VSO / 実務ガイドAIエージェントの監査ログで何を説明するか
AIエージェントの監査ログでは、誰が権限を委任し、どの操作が許され、どのツール呼び出しを行い、結果について何の証拠があるかを関連付けます。会話履歴だけでは、この関係は確認できません。クライアントがタイムアウトした後にAPI側で処理されることも、再試行で操作が重複することも、AIの自己申告と実行側の記録が食い違うこともあります。
このガイドでは、テストサービスでチケットの優先度を変更する一つの合成シナリオを扱います。本番導入や試験の実行報告ではなく、証拠設計の説明例です。暗号学的な記録の基礎はAI監査ログ・監査証跡の設計、責任分担や方針はAIガバナンスの実務で解説しています。
権限・ツール呼び出し・結果を結び付ける
| 確認する問い | 残す記録・参照 | 区別すること |
|---|---|---|
| 誰が許可したか | 委任元、権限付与の識別子、許可操作、対象範囲、有効期限、失効の証拠。 | エージェントの本人性と、その操作を許可されたことは別です。 |
| どのエージェントが動いたか | 実行ID、実行主体、モデル・ツール・設定の版、記録した観測者。 | 自己申告と実行側での観測は異なる証拠源です。 |
| 何を要求したか | 操作ID、対象、引数のコミットメントまたは保護された参照、再試行との関係。 | 再試行は同じ操作への試行として区別します。新たな操作権限が自動的に生まれるわけではありません。 |
| 何の判断で通したか | ポリシーの版、判断結果、承認記録への参照、適用条件。 | 承認を記録することと、APIの手前で承認を強制することは別です。 |
| 受理・完了したか | サービスの受付記録、結果、必要に応じた後続の状態照会。 | 送信の試行、サービスによる受理、効果の発生を分けます。 |
| 人へ通知したか | 通知試行、配信基盤の受理、到達の証拠、人の確認。 | 到達証拠がないことは、未到達の証明ではありません。 |
時刻には単位、時計の品質、表現方法を定めます。ナノ秒整数を浮動小数点へ黙って変換したり、署名済みの時刻を書き換えたりしません。VCPの数値表現・正規化の案は研究段階であり、既存の署名済み記録を変更するものではありません。
タイムアウトした操作は「結果不明」として残す
- 権限の委任
- ポリシー判定
- 事前記録
- API要求
- タイムアウト
- 後続の照合
担当者が、テスト用エージェントにチケットT-42の優先度を「通常」から「高」へ変更する権限を与えたとします。許可はそのチケットと操作に限定し、要求前に操作ID、権限、対象、引数を記録します。しかし、APIの応答待ちがタイムアウトしました。
この時点で言えるのは「要求を試行したが、結果は不明」です。「変更に失敗した」「成功した」「何も起きなかった」とは決められません。元の試行を保存し、信頼できる操作状態照会が提供されるなら、その後の応答を別の証拠として関連付けます。冪等性キーも、相手サービスが定義どおりに処理する場合に限って役立ちます。
事前記録を保存できない場合に送信を拒否する設計は、別の実行ゲートで実現するものです。監査ログだけで操作を止められるわけではありません。別の認証情報や直接API呼び出しなどの迂回経路は個別に試験します。意図した経路のログだけでは、すべての経路が制御されていたと証明できません。
暗号学的整合性と、証拠が足りているかを分ける
評価の前に、システム、期間、操作、観測者、除外条件、必要な証拠を合意します。対象範囲を宣言するだけでは全件観測の証明になりません。期待する集合を導く独立した記録やコミット済み一覧を特定し、記録元の締め処理を何で確認するかも定めます。
| 観測された状態 | 言えること |
|---|---|
| 署名・コミットされたバイト列と内容が違う。 | 該当する整合性検証は失敗です。 |
| 束縛された期待一覧から、必須記録の提出漏れが立証できる。 | その証拠によって違反が確定する提出要件は不充足です。 |
| 提出された署名は正しいが、期待する全量を確定できない。 | 整合性検証が成功しても、証拠範囲の充足性は不明のままです。 |
| 通知の到達記録が非開示、または取得不能。 | 開示・取得の制約を残します。通知が届かなかったとは推定しません。 |
失敗、未対応、不明は項目別に残します。期待総数が分からなくても、有効な証拠で個別の要件違反が確定すれば、その違反は消えません。署名が正しいだけで、操作・観測者・提出証拠の全体を合格にしないことが大切です。
監査用の提出物へ秘密情報を混ぜない
APIキー、セッショントークン、機密のプロンプト全文を既定で記録しない設計にします。レビューに必要な最小限の文脈を残し、機密の内容はアクセス制御された保存先で管理し、保存期間と開示条件を定めます。推測しやすい値のハッシュは匿名化ではありません。候補値から同じハッシュを計算される可能性があります。
非開示処理が必要なら、原本を適切な権限で保全し、提出用の派生物で何を伏せたかを説明します。署名対象のバイト列を変更したものを、元の署名で検証済みの原本として扱いません。非開示、取得不能、未収集を分け、観測していない現実の行動について断定しないようにします。
小さな評価から始めるチェックリスト
- 対象操作と許可する権限を一つ決め、観測境界と直接呼び出し経路を明示する。
- 正常操作、拒否、再試行による重複、タイムアウトを比較する。
- 改変された証拠、必須項目の欠落、記録元の取得不能、到達証拠のない通知を確認する。
- 原入力、信頼する鍵の方針、検証器の版、評価時刻、期待する判定を保存する。
- 実行者、環境の管理者、実装者が支援した内容を記録する。
- 実行の承諾と、結果・生ログ・氏名・所属の公開許可を分けて確認する。
編集用の評価チェックリストをダウンロード（テキスト）。計画の補助資料であり、適合性を認定する試験ではありません。
VSOの現在の資料と研究範囲
宣言スコープの研究用検証器は、研究用アダプタと合成入力を対象にしています。VCP v1.2のイベントやAnchorRecordのネイティブ形式、完全適合を検証するものではありません。オフラインの証拠検証と、模擬実行ゲート・OS隔離の実験は別の対象・前提です。
VAPの対象範囲と研究の現状・一次資料を読み、評価者が何を実行するかを合意します。内部試験の成功から、本番適合や独立再現が成立したとは判断しません。