの程度逸脱しているかを常にチェックするシステムを構築しました。単にルールが守られているかどうかを見るのではなく、彼らのシステムは、エージェントが使用している情報の「質」を測定します。彼らはこの概念を「状態の証明可能性（state certifiability）」と呼んでおり、これは単純に、「エージェントのシステムに対する理解が、行動を許可できるほど正確であると言えるだけの、信頼できる証拠が十分に存在するのか？」と問いかけることを意味します。もし、システムが変化しすぎている、あるいはデータが古すぎるために証拠が不十分である場合、システムは自動的にエージェントの権限を縮小します。これはエージェントを完全にシャットダウンするのではなく、エージェントが大きなリスクを伴う変更を行うことを禁止する一方で、問題を解決し秩序を回復するための、小さく安全な一連のアクションを実行することは引き続き許可します。

このアイデアをテストするために、研究者たちは、人気のクラウドコンピューティングプラットフォームであるAmazon Web Servicesを使用して、制御された環境を構築しました。彼らは、計画と現実の間の、全く変化がない状態から、深刻で混沌とした不一致に至るまで、さまざまなレベルのドリフトをシミュレートできるテストベッドを作成しました。彼らは、パスワードのローテーション、コンピュータ・ワークロードの拡張、あるいは侵害されたリソースの隔離といったタスクを実行しようとする自動エージェントを用いて、数千回の実験を行いました。彼らは、制限なしでエージェントを行動させる方法、状況に応じて変化しない固定された一連のルールを使用する方法、そして新しい「ドリフトを認識した（drift-aware）」システムを使用してリアルタイムでエージェントの権限を調整する方法の3つのアプローチを比較しました。結果は驚くべきものでした。システムが深刻なドリフト状態にあるとき、制限のないエージェントは92.3%の確率でルールを破りました。固定ルールを持つエージェントは55.2%の確率でルールを破りました。しかし、新しいドリフト認識システムによって統治されたエージェントがルールを破った割合は、わずか25%でした。これにより、エージェントの権限を、現在のシステムの状態をどれだけよく理解しているかに依存させることで、危険なミスのリスクを劇的に減少させられることが示されました。

この研究では、システムがエージェントをロックアウト（排除）すると決めた場合に何が起こるかも調査しました。エージェントをロックアウトすると、重要な問題を解決できなくなり、システムが壊れたままになってしまうのではないかという懸念が一般的です。研究者たちは、ロックアウトされている間でも、侵害されたサーバーの隔離や、誤った変更のロールバックといった「リカバリ専用」の限定的なアクションが許可される特定の設計をテストしました。その結果、このアプローチは賢明な中間策であることが分かりました。すべての動作を停止させる厳格なロックアウトは、不安全な動きのリスクを80%以上減少させましたが、同時にエージェントが問題を解決することも不可能にしてしまいました。しかし、リカバリ専用のアプローチは、不安全な動きのリスクを約55%減少させつつ、エージェントがケースの約84%において問題を正常に解決することを可能にしました。これは、エージェントが秩序を回復するための特定の、事前承認されたステップのみを許可されていれば、システムを麻痺させることなく安全に保つことができるということを示しました。

この研究の最も重要な発見の一つは、「ロックアウト」地点の性質に関するものでした。チームは、システムが危険になりすぎる自然な境界点となることを期待して、エージェントの通常の操作を停止させる特定の閾値を設定していました。しかし、彼らのデータは、リスクがその特定の数値で突然跳ね上がるわけではないことを示しました。代わりに、システムが計画から遠ざかるにつれて、リスクは徐々に増大していきました。これは、エージェントをロックアウトするという決定は、自然法則の発見ではなく、組織による意図的な選択であることを意味します。それは、「我々は一定のリスクを受け入れる用意があるが、不確実性がこの点を超えたら、もはやエージェントの地図を信頼しない」というポリシー上の決定なのです。研究者たちは、あらゆる状況に通用する魔法の数字など存在せず、代わりに、組織はそれぞれの特定のニーズとリスク許容度に基づいて、独自の限界を慎重に選択しなければならないと結論付けました。

