要約

  • Governance Audit Record for Agentic AI Systems 第07版は2026年9月3日にIETFの文書庫で公開された。Datatrackerはこれを個人Internet-Draftとし、IETFの支持や標準化手続上の正式な地位、RFCストリーム、担当Area Directorはいずれもないと示す。
  • 旧GAR-06は外部署名をR-3に結び、R-3をアテステーション完全性の失敗と呼んでいた。一方、参照先のMAD-03ではR-3は無応答であり、分類はR-7までしかない。
  • GAR-07は外部署名とKIA再アテステーション完了をR-8に移し、セッションと子委任の失効クラスをR-1からR-8までに広げた。
  • 9月4日付のMAD-04は、マンダートまたは資格情報の侵害をR-8として追加した。即時失効、人による再承認、全子孫への波及を定める一方、偽の侵害信号で停止させられないよう信号の真正性確認も求める。
  • 最新本文同士は整合するが、GAR-07の規範文献はMAD-03のままである。検証可能な運用プロファイルには、GAR-07とMAD-04の版・ハッシュ・試験結果を一体で残す必要がある。

一文字の番号が復旧権限を変える

GAR-06が置いた原則は明快だった。統治を実施し監査記録へ署名するGEC自身に侵害の疑いがあるなら、そのGECだけで「復旧した」と証明してはならない。KIA再アテステーションの完了は、外部の検証サービスが署名する。

ところが原稿は、その対象をR-3「Attestation Integrity Failure」と記した。規範的に参照された MAD-03 でR-3が意味するのは Non-Response である。ガバナンス信号に期限内で応答しない状態だ。同版にはR-1からR-7までしかなく、侵害を独立に表すコードはない。

無応答なら、条件次第でオペレーターが継続マンダートを出す余地がある。資格情報が盗まれたなら、そのマンダート自体の信頼性が崩れている。同じR-3を受け取った実装が異なる復旧者を選べば、ログ形式が一致しても権限は一致しない。

GAR-07が外部証人の位置を直した

GAR-07では、関係する箇所がR-8へそろえられた。設計原則は「R-8事象の外部署名」となり、ALE_KIA_REATTESTATION_COMPLETED もR-8だけで発火する。セッション失効と子セッション失効の記録は、従来のR-1～R-6からR-1～R-8へ広がった。

ここで重要なのは署名者の分離である。審査されるGECは通常の記録を作れても、自らの信頼回復を示す唯一の署名者にはなれない。記録は外部検証者のIDとEd25519署名、旧・新アテステーション、カーネル版、ポリシーハッシュ、空白期間を持つ。その期間に動いたセッションは監査パッケージで警告対象になる。

ただし外部署名は万能ではない。GAR自身が、侵害後も署名鍵を使えるGECは、暗号検証に通る虚偽の過去記録を作り得ると認める。外部検証が守るのは復旧経路の一地点であり、それ以前の全行為を無傷と認定するものではない。

MAD-04はR-8の停止範囲を定める

MAD-04は翌日にR-8 Compromise を追加した。改訂説明によると、別のマンダート・ライフサイクル事象には compromise という理由があるのに、MADの分類には対応するRコードがないことが横断確認で見つかった。

対象は、外部攻撃によってマンダートまたは提示資格情報が侵害された疑い、あるいは確認がある場合だ。鍵材料の露出、資格情報の窃取、実行時IDがアテステーション状態と一致しないKIA失敗などが挙げられる。R-1は与えられた権限の禁止境界をエージェントが越える場合、R-8は権限を運ぶ器そのものが信用できない場合である。

R-8は自然な区切りを待たず、直ちにセッションを止める。完了状態を CLEAN にはできない。再開には人間のプリンシパルの承認が必要で、侵害鍵や同じ材料から導出した資格情報を使えない。疑わしい親マンダートから権限を受けたすべての子孫にも失効が波及し、SACRと一時KIA参照も無効になる。

この強い停止は攻撃対象にもなる。偽の侵害通知を信じれば、正当な委任ツリーを丸ごと落とせる。そのためMAD-04は、通知元の鍵で検出信号を独立に検証してからR-8を確定するよう求める。監査記録には検出源と、得られる場合は根拠となったアテステーションまたは信号の参照が残る。

参照名を追うか、参照版を追うか

現在の GAR と MAD を開けば、07と04が表示される。この組み合わせではR-8の意味が通る。しかしGAR-07本文の規範文献は draft-sato-soos-mad-03 と版を固定している。そのファイルにはR-8がない。

3日と4日という公開順は、単純な編集順序だった可能性を示すにすぎず、意図を証明しない。確認できる差は解決方法である。文書名を「常に最新」として扱う実装はMAD-04へ進む。固定引用を歴史どおり再現する実装はMAD-03で止まる。

最新ページへのリンクは読者には便利だが、監査に必要な過去の意味を保存しない。「GAR/MAD対応」という製品表示も、版がなければ後日内容が変わる。最低限の適合単位は、GAR-07とMAD-04の明示的な組でなければならない。

版をまたぐ試験票を残す

運用側が残すべき票は小さくできる。両文書の版とSHA-256、元の理由、Rコード、信号検証鍵、失効する根と子孫、部分完了状態、人間の判断、外部検証者、復旧事象を一列につなぐ。

試験は異常系から始める。R-3無応答がR-8再アテステーションへ流れないこと、真正なR-8が子孫まで止めること、偽信号は権限を落とさず拒否されることを確かめる。疑われたGECの自己署名、侵害鍵の派生鍵、未処理の部分状態による復旧は、それぞれ別の理由で失敗しなければならない。

次版で参照が直っても、旧票を上書きしない。訂正後の組を追記し、どの依存関係が変わったかを記す。それによって、ある時点の稼働実装が信じた規則を後から再構成できる。

Heng Luの Running-Code Primacy は、この草案が動いている証拠ではなく評価軸である。公開された文章と運用事実を分け、ローカルに検証できる決定規則を見る。Minimum Initial Specificationの発想も、共通層を薄くしつつ、独立した実装が同じ結論へ到達できる精度を求める。

IETFの文書庫は承認印ではない

Datatrackerは両方を個人Internet-Draftに分類する。誰でも提出でき、IETFによる支持や標準化手続上の正式な地位はない。RFCストリームも担当ADもない。ヘッダーの Standards Track は著者の意図であって、現在の手続状態ではない。

今回の資料からは、実装、相互接続試験、本番採用、規制当局の受容、実際の侵害事案を確認できない。草案は更新、置換、失効し得る。

したがって「IETFがAIガバナンスを標準化した」という記事ではない。公開作業文書が、侵害時の署名権と停止範囲を整合させたという記事である。そしてその整合作業は、署名だけでなく、その署名に権限を与えた正確な版を保存しなければ監査は完結しないことを示している。

出典

  1. IETF文書庫のGAR-07通知
  2. Datatracker：Governance Audit Record
  3. GAR-07
  4. GAR-06
  5. GAR-06から07への公式差分
  6. Datatracker：Multi-Agent Delegation
  7. MAD-04
  8. MAD-03
  9. MAD-03から04への公式差分
  10. Heng Lu：Running-Code Primacy
  11. Heng Lu：最小の初期仕様
  12. Heng Lu：主張ではなく現実