VSO、VAP本文参照と研究状況を更新 — 署名検証修正はmainのみ
11月8日のサイト確認以降にマージされた更新を整理しました。現在の開発版、固定した実験用配布物、過去の試験記録を分けて示します。
署名検証の修正はmainのみ・固定ZIPには未反映
VAP PR #68は、実験用のPython／Node相互運用デモでEd25519の不正入力の拒否を強化した修正です。mainへの取り込み済み（35e56ba、e00ee5aにも含まれる）ですが、cbd4502を固定した vap-interop-demo-v0.2.0 のZIPには反映されていません。ZIPの差し替えや新リリースを告知するものではありません。実験的拡張は未採択、第三者による独立再現は未成立です。
main snapshot · e00ee5a · Fixed prerelease ZIP · cbd4502 (not patched)
現在のVAP本文参照 · 2026-11-12
本文はv1.2.0 Draft 3のまま、編集上の訂正E-2026-11-05とG-2の撤回を含みます。SHA-256は主サイトの11月11日の参照と同じです。VAP別サイトには11月3日の旧ハッシュが残っていたため更新します。参照確認は提案の採択を意味しません。実験的拡張は未採択・第三者による独立再現は未成立です。
VAP v1.2.0 Draft 3 · e00ee5a · SHA-256 history
SHA-256: a35d5e082fd4b2f9921a78b1a71df263018320375e09fa18cf81533a18a19998
署名検証の限定的な修正 — VAP #68
両実装で、小位数の公開鍵・署名のR点、非正規の点表現、群の位数以上のスカラーを、暗号ライブラリでの検証前に拒否します。確認された受理には、呼び出し側が役割ごとの信頼鍵も置き換える条件が必要で、元の信頼鍵を維持した場合は改変パックが拒否されました。暗号ライブラリ側の挙動には実行環境による差があります。完全な素数位数部分群検査やVAPの規範要件追加を意味しません。記録上の41テストメソッドは既存32＋追加9で、各メソッド内の入力パターンとは別の数え方です。既存のベクトル／マニフェスト11ファイルは変更されていません。
VAP文書と変更手続の案 — #66・#67・#69
セッション／トークンの有効性を権限の有効期間や失効証拠と分け、政策の出典確認でも報道・提案と採択済み規則を区別しました。証拠検証と予防的な制御の限界を整理し、LAPは未登録の外部提案として扱います。変更手続とCHANGE-002の候補一覧は未採択の文書案で、正式番号・決定・不足する規範文言やベクトルは未決のままです。IETF次稿の対応表も未提出の案で、新版の発行ではありません。公開レビューの開始や委員会承認が成立したとは扱いません。
VCP・SDK・過去の参照記録
VCP #30・#31はハッシュ記録、限定的な正誤整理、ERASUREの説明を整合させるもので、署名済みデータを置き換えたりVAPへの完全適合を確立したりする変更ではありません。SDK #16・#17は開発文書と既存リリースを区別し、未採択の三値判定案を参照します。CAPや参照実装の文書は過去の評価と現在のソース確認を分けています。案内リンク、追加機能の導入手順、CI保守もそれぞれの対象範囲で扱います。
Explorerと公開説明
Explorer GUI #28・API #30は、報告されたメタデータと、アンカー・精度・認証の検証済み状態を区別しました。公開GUIにはサイト #216ですでに反映されています。今回のお知らせでExplorerを再発行したり、模擬データのAPIをVCP v1.2のネイティブ形式の検証器へ読み替えたりしません。製品説明、運営主体、LAPとの関係、事案の出典に関する既存訂正を保持し、個人情報保護委員会への意見提出のお知らせも別記録として残します。
自社CIの確認と独立再現を区別
11月12日23:44 JSTの確認時点で、更新対象リポジトリの最新ブランチ先頭に対応する36件のワークフローは成功終了していました。文書中心の3リポジトリ（vcp-sdk-spec・.github・cap-spec）は現行先頭の実行記録がなく、成功件数に含めません。署名修正のCIは対象コミットとともに別途リンクします。この記事は公開CI記録の確認であり、第三者の新規実行や、最新の文書更新ですべての過去の研究試験を再実行したことを示しません。
PR #68 · first-party signature-fix CI
試験・CIは自社の合成環境での確認です。採択・認証・完全適合・本番適合・独立した外部再現は成立していません。固定リリースの既存32テスト・各実装8パック（期待PASS 2／期待FAIL 6）の記録は当時のまま保持します。後続の41メソッドの結果を、そのZIPの試験結果として表示しません。
マージ済みの一次資料
44 merged PRs · 8–11 November 2026
- vcp-site/pull/218 — docs(maintenance): record VAP site external-proposal deployment and corrections entry
- vcp-site/pull/219 — fix: replace "Regulator-Ready" preview image and identify the operating company on the homepage
- vcp-site/pull/217 — docs: announce public comment on Japan PPC draft security-measures guideline
- vcp-site/pull/216 — fix: refresh VAP disclosures and stage Explorer demo corrections
- vcp-explorer-api/pull/30 — fix: align event search vocabulary and bound Explorer API evidence claims
- vap-spec/pull/69 — docs: clarify evidence limits and prepare an unadopted VAP change process
- vcp-sdk-spec/pull/6 — docs: withdraw unavailable conformance-tool commands from archived guide
- .github/pull/13 — docs: separate the Legal AI Profile proposal from the VAP profile registry
- vcp-nasdaq-rta-reference/pull/5 — docs: bound Nasdaq sample integrity and regulatory claims
- vcp-supervision-node-poc/pull/5 — fix: install supervision API and dashboard extras from source
- vcp-sdk/pull/17 — docs: reference three-valued verification proposal revision 0.2
- cap-spec/pull/9 — docs: distinguish historical CAP mapping from the current VAP source check
- vcp-spec/pull/31 — docs: align Japanese and Chinese ERASURE wording and verify source digests
- vcp-explorer-gui/pull/28 — fix: distinguish Explorer demo metadata from verified anchors and certification
- vap-spec/pull/68 — fix: reject small-order Ed25519 trust and signature inputs in interop demo
- vcp-spec/pull/30 — docs(ci): repair digest metadata and record bounded v1.2 errata triage
- vcp-tradingview-rta-reference/pull/6 — ci: run existing Python test suites
- vcp-gdpr-poc/pull/4 — ci: run existing Python test suites
- vcp-explorer-gui/pull/27 — docs: link the published unified VCP SDK
- vcp-sdk/pull/16 — docs: distinguish SDK development revisions and UUID format checks
- vcp-site/pull/215 — docs(ci): repair repository navigation and restrict validation token
