VSO、SDKの証拠検査・Explorerデモ・Evidectの再現手順を更新
VSOは、GitHubの更新を公開情報へ反映しました。SDKの不正入力への対応、署名付き合成証拠を使うAPI接続型Explorerデモ、Evidectの再現手順を追加しています。それぞれの確認対象と限界を分けて示します。
自社による確認 — 実験的拡張は未採択
実験的拡張・修正案は未採択です。第三者による独立再現は未成立です。マージ、CIの成功、公開デモは、正式採択、VCP/VAPへの完全適合、本番適合、認証、外部アンカーの成立を意味しません。
1. SDK：不正な入力を拒否し、不明を不明として残す
SDKのPR #7では、オブジェクト以外のJSON、重複キー、不正なUTF-8、不正・重複した証明を拒否します。不正な入力から同梱の試験データへ黙って切り替わることも防ぎます。証明がない場合はINDETERMINATE、実際の不一致を確認した場合はINVALIDです。期待判定との一致、元の証拠バイト列との一致、APIの説明との一致を別々に確認します。マージ後のc2bc767で、SDK CI、APIとの照合、公開APIの接続確認が成功しています。いずれも自社による確認です。
公開APIの確認では、Ubuntu 24.04とmacOS 14でPython urllib・curl・Node fetchを使い、取得した証拠を手元のSDKでも再検証しました。二つの環境を独立した評価者として数えません。以前のHTTP 403も過去の観測として残し、原因は確定していません。Windows、任意の利用者のネットワーク、ホスティングの継続性まで保証するものではありません。
2. Explorer：旧ダッシュボードと、署名付き証拠の新デモを区別
SDK Evidence Demoでは、公開APIから検証結果を取得し、合成イベントのJSONLとAnchorRecordをダウンロードできます。ブラウザーはAPIの結果を表示するもので、暗号検証を独立して再実行しているわけではありません。配備済みAPIのSDKは固定版70240a4であり、上記の最新SDKc2bc767とは区別します。
| 合成ケース | ローカル検査 | 証拠全体 |
|---|---|---|
| intact | VALID | INDETERMINATE |
| tampered | INVALID | INVALID |
| missing-key | INDETERMINATE | INDETERMINATE |
正常なintactでも証拠全体はINDETERMINATEです。ローカルな暗号検査だけでは、外部アンカー、実世界の本人性、時刻の真正性、検査範囲を超える完全性は確認できません。別の旧ダッシュボードは、引き続きAPI未接続・未署名・外部アンカーなしの合成12葉デモです。159 API / 26 GUIテストのお知らせは、その時点の記録として残し、SDKの件数と合算しません。
3. Evidect：固定版の再現手順と、公開ページの表示確認
Evidectの再現手順では、合成22段階を一つのコマンドで実行でき、実装b394db7・手順書1c0d567を固定しています。証拠の観測や報告の受け渡しを扱う実験で、本番の制御を操作したり、AILEX・AWSへ接続したり、法令適合を証明したりするものではありません。報告は未署名で編集可能な観測記録で、証明書ではありません。
EvidectのPR #19では、公開ページをChromiumの画面幅320・390・768・1280で、JavaScriptの有効・無効を分けて確認しました。10月29日の公開後CI 40887632944で8条件すべてが成功し、配信ファイルと固定ソースの一致、キーボード操作、リンク先の見出し表示などを確認しています。一つの環境による自社の表示確認で、実機、Safari・Firefox、WCAG認証、独立再現まで確認した結果ではありません。
過去の記録と既存の境界は維持
10月28日のSDK記録（各ジョブPython 306件・TypeScript 140件）、10月27日のExplorer記録（API 159件・GUI 26件）、VAP-LAPの提案紹介、固定した研究配布物は残します。今回の変更はWebサイトの説明だけで、現行の規範要件・既存実装・署名済みデータ・固定配布物・K3は変更しません。