要約

  • 個人提出のInformational Internet-Draft第02版は、本人性、内容、関連付け、再構成、出力解放を別々の権限として扱う。IETF標準、認証、導入実績ではなく、現在もI-D Existsの作業文書だ。
  • ポリシーや索引、アテステーション材料はコールドパスで準備できる。ただし過去の計算は将来の操作を許可しない。現在のセッション、epoch、失効、関連範囲、宛先、受信者、レシートは結果が有効になる時点で確認が要る。
  • プロキシやサイドカーの実効性は、旧DB資格情報、デバッグ口、代替API、ファイル出力、緊急ネットワーク経路で同じ行為が失敗するかで測る。部品の設置は強制仲介の証拠ではない。

移行期の障害訓練で、担当者が「一時的に」旧接続へ戻す。AI向けゲートウェイは停止しているが、元のサービスアカウントで結合済みレコードを読み、保守用の出力から送れば業務は続く。この復旧手順が成立する限り、平常時のサイドカーは最終決定者ではない。危機時に残る古い経路こそ実権を持つ。

この判定軸は、第02版 A Compromised AI Server Must Not Become a Map of the Enterprise の運用上の核心である。Datatrackerによれば、S. Dasによる9月6日付の個人ドラフトで、想定ステータスはInformational、状態はI-D Existsだ。ワーキンググループ文書でもRFCでもなく、製品実装や効果を示す資料でもない。

履歴を見ると変更の意味が分かれる。第00版は再構成と解放を分離した。第01版は遅延とレガシー移行に答え、コールド／ホットパス、並列判断、段階移行、参考実装、非バイパス性を加えた。第02版はレビューFAQと動機を加えたが、中核の規範要件は変えていないと明記する。

事前計算の有効期限

コールドパスには、コンパイル済みポリシー、許可関連グラフ、本人索引、ワークロード測定、宛先manifest、アテステーション材料、期限付き失効情報、provenance構造を置ける。毎回同じ処理を直列に繰り返さないのは合理的だ。

しかしキャッシュは判断結果を保存しても、現在の権限を生み続けない。昨日のポリシーは今日の失効を知らない。以前の本人解決は別epochの主体を許可しない。測定済みワークロードの証明も、任意の目的や宛先への関連付けを認めない。

そのためホットパスには、現在のsession epoch、ポリシー、失効、ワークロード対応、関連範囲、provenance、宛先、受信者、レシート状態、解放境界が残る。高速化は計算の時刻を動かせるが、権限が成立する時刻は動かせない。

並列化しても拒否は一票ではない

提案は本人情報、内容、関係mapを独立権限にする。名前と障害票を読めても、その名前の顧客に障害票を結び付けてよいとは限らない。関係そのものが保護対象である。

Reconstruction Authorization Objectは目的、session、epoch、項目、関連範囲、実行文脈、回数、再構成域を拘束する。成立後は各vaultが並列に判断できる。遅延は全往復の合計ではなく、必須域で最も遅い判断と編成時間に近づく。

ただし二つの許可は三つ目の拒否に勝たない。関係vaultが拒否、期限切れ、検証不能なら、本人vaultと内容vaultの成功を組み合わせてはならない。部分成功は破棄または無効化し、状態を変えない限定再試行だけを許す。

計算後もモデルの出力はCandidate Outputにすぎない。封印、現在条件の再検証、レシートのcommitを経て、digest、受信者、宛先、session、境界に結び付いた一回限りのcapabilityを発行する。画面表示、ファイルcommit、memory保存、tool invoke、network sendはいずれも利用可能性を作る解放である。

RFC 7515のJWS、RFC 8785のJSON正規化、RFC 9334の証拠・評価方針・結果の分離は、主張を検証可能にする。だが、残存した直結アカウントを失効させる機能ではない。

段階移行は権限の二重化を生む

既存モデルの手前に保護仲介を置き、旧レコードを初回アクセス時に分解し、関係mapから先に分離する――草案はこの漸進策を認める。全面再構築を要求しない点は現実的である。

同時に、旧サービスアカウント、分析copy、backup資格情報、cached secret、保守console、別retrieval、file share、緊急egressが生き残る。新経路を採用したことと、旧権限を消したことは別の作業だ。

草案が最後の要件と呼ぶのはnon-bypassabilityである。旧DB接続が本人と内容を再構成できればNon-Joinabilityは失敗する。別API、debug export、message、file、networkで結果を出せればOutput Finalityも失敗する。既存経路の隣に置かれたサイドカーは助言者であって、支配者ではない。

受入試験では禁止操作を全等価経路から実行する。サービス名ではなく資格情報を棚卸しし、平常、batch、保守、backup、rollback、break-glassで同じjoinと同じ出力を試す。正規経路の成功件数ではなく、旧経路の否定結果を保存する。

参考リポジトリは16 testと約2.38 msのローカルwarm benchmarkを報告する。しかしnetwork、remote attestation、HSM/KMS、分散commit、model inference、production DBは対象外だ。三vaultは一つのPython process内の論理objectであり、process侵害で境界は破れる。実行可能性の例であって、本番隔離の証明ではない。

Heng Luの現実レイヤーはドラフト、設定、現在権限、レシート、拒否、結果を混同させない。Running-Code Primacyなら旧接続を実際に試す。Minimum Initial Specificationならsession、scope、digest、destination、receipt、single-use releaseだけを共通核にできる。

新しい流れが動くことは開始の証拠である。古い力が動かないことが完了の証拠だ。