VSO、保存済み実行レポートの検証とセキュリティ事案レビューを公開
2026年11月1日9:48 JST時点で確認した、Evidectのマージ済み更新2件を紹介します。公開ソースとCIログを確認した記録であり、このお知らせのために実験を再実行したものではありません。
研究段階 — 未採択・独立再現未成立
実験的拡張は未採択、第三者による独立再現は未成立です。自社CI、保存証拠の再検証、公開ページの動作確認は、独立した新規実行・正式採択・完全適合・本番保証・認証とは区別します。
1. Evidect #28：保存した実行レポートを受取側で検証
元のruntime-report.jsonのバイト列と署名付き観測記録を受け渡し、受取側が別に指定した公開鍵・現在のチェックポイント・時刻で検証します。署名、期限、対象、サイズ、SHA-256を確認したうえで、保存された観測から8ケースの要約を再計算します。署名が正しくても、要約が観測と食い違えば拒否します。矛盾はCONTRADICTION、観測不足はnull／INDETERMINATEとして保持します。デモでは一時的な送信側秘密鍵を削除してから受取側CLIを実行し、改変、信頼設定不足、繰り返し検証も確認します。
変更・対象コミット: evidect-site PR #28 · ebb8e3a9728af999d9c88387c10ac5e80b929e97 · 自社CI記録
検証できることと、再証明しないこと
受取側は元の操作を再実行せず、現在の環境を観測しません。元の要求・承認・実行時条件の署名と当時の認可はNOT_REVERIFIEDのままです。観測の真実性・完全性、実行者への帰属も再証明しません。local_status: VALIDは配送内容と要約の限定的な整合確認であり、安全性の合格ではありません。総合結果は、不正・不一致時のINVALID、それ以外はINDETERMINATEです。試験用の信頼鍵とチェックポイントは同じ試験制御側が作成します。デモのチェックポイントは1時間で期限切れとなり、CI成果物の保持期間は14日です。
変更・対象コミット: evidect-site PR #28 · 3a996242eb2352242ef0916392b3149892bf316e
2. Evidect #29：セキュリティ事案の出典と主張範囲を整理
日本語の非規範レビュー文書と英語の範囲説明を追加し、既存資料からリンクしました。Chainalysisの公表資料、VOLTAの検体分析、米銀行のアクセス制限に関する資料について、公表内容と設計上の推論、公表日・検知時期・発効日を区別しています。VAPの証拠検証と、侵害防止・実行制御・銀行の許諾・法的判断を混同しない説明です。このPRは文書更新のみで、事件の実データやマルウェアを使った再現ではありません。追加候補の3試験は未実装・未試験であり、成功件数に含めません。
変更・対象コミット: evidect-site PR #29 · 2bebc7c7582fa91a08c77fd381976034f47d6aab · 自社CI記録
自社CIで確認した範囲
#28で追加した回帰試験は27件です。#29取り込み後のコミット2bebc7cでも、Ubuntu 24.04とmacOS 15のそれぞれで計137テスト（既存37＋43＋30、追加27）と合成8ケースの成功をログで確認しました。Node.js 22系とPython 3.12を使用しています。OS間や過去の件数を合算して、新規テスト数としては示しません。既存の実行境界CI、Pages配信、公開入口のHTTP・ブラウザー確認も成功しています。これらは自社で管理する試験であり、独立再現の成立ではありません。
変更・対象コミット: evidect-site PR #29 · 2bebc7c7582fa91a08c77fd381976034f47d6aab · 自社CI記録
過去の試験記録をそのまま保持
10月31日の承認後変更・保存証拠・相互運用の記録、10月30日の53ケース、Explorer API 159件／GUI 26件などは、各時点・各対象の記録として残します。今回の137件は別の対象範囲です。本サイト更新はお知らせと導線の追加に限定し、現行規範・スキーマ・既存実装・署名済みデータ・固定配布物・K3を変更しません。