要約

  • 2026年10月2日提出のエージェント型センシング草案は、委任のたびに減らす相互作用レベルを例示する一方、信頼済み送信元、データ処理場所、融合条件などのポリシーを版付きで継承するプロトコルを定めていない。
  • 深さがゼロになったことは、次の委任を止める条件にはなり得る。しかし、別の管理ドメインに渡った子エージェントが、同じ信頼集合と権限を受け取り、実際に守った証拠にはならない。

最初のドメインでは、信頼済みセンサーが四つ登録されていた。二番目のドメインに処理を委ねる直前、保守担当者が一つを失効させた。親エージェントは更新後のリストを参照したが、子エージェントが受け取った要求には「trusted sources」というラベルしか残っていない。子は手元にあった古い四件のリストで融合を実行した。相互作用レベルは規則通り減り、最後にはゼロになった。それでも、失効済みの観測が結果へ混入した。

これは、Carlos J. Bernardos、Alain Mourad、Muhammad Awais Jadoonによる個人Internet-Draft、Solutions for enabling agentic sensing with network optimization の第02版を読むうえで重要な失敗像である。2026年10月2日に提出された同版は、Sensing Control FunctionからSensing向けAIエージェント（AIaS）へタスクを渡し、AIaSがセンシングノードや処理機能を選び、Network向けAIエージェント（AIaN）と接続性を調整する構成を描く。最後には監視が再構成を促すことも想定されている。

文書の現在地は慎重に扱う必要がある。Datatracker上ではアクティブな個人草案であり、NMRG採択文書でもIETF標準でもない。ストリーム、担当Area Director、正式な標準化上の位置づけは示されていない。本文の予定ステータスはExperimentalである。第02版は第01版から日付、失効日、改ページ、資金謝辞を更新したが、ここで論じる仕組みは実質的に同じだ。IANA Considerationsは N/A、Security Considerationsは TBD のままである。

したがって、この草案は実装済みの安全性を証明する資料ではない。むしろ、将来の実装が何を区別しなければならないかを露出させる設計資料として有用だ。シーケンス図は望まれる会話を示すが、メッセージ形式、相互運用試験、独立実装、パケットトレース、測定された成果はまだ示さない。

「信頼済み」は名詞ではなく、版付きの判断である

草案が挙げるガバナンス要件には、許容できる生成主体や管理ドメイン、信頼性の規則、異なる信頼水準の生データまたは処理済みデータを融合してよいか、といった事項が含まれる。これらは単なるメタデータではない。どの観測を現実の証拠として採用するかを決める制御面である。

信頼リストを名前だけで渡すと、受信側は三つの異なる対象を同一視し得る。第一は、送信側が現在使っている集合。第二は、受信側が同じ名前で管理するローカル集合。第三は、以前キャッシュした集合である。要素が偶然同じ時期には問題が見えない。失効、鍵更新、所有者変更、インシデント対応が起きた瞬間に、同じラベルが違う現実を指す。

必要なのは、リストの識別子だけではない。版、内容ハッシュ、発行者、適用範囲、発効時刻、有効期限、失効情報、評価規則をタスクへ束縛しなければならない。さらに、子エージェントはどの版を受理したかを返し、結果はその受理記録を参照すべきである。版が不明なら、ローカルの「近い」ポリシーで補わず、未知または拒否として扱うのが安全である。

管理境界を越えると、この要件はより厳しくなる。組織Aの「trusted」は、組織Bがその主体を一般に信用するという意味ではない。今回のデータ種別、地域、時間帯、目的、契約条件のもとで、組織Aの責任者がその入力を許容した、という限定された判断である。ドメインをまたぐたびに一般化してしまえば、信頼は委任によって狭まるのではなく拡張する。

減算される値はトポロジーを囲うだけである

草案は allowed level of agentic AI interactions を提案する。この値は、センシングエージェント、ネットワークエージェント、特定所有者のエージェントと会話できるか、監視や再構成の提案が可能かを制限し得る。最大ホップ、階層、ワーカー数、グラフ深さとして表現でき、委任のたびに一つ減らす例もある。

