VSO、証拠評価・送信・実行認可の研究5件を公開
VSOは、VAPのPR #30・#31・#32とEvidectのPR #20・#21を公開情報へ反映しました。記録された証拠の評価、制御された経路での送信、合成操作の実行認可を、それぞれ別の研究対象として説明します。以下は各固定版のGitHub記録に基づく自社CIの結果です。
研究段階 — 未採択・独立再現未成立
提案と実験的拡張は未採択です。第三者による独立再現は未成立です。マージや自社CIの成功は、正式採択、VCP/VAPへの完全適合、本番の安全性、認証、独立した外部アンカーを意味しません。複数のOS・Python環境によるCIも、自社による確認として扱います。
1. VAP PR #30：インシデント証拠の結び付けに関する提案
転送の認可と観測された送出、対象を限定した削除証拠、AI利用の開示と公開内容の結び付けを扱う、情報提供目的の提案です。運用ポリシー、検証ポリシー、公開ポリシーを分け、合成の受け入れシナリオ23件を定義しました。この段階の23件は実行成功の件数ではありません。正式な提案番号・適用リリースは未決定で、VAP v1.2.0 Draft 3の規範本文は変更していません。
変更と対象版: vap-spec PR #30 · ff759c9
2. VAP PR #31：オフラインの証拠評価実験
Ed25519署名とRFC 8785に基づく正規化を実際に検証し、評価者が別に選ぶ信頼設定、対象、ワークフロー、評価期限と証拠を照合します。真正性、適用範囲、対象の網羅、許可、結果を分けて出力します。20テストメソッドが成功し、23/23シナリオで期待する各判定項目が一致しました。Python 3.12／3.14の自社CIで確認されています。公開に関する証拠が良好でも判定はREVIEWであり、自動的な公開許可にはしません。この評価器自体は実際の送信バイトを収集せず、本番システムへ接続しません。
変更と対象版: vap-spec PR #31 · 590df2e · 自社CIの実行記録
3. VAP PR #32：実際の送信バイトを測るローカル実験
固定したループバック宛先へのHTTP送信だけを対象に、送信するバイト列の確定、SQLiteへの事前記録、認可の再確認、別プロセスの受信側による計測と試験用受領証の署名を実行します。39テストメソッドがスキップなしで成功し、17/17送信シナリオと17/17保存証拠の再検証が期待結果に一致しました。マージ後のPython 3.12／3.14の自社CIで確認されています。送信の試行、本文送出、受信側の観測、受領証の検証、結果保存は別々に記録します。UL-14はゲート外の直接呼び出しによる迂回が成功することを意図して示すケースです。期待どおりという結果を、迂回阻止の成功とは扱いません。プロセス分離はOS権限分離ではなく、単一ホストの同じ管理者が全役割を制御します。SQLiteの記録も独立アンカーや耐改ざん保管ではありません。既存評価器のremote_outcome: UNKNOWNは維持し、試験用受領証と区別します。
変更と対象版: vap-spec PR #32 · d1f1441 · 自社CIの実行記録
4. Evidect PR #20：合成操作の実行認可ゲート
実行要求と別の承認をEd25519署名で確認し、引数・対象・一度限りの識別子・有効期間を結び付け、実行直前にポリシーを再確認します。対象はメモリー内へ印を追加する無害な模擬操作だけです。37テストが成功、18シナリオを確認しました。16件の拒否、1件の正常実行、1件の部分失敗を区別し、部分失敗では観測済み・可能性のある副作用を残して再試行を拒否します。Ubuntu／macOSの自社CIによる結果です。要求の署名と報告の署名は別で、出力報告や観測用受領証は未署名です。同じプロセス内の観測を独立証人とは扱いません。
変更と対象版: evidect-site PR #20 · 3b121d0 · 自社CIの実行記録
5. Evidect PR #21：任意のSQLite保存による再実行防止
既定のメモリー内方式を残し、SQLiteへ一度限りの識別子を先に確保する任意のアダプターを追加しました。保存障害時の自動フォールバックや再試行はしません。追加33テストと既存37テストの計70件は、このゲートに関する件数です。実プロセスを使った4シナリオでは、再起動後の再実行拒否、4プロセス競合で1回だけの呼び出し、部分失敗後の識別子消費、記録確定後・実行前の強制終了からの再試行拒否を確認しました。Ubuntu／macOSの自社CIで成功しています。同じ保護されたローカルDBの利用が前提で、分散環境、過去のDBへの巻き戻し、悪意ある管理者、停電耐性まで保証しません。本番制御・法令適合のNOT_ASSESSED、実測基準のBASELINE_REQUIREDは維持しています。
変更と対象版: evidect-site PR #21 · eda471c · 自社CIの実行記録
過去の試験記録を保持し、件数を混ぜない
上記の件数は対象が異なるため合算しません。20メソッドと23シナリオ、39メソッドと17送信ケースも別の数え方です。10月29日のSDK・Explorer・Evidectの記事、10月28日のSDK記録（Python 306件・TypeScript 140件）、10月27日のExplorer記録（API 159件・GUI 26件）、VAP-LAPの紹介と固定研究キットは、その時点の記録として残します。このサイト更新は説明の追加だけで、現行規範・スキーマ・既存実装・署名済みデータ・固定配布物・K3は変更しません。