Human Gate ヒューマン・ゲート

解決する課題 #

いまの「人間をループに入れる」は、延々と続くプロンプトか、何もないかのどちらかです。Anthropic の報告では、Claude Code のユーザーは許可プロンプトの 93% から 97% を承認しています。管理された実験では、人間が見つけられたのは、仕込まれた危険なコマンドのわずか 13.6% で、セッションが長引くほど成績は悪くなりました。これは auto mode を売り込むためのベンダー調査で、測っているのも本番の事故率ではなく仕込まれたプロンプトを見つける能力ですが、方向性は明らかです。

同じデータには、もう 1 つの数字があります。ユーザーは、計画の 39% を却下する一方で、個々の許可リクエストは 3% しか却下しません。人間が真剣に判断するのは計画とマージであって、すべてのツール呼び出しではありません。

仕組み #

• 現れる場所は少数です。 保護ツリーへのマージ、保護ツリーからの削除、外部への共有や公開、外向きの送出、リースの拡大、ラベルの引き下げ。ブランチへの書き込みに承認は要りません。
• 粒度は、計画かマージです。 50 個のプロンプトではなく、1 つの PR をレビューします。
• Gate Card は NAS が描画します。 実際の差分、読み取りマニフェストの要約、リース、セッション汚染を示し、エージェント自身の説明は使いません。選択肢は、承認、絞って承認、拒否。タイムアウトは拒否になります。
• 承認は、操作のダイジェストに束縛されます。 差分のハッシュとリースに結びつき、再利用はできません。
• 配信： プッシュ、チャット、メール、CLI。委任もでき、パスキーは任意の強力な認証です。
• エスカレートのみ。 任意のリスク分類器（LLM を含む）は、操作をゲートに エスカレート することだけができ、承認 はできません。モデルが動かせるのは締める方向だけで、緩める方向には動かせません。
• 疲れは計測します。 承認率と承認までの時間です。承認率が異常に高いときは、ゲートをまとめるか、ポリシーを締めるべき兆候です。

小さく始める #

• 保護されたメインと PR レビュー（どの Git プラットフォームでもかまいません）、そしてプッシュ通知。
• または CLI の nas gate approve <gate_id>。
• Gate Card には、まず「実際の差分」を見せます。凝ったインターフェースを急がないでください。

インターフェースのスケッチ #

説明用の例です。フィールド名は仕様 v0.3 までに変わる可能性があります。

{
  "gate_id": "gt_2Mx4",
  "run": "run_91ab",
  "action": {
    "op": "merge",
    "from": "cleo/run_91ab",
    "into": "main",
    "files_changed": 4,
    "diff_sha256": "7d2a..."
  },
  "why": "Release notes are ready for review",
  "risk": {
    "session_taint": ["external"],
    "sources": ["web:example.com/changelog"],
    "destructive": false,
    "egress": false
  },
  "options": ["approve", "approve_narrowed", "deny"],
  "default": "deny",
  "expires_at": "2026-11-12T12:00:00Z"
}

仕様が求めること #

• Gate Card は、エージェントによる説明ではなく、NAS が計算した実際の差分を示さなければならない。
• 承認は、操作のダイジェストとリースに束縛されなければならず、再利用できてはならない。
• タイムアウトの既定の結果は、拒否でなければならない。
• 分類器や LLM が承認を与えてはならない。操作をゲートにエスカレートしてもよい。
• 保護ツリーへのマージ、保護ツリーからの削除、外部への共有、外向きの送出、リースの拡大、ラベルの引き下げは、ゲートを通らなければならない。
• NAS は、承認率と承認までの時間を報告すべきである。

借りたものと、新しいもの #

以下はすべて確立された慣行です。新しいのは、 承認を ストレージ層のマージ に固定し、内容を（エージェントではなく）NAS に描画させることです。承認や PR そのものは新しくありません。

• How we built Claude Code auto mode
• Anthropic: approval data behind auto mode
• CaMeL
• WebAuthn
• OpenID CIBA

正直な限界 #

• 人間は、間違った操作を承認することがあります。バッチでのレビューも疲れを生みます。
• 通知のチャネルは、フィッシングされうるものです。
• 承認は、承認された範囲の外 で起きることは止められません。それはリースの役割です。

未解決の問い #

• バッチレビューや段階的なレビューに最適なインターフェースは何か。
• 自動マージのしきい値を、どう計測し、どう調整するか。

よくある質問 #

関連するコンセプト #

• Capability Lease (ケイパビリティ・リース) 1 回の実行のための、期限と予算つきの狭い認可。子リースは、より狭くしかできません。
• Trust Labels (トラスト・ラベル) 2 つの小さなラベルとセッション汚染で、Rule of Two を実現します。
• Agent Branch (エージェント・ブランチ) 実行ごとに、コピーオンライトのブランチで作業します。メインに届くのは、レビューを経たマージだけです。