Agentic OS 技術スタックを下から読む 補講(5)：エージェントは「名無し」 ―― 誰として、誰の鍵で動くか

Agentic OS 技術スタックを下から読む 補講(5)：エージェントは「名無し」 ―― 誰として、誰の鍵で動くか

補講、五つ目 ―― 名無しのまま、動く

前回は、鍛える側を見ました。たくさんの計算を並べ、GPUを束ね、重い訓練をどう動かすかを見ました。補講は、まだ続く。そう書いて、今回は動く側に戻ります。

ただし、今回は「何ができるか」の話ではありません。第26回で見た、できる操作を内側で狭める話の、さらに手前です。エージェントは、いったい誰なのか。誰として、誰の鍵で動くのか。

多くの場合、エージェントは固有の身元を持っていません。人の身元を借りて、人として動いています。名前を持たないまま、人の顔で動いています。

人の鍵を、丸ごと借りる

ふつう、人は入口で名乗ります。名乗った結果として、鍵を受け取ります。その鍵で、どの扉を開けられるかが決まります。読むだけの鍵もあります。書き換えられる鍵もあります。支払いまでできる鍵もあります。

エージェントが人の代わりに動くとき、よく起きるのは、この鍵を丸ごと借りることです。一部だけではありません。その人が持っている万能の鍵を、そのまま渡します。

すると、エージェントは人として動けます。人が読めるものを読みます。人が書けるものを書きます。人が消せるものを消します。外から見ると、人が自分で動いた場合と同じです。同じ身元で、同じ鍵を使っているからです。

ここで足跡が混ざります。人が押したのか。エージェントが押したのか。記録だけを見ると、区別できません。鍵が同じなら、扉に残る跡も同じになります。

「名無し」の、何が困るか

固有の身元がないと、後から肝心なことに答えられません。

誰がこの動きを許したのか。実際に何をしたのか。越えてはいけない線を越えなかったか。記録の中で、エージェントは透明になります。人の影に隠れます。

何かが起きたとき、さらに困ります。人がやったのか。エージェントがやったのか。複数いるうちの、どのエージェントがやったのか。そこが分かりません。

前に、外の現場では責任者を決めておく必要がある、と書きました。けれど、足跡そのものが混ざっていれば、責任者にたどり着けません。責任を問う以前に、起点が見えないのです。

古い身元の仕組みは、合わない

では、エージェントに身元を与えればよい。そう思えます。けれど、ここも簡単ではありません。

今ある身元の仕組みは、安定した役割のために作られてきました。長くいる人。長く動く決まった処理。めったに変わらない役割。そういうものを前提にしています。

エージェントは違います。仕事ごとに立ち上がります。終われば消えます。短命です。しかも、その場で必要なものを集め、別の場所へ問い合わせ、また別の処理を呼びます。動く範囲が、その仕事ごとに変わります。

長く安定した役割を前提にした仕組みは、この短くて動き回るものに合いません。身元をいつ作るのか。どの仕事に結びつけるのか。いつ消すのか。そこから考え直す必要があります。

万能の鍵ではなく、その仕事の鍵

向きを変えます。エージェントに固有の身元を与えます。そして、人の万能の鍵ではなく、その仕事に必要な鍵だけを渡します。

今この仕事に必要な場所だけを開ける鍵です。必要な時間だけ効く鍵です。仕事が終われば、その鍵も死にます。次の仕事には使えません。別の場所も開けません。

これは、第26回で見た話の鍵の側です。あちらは、できる操作を狭めました。何をしてよいかを絞りました。今回は、誰として、どの鍵で動くかを絞ります。

両方そろって、初めて本当に絞れます。できる操作だけを狭めても、人の万能の鍵を握っていれば、足跡は混ざります。反対に、固有の身元があっても、万能の鍵を持たせれば、漏れたときの被害は大きくなります。

役割に鍵を束ねる

では、その仕事の鍵を、実際にはどう渡すのか。ここで一体ずつに鍵を貼り始めると、すぐに家の見取り図が読めなくなります。

エージェントが少ないうちは、個体ごとに「これは開けてよい」「これは駄目」と決めても回ります。けれど、数が増えると変わります。新しい一体が増えるたびに、開けてよい扉を並べ直す。担当が変わるたびに、古い鍵を外し、新しい鍵を付ける。これを繰り返すと、誰が何を開けられるのかを、全体として誰も把握できなくなります。