- vcp-nasdaq-rta-reference/pull/4 — docs: identify historical assessment and refresh current checksums
- vcp-ibkr-rta-reference/pull/5 — docs: identify historical assessment and refresh current checksums
- vcp-cloudflare-rta-reference/pull/4 — docs: identify the historical WorldFirst PDF
- vcp-payout-dispute-poc/pull/5 — docs: scope the historical WorldFirst report
- vcp-tradingview-rta-reference/pull/5 — docs: repair TradingView integration repository links
- vcp-supervision-node-poc/pull/4 — docs: correct repository links and AI Act application dates
- .github/pull/12 — docs: align VSO profile release and repository status
- vap-spec/pull/67 — docs: record 10 November Japan regulatory monitoring and source follow-up
- vap-spec/pull/66 — docs: clarify provider session validity and revocation evidence gaps
- evidect-site/pull/42 — docs: update Chainalysis impact assessment with dated follow-up
- vcp-site/pull/214 — docs: add Chainalysis disclosure update and separate Storm-3358 review
- vcp-site/pull/213 — Link VeraSnap page to its product site (EN/JA/ZH)
- vcp-site/pull/212 — Correct VeraSnap page technical details (EN/JA/ZH)
- vcp-sdk/pull/15 — ci: move pinned actions to Node 24 releases
- vcp-site/pull/211 — ci: move pinned actions to Node 24 releases
- vcp-supervision-node-poc/pull/3 — ci: move pinned actions to Node 24 releases
- vcp-cloudflare-rta-reference/pull/3 — ci: move pinned actions to Node 24 releases
- vcp-transparency-backend/pull/3 — ci: move pinned actions to Node 24 releases
- vcp-payout-dispute-poc/pull/4 — ci: move pinned actions to Node 24 releases
- cap-srp/pull/4 — ci: move pinned actions to Node 24 releases
- evidect-site/pull/41 — ci: move pinned actions to Node 24 releases
- vap-spec/pull/64 — ci: move pinned actions to Node 24 releases
- vcp-explorer-api/pull/29 — ci: move pinned actions to Node 24 releases
36 first-party workflow records · checked 12 November 23:44 JST
- vcp-spec · VCP v1.2 contract · 749b145
- vcp-spec · pages build and deployment · 749b145
- vcp-site · pages build and deployment · b416009
- vcp-site · Site CSP and script integrity · b416009
- vcp-site · CI · b416009
- vcp-site · Local agent settings guard · b416009
- vcp-site · Compiled site CSS · b416009
- vcp-explorer-api · SDK evidence integration · 30fe0ad
- vcp-explorer-api · Local agent settings guard · 30fe0ad
- vcp-explorer-api · pages build and deployment · 30fe0ad
- vcp-explorer-api · CI · 30fe0ad
- vcp-explorer-gui · Hash Chain inspection regression · e143684
- vcp-explorer-gui · Explorer accessibility regression · e143684
- vcp-explorer-gui · SDK API GUI evidence integration · e143684
- vcp-explorer-gui · CI · e143684
- vcp-explorer-gui · Local agent settings guard · e143684
- vcp-transparency-backend · Local proof regression · 26a8b3b
- vcp-ibkr-rta-reference · Legacy evidence verification regression · 463709a
- vcp-nasdaq-rta-reference · Verifier status and distribution inventory · 41983b9
- vcp-cloudflare-rta-reference · Worker authentication regression · f713f11
- vcp-payout-dispute-poc · PoC result semantics · 58b61ee
- vap-spec · Wallet authorization evidence experiment · e00ee5a
- vap-spec · Cloud credential evidence experiment · e00ee5a
- vap-spec · Cloud credential collector pilot · e00ee5a
- vap-spec · Local agent settings guard · e00ee5a
- vcp-tradingview-rta-reference · Existing Python tests · a2b0c70
- vcp-gdpr-poc · Existing Python tests · 23fe49c
- vcp-supervision-node-poc · Supervision node verification regression · 47c1a49
- cap-srp · CAP-SRP verification regression · c340b7f
- evidect-site · Deployed reproduction entrypoint · 35ebf2f
- evidect-site · Local agent settings guard · 35ebf2f
- evidect-site · pages build and deployment · 35ebf2f
- vcp-sdk · Evidence adapter parity · 5f2f6d2
- vcp-sdk · ci · 5f2f6d2
- vcp-sdk · Local agent settings guard · 5f2f6d2
- vcp-sdk · Wallet authorization demo · 5f2f6d2
過去の証拠と配布版を保持
Explorerの159テスト時点を含む以前のお知らせ・試験記録を保持します。今回のサイト参照更新によって、規範要件・既存実装・署名済みデータ・固定配布物・K3を変更しません。未マージのDraft PRは、取り込み済みの成果に含めません。