また、この研究は、システムが依存するデータが不完全な場合でも、新しいシステムが機能することを裏付けました。彼らは、ドリフトの測定値がわずかにずれていたり、データが少し古かったりする場合に、システムがどのように機能するかをテストしました。システムは堅牢であり、危険な状況を正しく特定し、ほとんどのケースでエージェントの権限を制限しました。さらに、彼らは、システムがシミュレーションの外でも機能することを確認するために、クラウドプラットフォーム上で実際のライブコマンドを用いた別の検証を実施しました。これらの実世界のテストにおいて、新しいシステムは、未承認のアクションをほぼ9%からわずか1%強へと減少させ、このコンセプトが理論だけでなく、実践においても機能することを証明しました。研究は、安全な自動クラウド運用の未来は、エージェントの権限を柔軟な変数として扱うことにあると示唆しています。エージェントの知識が特定のアクションを正当化できるほど信頼できるかどうかを常に問い続けることで、組織は、安全性をしっかりと握りつつ、自動化されたシステムをより速く、より自由に稼働させることができるのです。

技術要約：エージェンティックなクラウド運用におけるドリフトを考慮したガバナンス・アズ・コード（Governance-as-Code）

問題提起
大規模言語モデル（LLM）エージェントが、助言的な役割から、より重大な結果を伴うクラウド操作（例：スケーリング、認証情報のローテーション、IAMの変更）を実行する役割へと移行するにつれ、制約を強制するための「ポリシー・アズ・コード（Policy-as-Code）」への依存度が高まっている。しかし、決定的な認識論的ギャップが存在する。すなわち、ポリシーエンジンは「宣言された状態の表現（例：Infrastructure-as-Code）」に対してリクエストを評価するが、この表現はライブシステムから乖離している可能性がある。構成のドリフト、データの陳腐化、あるいは観測プロセスの不備によって、「宣言された状態」と「観測された状態」が乖離した場合、形式的に正しいポリシー・ルールであっても、運用上不安全な決定を下す可能性がある。既存のツールはドリフトを検出できるが、状態の証拠の「検証可能性（certifiability）」に基づいてエージェントの運用権限を動的に調整するメカニメントは備わっていない。

手法
著者らは、以下の4つの連結されたコンポーネントからなる逐次的な混合研究法を採用した：

実務家インタビュー： ドリフト、陳腐化、および非検証可能性に関する概念の妥当性を引き出すため、クラウドおよびセキュリティの専門家11名に対してインタビューを実施した。
運用のテレメトリ： 84のリソースにわたる140件のドリフト事象を分析し、乖離のダイナミクスと時間的な陳腐化を定量化した。
ランダム化制御AWSテストベッド： 3つのガバナンス・モードを比較する、1,429回の有効な実行を含む要因実験を実施した：
- 制約なしのオートメーション（Unconstrained Automation）： ガバナンス介入なし。
- 静的なガバナンス・アズ・コード（Static Governance-as-Code）： 動的な権限調整を行わない固定されたポリシー評価。
- ドリフトを考慮したガバナンス（DAGA）： ドリフト指数を算出し、エージェントの権限を動的に制限するランタイム・モデル。
独立した運用検証： ルールへの適合性と誤ロックアウト率を検証するため、合成リソースに対して実際のAWSコントロールプレーン・コールを用いた、別途用意された270回の実行実験を実施した。

ドリフトを考慮したガバナンス・モデル（DAGA）
核心となる貢献は、**「状態の検証可能性（State Certifiability）」**を権限のランタイム前件条件として扱う形式モデルである。このモデルは、以下の3つの柱で構成される：