そこで、個体ではなく、役割に鍵を束ねます。受付係、経理係、片付け係、管理者。そうした役割ごとに、許してよい操作の束を先に決めておきます。受付係はこの棚を読める。経理係はこの帳面を書ける。片付け係はこの置き場を消せる。管理者だけが家の奥の扉を開けられる。こうして、扉の組み合わせを役割の側に置きます。

エージェントは、動くときにその役割を借ります。個体そのものは、鍵を持ちません。仕事を受けた瞬間に、必要な役割と結びつきます。仕事が終われば、その紐を外します。別の仕事に移るなら、別の役割を借ります。新しい一体が増えても、役割を一つ結びつけるだけです。鍵の付け替えを、一つ一つ追う必要はありません。

効き目は、変更が一点に集まることです。経理係が開けてよい扉を変えたいなら、経理係の定義だけを直します。その役割を借りる全員に、同じ変更が一斉に効きます。逆に、その一か所を見れば、経理係とは何を許された存在なのかを棚卸しできます。

個体ごとに鍵を貼ると、この棚卸しが崩れます。家のあちこちに鍵束が散らばり、どれが古く、どれが正しいのか分からなくなります。役割に束ねるのは、管理を楽にするためだけではありません。後から見て、誰がどの扉を開けられるはずだったのかを、説明できる形に保つためです。そして、鍵は役割に束ねたうえで、さらに寿命を短くしておく必要があります。

狭めるのは、漏れたときのため

なぜ、そこまで狭めるのか。鍵は漏れるからです。

第45回で、取り込んだものが手元の資格情報を持ち出す話を見ました。第25回では、だまされて本来使うべきでない鍵を使わされる話を見ました。鍵がエージェントの手元にある以上、盗まれることもあります。使わされることもあります。

万能の鍵が漏れれば、全部が抜けます。家じゅうの扉が開きます。読むだけで済むはずだった仕事から、書き換えや削除まで進まれます。

その仕事のための短い鍵なら、漏れても被害はその仕事の範囲で止まります。開くのは一室だけです。時間が過ぎれば、鍵は効きません。

狭めることは、几帳面さの問題ではありません。漏れたときの被害の天井を低くしておくことです。

鍵の寿命と交換

ただし、短い鍵を渡す、と言うだけでは足りません。寿命を短くするなら、その切れ目をどう越えるかまで決めておく必要があります。

ずっと効き続ける鍵は、盗まれたときに危険です。一度持ち出されると、盗んだ側は好きなだけ使えます。こちらが気づくまで、家の扉は開けられ続けます。気づいたあとに止めても、その前に何を読まれ、何を書き換えられたかは戻りません。

だから、鍵には短い寿命を持たせます。数分から数時間で自然に効かなくなるようにします。盗まれても、悪用できる窓はその寿命のあいだだけに縮みます。窓が過ぎれば、盗んだ鍵はただの紙切れになります。短命の鍵は、漏れそのものを消す仕組みではありません。漏れたあとの時間を狭める仕組みです。

けれど、短ければ短いほどよい、という話でもありません。処理の途中で鍵が切れれば、仕事が止まります。長い文章を読み、別の場所を調べ、結果を書き戻す。その途中で鍵が死ぬと、最後の扉が開きません。仕事のたびに人が手で鍵を渡し直すなら、エージェントに任せる意味も薄くなります。

そこで、鍵は切れる前に交換します。古い鍵がまだ効いているうちに、新しい鍵を配ります。そして、少しの間だけ、新旧の鍵をどちらも有効にします。この重なりの時間を作ることで、古い鍵で走っている仕事は止めずにそのまま走れます。その間に、次の出入りから新しい鍵へ静かに移します。移り終えたら、古い鍵を無効にします。

大事なのは、重なりを長くしすぎないことです。長すぎれば、結局は二つの鍵が開きっぱなしになります。短すぎれば、移る前に仕事が落ちます。短命だけなら業務が途切れます。途切れを恐れて長命にすれば、盗難の窓が開きっぱなしになります。短命と重ね交換を組み合わせて、盗難の窓を短く保つことと、仕事を切らさないことを両立させます。

