要約

  • 改訂05は、外部アダプターを呼ぶ前の一つの原子的取引で、事業者進入の記録と予約額から消費額への移動を同時に行う。
  • 進入後に結果が分からなくなっても、それは未進入の証明ではない。枠を戻すには、権威ある状態が進入なしを示さなければならない。
  • 取消しや緊急凍結は進入より先に直列化された場合だけ今回の行為を止められる。進入後の制御は次の行為を止めても、過去の可能な効果を消せない。

「失敗」の表示では残高は決まらない

署名付き能力証明書に上限額が書かれていても、残高は署名の中で減っていかない。複数の実行主体、再試行、再起動が同じ権限を使うなら、どの予約が先で、どの操作が外部へ進んだかを一つの状態領域が順序づける必要がある。

Bounded Capability Receipts and Durable Spend Control for Agent Actions は、発行者、対象、範囲、金額、単位、小数位、保持者証明、有効期間、親能力を結ぶ署名付き証明書と、予約・消費を保存する原子的ストアを組み合わせる。残額は総額から消費と予約を引いた値であり、予約と消費の合計が総額を超えてはならない。

焦点は、予約がいつ消費になるかだ。

結果確定ではなく、事業者進入で引く

改訂04では、外部事業者への進入開始を記録し、その後の結果コミットで予約額を消費額へ移した。改訂05は二つを結合する。アダプターを起動する直前、ストアは予約の所有者、期限、現在の能力と許容状態、直接または継承された取消しを再確認する。緊急停止プロファイルを使う場合は、領域が活動中で予約時のエポックと一致することも確かめる。

その同じ取引が provider_entered を記録し、予約を減らし、消費を増やす。成功して初めて外部アダプターへ進む。後のコミットは実行済みか結果不明かを閉じるだけで、二度目の引落しはしない。

この順序により、組織が「外部効果は起きていない」と証明できなくなる最初の瞬間と、権限が残高から消える瞬間が一致する。

結果不明と未進入は別の証拠

応答が消えても、事業者は予約、送金、削除などを受け付けた可能性がある。したがって indeterminate は消費済みのまま扱う。呼出側は新しい操作IDでやり直さず、元の操作を照会または照合する。

枠を戻せるのは、権威あるストアが操作をまだ予約状態に保ち、事業者進入が記録されていないと証明できる場合だけだ。認証された予約所有者が not_entered に閉じる。それでも操作キーは再生防止の墓標として残る。容量は戻っても、同じ要求が新品になるわけではない。

これは可用性より重複防止を優先する非対称な設計である。結果不明を消費と数えることは、効果が確実に起きたという主張ではない。再利用して安全だと証明できない、という主張だ。

凍結にも勝敗の時点がある

改訂05の任意の入場制御領域は、活動/凍結状態と単調増加するエポックを持つ。予約がエポックを記録し、進入時に再照合する。凍結が先なら進入を拒否できる。進入が先なら後の凍結は新しい行為を止めても、その消費を戻さない。

取消しも同じである。予約は古い許可を固定しないため、入口で再確認する。しかし入口後の取消しは、事業者が何もしなかった証明にはならない。

制度上の位置づけは限定的だ。Datatrackerは2026年9月6日更新の個人Internet-Draft、IESG状態 I-D Exists と示し、IETFの承認はない。本文はExperimentalを意図する一方、概要欄には現在RFC予定状態が表示されない。標準、認証、実装実績ではない。

JSONの正規化、Ed25519、日時表現、規範語は署名対象を再現可能にする。しかしアダプターが事業者の本当の不可逆点を正しく選んだかは証明しない。署名、現在状態、外部進入、観測結果は別々に保存すべきである。

出典