例示された符号化では、0は委任なし、1はローカルAIaSとローカルAIaNの相互作用、2は別のセンシングノードに連絡できるがその先の委任なし、3はさらに先の層へ進める状態とされる。別の説明では、受け取った値が1より大きい場合のみ追加相互作用を許し、各レベルで一つ減らす。

このような上限は、無制限な連鎖を避けるために役立つ。しかし、深さと総ワーカー数は同じではない。一つの親が同じ深さで十の子を呼べる。ホップ数は並行分岐数、データ複製数、管理ドメイン数、総アクション数を制限しない。AIaSからAIaNへのローカル要求を一層と数える実装と、ネットワーク協調を委任外と見る実装もあり得る。

値がゼロになったとき分かるのは、ある実装の会計規則で追加委任を止めるべきだということだけだ。どの子が何を受け取り、信頼リストの版を保持し、許可されたデータだけを処理したかは分からない。ゼロは制約遵守の領収書ではない。

実装は maxDelegationDepth、maxWorkers、maxConcurrentBranches、maxAdministrativeDomains、maxActions を分けるべきだ。それぞれのエッジに、親と子、委任前後の値、タスク断片、適用ポリシー、許可の根拠を記録する。そうすれば、深さが減った事実を、信頼ポリシーが保存されたという別の主張に流用せずに済む。

能力はコピーではなく減衰させる

安全な委任は、親の権限を丸ごと複製しない。子が受け取るのは、特定時刻、特定地域、特定のセンシング目的について、指定された入力を取得または処理する能力であるべきだ。ネットワークエージェントには、条件付き接続を要求する能力を与えても、無関係な経路やテナントを変える権限まで渡してはならない。

各エッジは、責任主体、タスクID、ポリシーの版またはハッシュ、データ分類、許可された変換、送付先、時間窓、地理的・管理上の範囲、再委任可否、残予算を結び付ける必要がある。子の受領記録には、受け入れた制約と拒否した制約を含める。結果はそのエッジを参照し、途中で制約が変わった場合は新しい判断として扱う。

草案自身、追加センシングタスクが必要だとエージェントがどう判断するかは範囲外であり、実装とローカル知識に依存すると述べる。この空白は単なるアルゴリズム選択ではない。子が新しいサブタスクを発明し、それが新しいデータ源、処理場所、ネットワーク構成を要求するなら、権限の表面も変わる。ローカル推論を、元の依頼者の黙示的承認として扱ってはならない。

ポリシー継承は単調でなければならない。子は制限を追加できても、明示的な再承認なしに削除または緩和できない。信頼済み送信元の集合を広げる、ローカル限定データを遠隔処理へ変える、融合禁止を許可へ変える、観測権を実行権へ変える、といった操作は、同じ委任の自然な継続ではなく新たな意思決定である。

暗号学的な身元とタスク権限は別である

署名は、メッセージを鍵へ帰属させる。RFC 9334が扱うアテステーション証拠は、検証者が環境状態を評価する材料を提供できる。しかし、正しい鍵を使い、期待された環境で動くエージェントでも、このタスクのこのデータを、この相手へ渡す権限があるとは限らない。

依拠側のポリシーは、身元を具体的な能力へ接続しなければならない。対象タスク、データ種別、法域、期限、許可される処理、相手ドメイン、委任可否が必要だ。アテステーションに成功したという一文を、信頼リストの内容やネットワーク変更の承認に置き換えると、強い認証の内側に弱い権限判断が残る。

失効も同様である。エージェント自身の証明が有効でも、参照するセンサーの信頼状態が変わっている場合がある。ポリシー版を結果へ束縛しなければ、後日の監査は、当時どの集合が使われたのかを復元できない。現在のリストで過去の結果を再評価するのか、当時のリストを保存するのかも、明示的に決める必要がある。

