要約

  • IETFは8月31日、Agent Use of Delegation and Interaction Traceabilityを扱う非WGメーリングリストAUDITを開設した。議論の入口ができたのであり、WG、アーキテクチャ、データ形式が承認されたわけではない。
  • 共通のトレースIDは複数の主張を結合できるが、真実性や権限を与えない。記録者、署名対象、権限の世代、複数の時刻、効果を起こしたサービス側の観測、欠落と矛盾を別々に残す必要がある。

あるエージェントが人事システムの設定を変更したとする。利用者画面には承認があり、認可サーバーには有効なトークンがあり、エージェントのログには成功があり、人事システムには別の値が保存されている。全記録が同じワークフローIDを持つ。

そのIDが証明するのは検索可能性だけだ。承認後に対象が変わったのか、失効が先だったのか、実行前と表示された記録が後から書かれたのか、サービスが別の要求を受けたのかは、各境界の証拠で判断しなければならない。

IETFの告知は、利用者の意図、委任鎖、時間とともに変わる認可、結果としての行為を管理ドメイン間で相関する仕組みが不足していると説明する。ただしAUDITは非WGリストである。個人Internet-Draftの語彙や例がIETF合意になったとは読めない。

相関は証明の入口にすぎない

W3C Trace Contextでは、traceparentが要求をグラフに位置付け、tracestateが参加者固有の状態を運ぶ。中継点は親を更新し、サンプリングを変え、信頼境界でトレースを再開始できる。サンプリングビットも記録の存在を保証しない。

したがってトレースIDは「この生成者がこの観測を同じグラフに置いた」という主張である。呼び出し元の認証、親子の因果、完全性、権限までは含まない。不正な呼び出し元から受け取ったIDをサービスがそのまま使えば、ローカルに正しく署名された誤帰属も作れる。

エージェント監査アーキテクチャ案は、利用者、エージェント、サービスが別々の記録を作り、Auditorが証拠を評価する構造を提案する。エージェント自身は信頼の起点ではなく監査対象である。エージェントと記録器を同居させれば共謀リスクが生じる。

四種類の記録と五種類の時刻

Interaction Recordは利用者が見た承認を示せるが、服従を証明しない。Delegation Recordは権限移転の主張であり、委任者の元の権限も検証が要る。Authorization Transition Recordは付与、縮小、追加承認、失効、期限切れを表す。Action Recordは候補または実行を記述するが、外部効果とは同一でない。

時刻も、対話、認可の発効、候補行為の形成、最初の外部効果、記録の作成・署名・外部固定に分ける。Verifiable Agent Conversation Recordsは記録作成時刻とセッション内時刻を分離し、表示された推論が実際の生成過程と異なり得ることを認める。

個人案Agent Audit Trail -01は実行前・実行中・実行後の記録段階を提案する。実行後に書かれた拒否は、効果の前に制御が働いた証拠にならない。この境界は将来のフィールド名に依存しない。

狭い証明を混同しない

RFC 8693はOAuthトークン交換のsubjectとactorを扱うが、その後の全判断を再現しない。RFC 9334のRATSは環境についてEvidenceと評価結果を構成するが、利用者の意思を証明しない。

RFC 9943のSCITTとRFC 9942のCOSE Receiptは、方針に従った登録とデータ構造への包含を検証できる。内容の真実や発行者の権限は別問題である。RFC 9421は選択したHTTP要素を署名するため、署名されない部分と署名者の制度的権限は残る。

RFC 8785はJSONのバイト表現を安定させ、RFC 3161はダイジェストが一定時刻までに存在したことを示せる。どちらも記述された現実の行為を自動的に真にしない。

欠落を空白にしない

アーキテクチャ案は、敵対的なサービスが境界記録を拒む場合や全役割の共謀を解決しない。だから期待される記録には生成者、条件、期限が必要で、未観測、遅延、無効、競合を表示しなければならない。

ハッシュ鎖が正しくても、重要な出来事が最初から入っていなければ完全ではない。透明性登録も選択された記録を消しにくくするだけで、選択の偏りを消さない。Heng Luの現実レイヤーは、相関、署名、証明、登録、認可、実行、結果を分ける。動作するコードの優先に従えば、効果の最強の証人は実際に変更を受理または拒否した独立サービスである。

監査グラフのプライバシー

長寿命の共通IDは、内容を暗号化しても利用者の相手、利用サービス、作業形状を露出する。データ主権の実務的現実は、方針の名義人ではなく、記録、鍵、相関グラフ、検索権限、保存期間を実際に管理する主体を見るよう求める。不要な全体相関を避け、サービスごとの対のID、分離ハッシュ、暗号化された本文、目的限定の問い合わせを使うべきだ。

AUDITが作るべきものは一つの物語ではない。有限な証拠を相互検証でき、矛盾を矛盾のまま残せる共通面である。

出典