観測調整済みドリフト指数 ( $\Phi_t$ )： 以下の要素を組み合わせた複合指標：
- 測定された乖離 ( $\delta$ )： 宣言された属性と観測された属性（例：公開露出、IAMバインディング）の重み付き差分。
- 時間的陳腐化 ( $\rho$ )： 最後の検証済みリコンシリエーション（照合）からの経過時間に基づく減衰関数。
- 観測信頼度 ( $q$ )： スキャナーの健全性、レイテンシ、信号の完全性を考慮した係数。
- 公式： $\Phi_t = 1 - (1 - \delta_t)(1 - \rho_t)q_t$ 。
非対称な権限遷移：
- 制限（Restriction）： 自動的かつ即時的。 $\Phi_t$ が上昇するにつれ、エージェントの権限上限（ $D_t$ ）は序数的なマッピング（例：フルオートノミーから制限されたアクションへ）を通じて引き下げられる。
- 昇格（Promotion）： 漸進的かつ証拠に基づいたもの。高い権限の回復には、持続的な低ドリフト、高い観測信頼度、および安全なパフォーマンスの統計的証明が必要となる。
リカバリ専用権限（Recovery-Only Authority）： 「LOCKOUT（ロックアウト）」状態（高 $\Phi_t$ ）においては、通常の操作は拒否される。しかし、検証可能性を回復するための限定的な「リカバリ専用」のアクション（例：ワークロードの隔離、認証情報のローテーション、ロールバック）は実行可能である。

主な結果

違反の削減： 重度のドリフト条件下において、DAGAはポリシー違反率を25.0%に減少させた。これは、制約なしのオートメーションの92.3%、および静的なガバナンスの**55.2%**と比較して大幅な改善である。制約なしのオートメーションに対するリスク比は0.27（95% CI 0.13–0.58）であった。
運用の効率性： DAGAは低ドリフトシナリオにおいてリカバリ時間を増加させなかった。これは、動的なガバナンスが安全な操作を阻害しないという仮説を支持している。
閾値の性質： 本研究では、事前に設定されたハード・ロックアウト閾値（ $\theta_{lock}=0.65$ ）は、違反リスクにおける経験的に検出可能な自然な不連続点ではなかったことが判明した。代わりに、リスクはドリフトに伴って滑らかに上昇した。このことは、閾値が統計的な相転移ではなく、規範的な制度的ルール（不確実性に対する許容度）であることを示唆している。
リカバリと安全性のトレードオフ： 4,211のアクションに対する事後再プレイの結果、以下のトレードオフが明らかになった：ユニバーサルな「ハードストップ」は、不安全な露出を81.1%減少させたが、リカバリ操作の18.1%しか保持できなかった。一方、「リカバリ専用ロック」は、不安全な露出を54.7%減少させつつ、83.8%のリカバリ操作を保持した。
検証： 独立したAWS検証により、DAGAはポリシー違反を制約なしの48.9%から5.6%に減少させ、アルゴリズムによるプロキシと比較して、誤ロックアウトの有意な増加も認められなかった。

意義と主張
本論文は、ガバナンス・アズ・コードのパラダイムを、単なるルールの実行から**「認識論的前件条件化（epistemic preconditioning）」**へとシフトさせることを主張している。著者らは、権限とは静的な能力ではなく、観測された状態の証拠の適切さに条件付けられた、ランタイム制御可能な変数であるべきだと論じている。

主要な理論的貢献は以下の通りである：

状態の検証可能性（State Certifiability）： これを、正当性やコンプライアンスとは異なる、権限決定を正当化するために必要な「証拠の妥当性」として定義した。
非補償性（Non-Compensability）： 観測の完全性が損なわれた場合、他の次元における良好なスコアによって通常の権限を回復させることはできないことを確立した。
制度的意思決定ルール（Institutional Decision Rules）： 「非検証可能性」を、インフラストラクチャの自然なバイナリ状態としてではなく、連続的な不確実性に課された制度的な意思決定ルールとして枠付けた。

著者らは、本研究がサンドボックス化されたAWS環境内の合成リソースを用いて行われ、「ドリフトを考慮した」条件がバンドルされた介入であったことを踏まえ、一般化については慎重な姿勢を保っている。結論として、動的な権限制御はドリフトによる違反を実質的に軽減するものの、具体的な閾値やリカバリセットの設定には、ローカルな検証と説明責任のあるガバナンスが必要であるとしている。

関連論文