「構成済み」と「届いた」は同じ証拠ではない

草案のシーケンスでは、AIaSがAIaNを介してネットワーク制御機能へ接続要求を送り、応答が連鎖を戻る。制御面が要求を受理または適用したという応答は重要だが、パケットが意図した経路を通り、期限内に選ばれた処理機能へ到着したことまでは証明しない。

RFC 9232のテレメトリ枠組みは、観測を生成、輸出、分析、消費する方法を考える材料になる。とはいえ、テレメトリ値は自動的に因果を示さない。設定変更と同じ時刻に遅延が改善しても、負荷減少や無線環境、別コントローラの操作が原因かもしれない。設定の受領、実際の転送、到着、処理開始を別々に観測し、時間と識別子で結ぶ必要がある。

センシング側でも、融合結果一つでは十分でない。どのセンサーが参加し、どれが欠け、どの前処理が行われ、時間同期が満たされ、精度が許容範囲内だったかを残す。失効済みの一入力を含む四件の融合は、数が四であるという理由で完全にはならない。欠落や除外を総合的な「成功」で隠してはならない。

エネルギー目標も証拠の分離を要求する。遠隔処理によって端末消費を下げられても、データ所在地ポリシーや更新頻度、精度を破る可能性がある。「最適化」は、目的ベクトル、制約、測定された結果を示して初めて意味を持つ。ワット数の低下は、依頼されたセンシング目的が達成された証明ではない。

監視ループは古い信頼を増幅し得る

草案の末尾では、接続性、推定センシング精度、エネルギーを監視し、しきい値に応じて再構成できる。もし子が古い信頼リストを使ったままなら、その結果を評価する監視も誤った入力集合を前提にする。ループは古い判断を訂正するどころか、次のネットワーク変更へ拡大する。

監視者が出すべきものは、観測と提案である。実行には、現在のポリシー版、認可されたアクチュエータ、変更範囲、ロールバック条件、責任者を必要とする。変更後は新しい独立観測を取り、どの信頼集合で得た結果かを明示する。測る権利から、経路、無線、計算配置、データ公開を変える権利を導出してはならない。

Security Considerationsが TBD である以上、試験はこの欠落を正面から扱うべきだ。ガバナンス項目が列挙されていることと、脅威モデル、継承規則、再送防止、鮮度、領収書が定義されていることは違う。項目名を実装済みの制御と呼ぶのは早い。

防御可能な記録は八つの問いに答える

第一に、元タスクと説明責任を負う主体。第二に、不変のポリシー版と許可された変換。第三に、全委任エッジ、子の身元、減衰した能力。第四に、ネットワーク構成要求と認可された実行者。第五に、構成受理と実際の接続・転送。第六に、センシングデータの保管と変換。第七に、不確実性、欠落寄与、使用した信頼集合を含むKPI証拠。第八に、監視トリガー、再構成判断、変更後の結果である。

拒否、タイムアウト、部分結果、検証失敗、未知を分ける必要もある。応答のない子をゼロ値として扱わない。四つの期待源のうち三つだけなら、完全融合と報告しない。版の連続性を証明できないなら、子は「手元の最新版」で推測せず停止する。

これはHeng Luの現実レイヤーの規律に一致する。相互作用レベルと信頼リストは記号的な制御データである。委任とネットワーク構成は行為である。データの所在、パケットの配送、センシング精度は観測される現実である。各レイヤーをつなぐには個別の証拠が要り、同じ「成功」というラベルでは足りない。

Minimum Initial Specificationが示す出発点は限定的だ。主体、ポリシーハッシュ、能力減衰、個別予算、エッジ受領をまず相互運用させる。Running-Code Primacyに従えば、独立実装、取得済みトレース、失効を含む再現可能な試験がそろってから、運用可能性を語るべきである。

冒頭の四件融合では、委任回数の計算そのものは正しかった。誤りは、信頼リストを名前だけで運び、版を証拠から切り離したことにある。次の設計は、深さカウンタに信頼管理まで背負わせるべきではない。各エッジが、何を受け取り、何を狭め、どの版を適用し、現実に何が起きたかを返すようにすべきだ。

Sources