Flight Recorder フライトレコーダー

解決する課題 #

事後検証のとき、ログは散らばっています。「読んだこと」と、その後の行動の間には何のつながりもなく、ログは同じ管理者、ひどい場合には同じエージェントによって書き換えられてしまいます。

もっと根本的なこともあります。あるマージや記憶が汚染された疑いがあるとき、「その実行は何を読んだのか」に答える手段がありません。

仕組み #

• 内容は 2 種類。 イベント は 1 件ずつ記録します。コミット、リースの発行と失効、ゲートの要求と判断、ポリシーによる拒否、導出、忘却などです。読み取りマニフェスト は実行ごとにまとめます。どの パス@コミット を、どの範囲で、どの内容ハッシュで読んだかです。読み取りの呼び出しを 1 回ずつ記録することはなく、内容も記録しません。
• すべてのコミットが出どころのメタデータを持ちます。 principal、on_behalf_of、run、lease、purpose、そして読み取りマニフェストへの参照です。
• ハッシュチェーン（日単位）。任意で、署名と外部へのアンカー（2 台目のノードや、オブジェクトロックつきのバケット）を加えられます。目標は「改ざんは不可能」ではなく、「改ざんを検知できる」ことです。
• エクスポート： OpenTelemetry GenAI のスパン、JSON Lines、または SIEM へ。
• プライバシー： 既定ではメタデータだけで、内容は記録しません。記録の保持は、内容の削除とは独立しています。記録そのものにもアクセス制御がかかります。
• **explain(commit)：** そのコミットの背後にある実行、リース、ゲートの判断、読み取りマニフェスト、入力を返します。
• 先に記録し、それから実行する： 影響の大きい操作は、まず意図の記録を書かなければなりません。

小さく始める #

• 追記のみの SQLite テーブルと、1 日 1 回のハッシュ。
• すべてのコミットメッセージに、Run: や Lease: などの Git トレーラーを付ける。
• すでにある可観測性の基盤に、OpenTelemetry のスパンをエクスポートする。

インターフェースのスケッチ #

説明用の例です。フィールド名は仕様 v0.3 までに変わる可能性があります。

{
  "seq": 18211,
  "time": "2026-11-12T09:14:22Z",
  "kind": "commit",
  "run": "run_91ab",
  "principal": "agt_cleo",
  "on_behalf_of": "usr_wei",
  "lease": "lse_7Qk3",
  "purpose": "Draft the Q4 release notes",
  "subject": { "path": "/shared/launch/notes.md", "commit": "91ce3a7" },
  "read_manifest": "rm_5d2e",
  "decision": { "effect": "allow", "rule": "r-17" },
  "taint": { "external": true, "sensitivity": "private" },
  "prev_hash": "sha256:b3a0..."
}

仕様が求めること #

• 影響の大きい操作は、効力を持つ前に意図の記録を書かなければならない。書き込みに失敗したら、その操作は失敗しなければならない。
• すべての実行は、読んだパス、コミット、範囲（内容ではない）を記録した読み取りマニフェストを持たなければならない。
• 記録はハッシュでつながれていなければならず、公開されたコマンドで検証できなければならない。
• explain(commit) は、実行、リース、ゲートの判断、読み取りマニフェストへの参照を返さなければならない。
• 記録の保持は、内容の削除とは独立していなければならない。

借りたものと、新しいもの #

以下はすべて既存の部品です。新しいのは読み取りマニフェストです。 「読むこと」を追跡可能な入力の集合にすることで、「汚染されたマージ」や「毒された記憶」を、あとから調べられるようにします。

• OpenTelemetry GenAI conventions
• Certificate Transparency
• Sigstore Rekor
• Git trailers

正直な限界 #

• 外部へのアンカーがなければ、root 権限を持つ管理者は、ログを壊せてしまいます。
• 記録そのものに機微なメタデータが含まれるため、管理が必要です。
• 読み取りマニフェストの粒度は、保存コストと追跡可能性のトレードオフです。

未解決の問い #

• 高スループットのとき、読み取りマニフェストの保存コストをどう抑えるか。
• 複数ノードの記録を、どう統合して検証するか。

よくある質問 #

関連するコンセプト #

• Capability Lease (ケイパビリティ・リース) 1 回の実行のための、期限と予算つきの狭い認可。子リースは、より狭くしかできません。
• Trust Labels (トラスト・ラベル) 2 つの小さなラベルとセッション汚染で、Rule of Two を実現します。
• Cascade Forget (カスケード忘却) 系譜に沿って派生物を削除し、履歴は保持クラスで扱い、できなかったことを報告します。