鍵を狭め、寿命を持たせ、交換できるようにする。ここまで来て、次に必要になるのは、後からその出入りを確かめられる足跡です。

後から確かめる ―― 記録が、エージェントより長く残る

もう一つ必要です。後から確かめられるようにします。

誰が、この身元に、いつまでの力を許したのか。誰が誰に委ね、どこまでを、いつまで許したのか。その鎖をたどれる形で残します。これがなければ、後から由来を追えません。

大事なのは、記録がエージェントより長く生きることです。エージェントは短命です。仕事が終われば消えます。けれど、足跡まで一緒に消えてはいけません。消えれば、後から誰も確かめられません。

人の見張りも、一手ずつ張り付く形では続きません。第35回で見たように、抜き取りで深く見ます。第29回で見たように、判定のずれを校正します。すべてを見るのではなく、要所を標本で確かめます。そのためにも、残る記録が要ります。

委任の鎖を遡る

残す記録は、ただの出入りの一覧では足りません。エージェントは一体で完結せず、別のエージェントを呼ぶからです。

ある一体が、仕事の一部を別の一体に渡します。呼ばれた先が、さらに別の一体を呼びます。調べる係に渡し、書く係に渡し、片付ける係に渡す。こうして、委ねは多段に伸びます。最初の人から見れば、末端で動いた一体は遠い部屋にいます。けれど、その一体が扉を開けるなら、なぜ開けられたのかを説明できなければなりません。

そのために、各段に一枚ずつ記録を残します。誰が、誰に、何を、いつまで許したか。委ねるたびに、その一枚を積みます。最初の一枚には、人が最初の身元に何を許したかが残ります。次の一枚には、その身元が別の身元に何を渡したかが残ります。さらに次の一枚には、呼ばれた先がまた何を渡したかが残ります。鎖の輪が、一つずつ増えていく形です。

事故が起きたら、この鎖を末端から逆にたどります。この一体は、なぜこの扉を開けられたのか。前の段が許したからです。では、その前の段は、なぜそれを渡せたのか。さらに前が許したからです。こうして遡ると、どの段で、本来渡すべきでない広い鍵が渡ったのかを名指しできます。

鎖のどこかで輪が切れているなら、それ自体が怪しい印です。記録がないのに力を持っている一体は、正規の道を通っていません。誰の委ねも無しに鍵を握っているなら、その鍵は別の場所から入り込んだ可能性があります。足跡が薄い場所ほど、強く見る必要があります。

なぜ、ここまで遡れる設計が要るのか。委ねが多段になるほど、途中で「気づいたら何でもできてしまう一体」が生まれやすいからです。各段が少しずつ広めに渡すと、末端では広大な力になります。小さな余白が積み上がり、最後には家じゅうを開ける鍵束になります。鎖を遡れる形にしておかなければ、この積み上がりを誰も止められません。後からも説明できません。

記録は、責めるためだけに残すものではありません。次に同じ渡し方をしないために残します。どの輪が太すぎたのかを見つけ、そこを細くするための材料です。こうして初めて、できることを狭める話と、誰であるかを示す話がつながります。

できることと、誰であるか ―― そして、補講の意味

まとめます。前に見た権限は、できる操作を狭める話でした。今回は、その手前です。誰として、誰の鍵で動くかです。

エージェントが名無しのまま、人の万能の鍵で動くと、足跡が人と混ざります。誰がやったか分からなくなります。鍵が漏れれば、全部が抜けます。

だから、固有の身元を与えます。その仕事の短い鍵を渡します。役割に鍵を束ねます。鍵には寿命を持たせ、切れる前に交換します。委ねの鎖をたどれるようにします。記録をエージェントより長く残します。

前に、外の現場で言いました。能力は、もう、エージェントを阻む壁ではありません。阻むのは、信頼です。そして、信頼のいちばん地味な土台が、これです。誰がやったかを、後からはっきり言えることです。

名無しのままでは、どれだけ賢くても、現場の重い扉は任せてもらえません。補講は、まだ続く。