要約

  • AER-1第09版は、目の前にある全エントリーが一つの順序正しいチェーンを作ることを検証できる。しかし端から記録を削り、リンクを再構築できる主体は、より短くても検証に通るチェーンを作れる。
  • 任意の外部コミットメントは、ジョブID、最終エントリーのダイジェスト、件数、公開時刻を結ぶ。件数だけでは末尾の書き換えを検知できず、優れたアンカーも記録器が観測しなかった行為までは証明しない。

連番に欠落はない。先頭は一、最後は六。同じジョブIDが全体を貫き、各 prev_digest は直前のエントリーから再計算した値と一致する。終了フラグは末尾だけにあり、受領データのハッシュも合う。

検証者が内部だけを見て決められないのは、「本来の最後」だ。

かつて八件だった履歴から末尾二件を除き、六件目を終了に変え、そのダイジェストを作り直していたとしても、六件のチェーンはすべての内部規則を満たせる。これは SHA-256 の弱点ではない。AER-1: A Portable Execution Receipt for AI Agent Tool Calls 第09版が率直に示すハッシュチェーンの境界である。

文書は2026年10月1日に公開された有効な個人Internet-Draftだ。Datatrackerは、個人投稿がIETFの承認を受けたものではなく、標準化プロセス上の正式な地位を持たないと注意している。Datatracker上にRFCストリームや予定RFCステータスはなく、本文はIndependent Submission、Informationalを意図すると記す。期限は2027年4月1日であり、RFCではない。

内部検証が固定する範囲

ジョブのタイムラインは空でない配列として表される。各エントリーは、直前のダイジェスト、シーケンス、ジョブID、受領ID、ツール名、来歴クラス、正規化された受領バイト列、出力ハッシュ、任意の終了フラグを持つ。

検証者は保存済みリンクを信用するのではなく、受領バイト列を復号してそのハッシュを確認し、close、id、job_id、output_hash、prev_digest、provenance_class、seq、tool を含むJSONを正規化してSHA-256を計算する。先頭の前方ダイジェストは64個のゼロ。番号は一から一ずつ増え、全件が同一ジョブに属し、最後だけが close:true でなければならない。

版の違いも証拠になる。第06版のエントリーダイジェストが覆っていたのは、復号済みの正規受領バイト列だけだった。第07版は位置や意味を支えるメタデータをコミットメントに加え、第08、09版も同じ構成を採る。古い第06版チェーンを新しい意味で検証しても、当時存在しなかった保証を後から付与することはできない。

現在の仕組みは境界内で有効だ。ツール名、来歴、受領ID、出力コミットメント、ジョブ、順番、終了状態のいずれかを変え、後続リンクを再生成できなければ、次のエントリーで不一致が出る。挿入、削除、並べ替えも同じ条件で見つかる。

重要なのは「後続リンクを再生成できなければ」という条件である。

終端を外から固定する

八件から七、八件目を消す。六件目に終了を付け、ダイジェストを再計算する。旧六件目のダイジェストを参照する七件目はもうないため、新しい六件チェーンは正しく閉じる。先頭側を落とした場合も、残りを一から振り直し、新しい起点を作れる。

草案はこれをハッシュチェーンの正直な限界として扱い、チェーン検証だけを耐トランケーション性と呼んではならないとする。必要なのは、証人、時刻付きのチェーンヘッド、アンカー、あるいは予定手順や件数を拘束するワークフローマニフェストだ。

第08版は最終ダイジェストを外部で結ぶよう促した。第09版は job_id、final_entry_digest、entry_count、published_at の四項目を持つ任意の相互運用アーティファクトを定める。これはチェーン外に置く。最終エントリーの中に自身の最終ダイジェストを含めることは、作成前に作成後の値を要求する循環になる。

検証者は末尾ダイジェストを再計算し、件数とジョブを照合し、別経路で取得したコミットメントと比較する。合致すれば、見えているチェーンが証人の公開した端点まで達していると示せる。

件数だけでは末尾を守れない

「八件ある」という約束は、六件への短縮を見つける。ただし、八件目を別内容へ置き換えても件数は八のままだ。

最後以外の各ダイジェストは、次の prev_digest に取り込まれる。最終ダイジェストを内部で参照する後続エントリーは存在しない。末尾を書き換え、そのダイジェストだけを更新しても、内部チェーンは成立する。件数コミットメントには見えないが、最終ダイジェストの外部コミットメントには見える。

件数は長さ、ダイジェストは端点の内容、ジョブIDは別ジョブからの流用防止、公開時刻は証人が基準を出した時点を担う。さらに証人の身元、取得経路、取得時刻、検証結果を保存する必要がある。チェーン生成者と可変な公開先が同じ支配下なら、ファイルが二つでも信頼領域は一つだ。

アンカーは観測範囲を広げない

外部アンカーが強くするのは連続性であり、センサーの視野ではない。受領ハッシュの一致は記録されたバイト列を確認する。LOGGED BY AGENT はチェーンに入ってもエージェントの自己申告のままである。

記録器を通らなかった呼び出し、別経路の行為、記録されなかった承認、決済や配送など外部システムの結果は、整ったチェーンからは現れない。重大なジョブでは、実行前に許可済み・予定済み行為の集合を保存し、終了後に可視の受領記録と照合し、結果を所有するシステムから別の証拠を得なければならない。

タイムラインの終了、証人が見た端点、行為の網羅性、外部結果は別々の判定だ。共通層は形式、順序、検証可能なコミットメントにとどめ、完全性と結果を決める権限を見えないまま取り込んではならない。