要約

  • AIエージェント向け認可トークンの個人Internet-Draft第02版は、省略可能な引数と、トークンに列挙されない引数を新たに扱う。省略時の既定動作はツールが決め、検証側には見えない。
  • "*" は将来追加される引数も通し得る。署名が同じでも、ツールの変更によって実際の許可範囲は広がる。

昔の通行証で、新しい扉が開く

エージェントに渡す署名済みトークンには、使えるツールと引数が書かれている。ツールに後から新しい操作項目が増えたら、古いトークンはそれを通すのか。Niki Aimable Niyikizaの改訂草案では、"*" があれば通り得る。署名は発行者を証明する。しかし、発行時に存在しなかった項目まで発行者が検討した証拠にはならない。

10月27日の告知とIETF Datatrackerが示すのは個人Internet-Draftの第02版だ。提案するAATでは、保有者が発行元に連絡せず、同等または狭い権限の派生トークンを作れる。実行を許す側は署名の連鎖を検証し、末端トークンの引数表とツール呼び出しを照合する。照合の対象となるツールの仕様が変わると、話は別になる。

第01版は、引数表にない項目を拒み、載っている項目は必ず指定させた。第02版の謝辞には、独立実装がこの方式では本当に任意の引数を制限できないと発見した経緯がある。改訂版は引数に optional: true を付け、省略を許せるようにした。さらに "*" を、名前を列挙していない引数の受け皿にした。この欄は値を制限しない。空の引数表も、同じ開放状態として扱う。

空欄にも動作がある

草案にあるファイル読み取りの例では、path を一つのファイルに固定し、head と tail の行数は上限付きで任意にする。head が指定されれば、検証側は上限を調べられる。指定されなければツールの既定値が動き、その結果を検証側は見られない。草案は、省略した head によってファイル全体が返る場合を挙げる。「書かなかった」は「少なく読んだ」ではない。発行者は任意指定を許した時点で、ツールの既定動作にも委ねている。

星印の問題は時間差で現れる。今の引数表にない項目だけでなく、次の版でツールが増やす項目も受け入れるからだ。草案は外部に影響を及ぼすツールに "*" を使わないよう勧め、公開入力スキーマにない引数を実行側が拒むことも認める。ただし、それは運用で選ぶ制御だ。古いトークンをツールの特定版に必ず結び付け、項目追加のたびに発行者の再承認を取らせる規則にはなっていない。

署名検証が成功しても、権限の問いは残る。連鎖が本物で、現在の呼び出しが表に合うことは確かめられる。新しい引数や今の既定動作を、誰が許したのかは別の記録が要る。ツールの版、入力スキーマ、星印を選んだ判断を並べて初めて、通行証の射程が分かる。

第02版の付録Fは、第01版の実装を壊す規範的な変更があると明記する。任意・未列挙の引数もその一部だ。互換性のために余白を残せば、更新ごとにトークンを出し直す手間は減る。その代わり、ツールを保守する人が署名を変えずに許可の実質を変えられる。そこに管理上の争点がある。

原資料