# 設計原則

> 8 つの命題が、Agent NAS のあらゆるトレードオフを導きます。7 つの賭けは、何に賭けているのか、外れたらどうなるのかを示します。何年も通用することを願う設計は、自分がいつ誤るのかを述べるべきです。

## 1. アクセスの単位は、アカウントではなく実行

いまのやり方は、エージェントに長期のトークンか、人間のアカウントを渡すことです。2026 年 4 月の事故のトークンは、「ドメインを管理するために作られたのに、何でもできた」ものでした。実行には、開始、終了、目的、責任者があり、認可と説明責任の自然な単位になります。

*排除するもの：* 共有キー、長期のトークン、借りてきた人間のアカウント。

## 2. 元に戻せることは、防ぐことより安い

防止（承認、分類器、プロンプトのルール）は、必ず漏れます。分類器は見逃し、人間はもっと見逃し、モデルはプロンプトに書かれた原則も破ります。間違いを **元に戻せる** ようにすること（ブランチ、ソフト削除、スナップショット）は、すべての操作を正しくするよりずっと簡単で、検証もしやすいです。系として、**復旧の経路は、それが守るものの被害の範囲の外になければなりません**。だからスナップショットは所有者が持ち、どのリースの権限も及びません。

*排除するもの：* 「プロンプトに確認を求める一文を書くこと」を対策とみなすこと。

## 3. 権限はタスクごとに貸し出し、身元に対して与えない

実行が受け取るのは、範囲が狭く、期限があり、予算つきのリースです。長期の鍵はオーケストレーターか所有者の手元にとどまり、モデルは決して目にしません。

*排除するもの：* 長期の、広い、居座る権限。

## 4. ノートが真実、知能はキャッシュ

記憶は、人間が読んで直せるファイルであるべきです。索引、埋め込み、要約は、捨てて再構築できる導出物です。こうすれば、記憶を失わずに検索アルゴリズムを変えられ、毒入れや削除も扱えるようになります。

*排除するもの：* 調べることも移すこともできない、不透明な記憶ストア。

## 5. 出どころが背骨

すべての記憶、すべての導出物、すべてのマージが、「どこから来たのか、何に影響されたのか」に答えられます。出どころは、監査の土台であり、毒入れの対策、信頼ラベル、忘却の土台でもあります。

*排除するもの：* 出どころのない記憶。

## 6. ポリシーは決定的で、モデルは締めることしかできない

認可の判断は、モデルの「意見」ではなく、コードが下します。分類器や LLM は「この手順には承認が要る」と示唆できますが、承認することは決してできません。

*排除するもの：* 通してよいかどうかを、モデル自身に判断させること。

## 7. ストレージは退屈に保ち、革新は契約に置く

新しいエンジンは作りません。まずファイル。モデルがいちばんよく知っているインターフェースはファイルだからです。プロトコルは変わりますが、6 つの名詞は変わりません。

*排除するもの：* AI の名のもとに、新しいストレージエンジンを発明すること。

## 8. 希少なのは、トークンと人間の注意

読み取りには予算を与えます。承認は、少なく、具体的に、人間が本当に判断できる場所に置きます。つまり、すべての操作ではなく、計画とマージです。

*排除するもの：* 既定でファイル全体を返すこと。あらゆる操作でポップアップを出すこと。

## 7 つの賭けと、反証されうる条件

何年も通用することを願う設計は、何に賭けているのか、いつ誤るのかを述べるべきです。

| 賭け | 根拠 | 外れたら |
| --- | --- | --- |
| B1 エージェントは、これからもファイルシステムと Git を主な作業媒体にする | 主要なランタイムのいくつかが、すでにファイルに移っている。 | 専用の「記憶 API」に移るなら、Agent Home はエクスポート形式に格下げされる。ほかのコンセプトはファイルに依存せず、成り立つ。 |
| B2 「1 回の実行」は、これからも認可と説明責任の自然な単位である | オーケストレーターは、たいていタスクごと、セッションごとにサンドボックスを起動する。 | 長く動き続ける自律プロセスが現れるなら、リースは予算つきの更新を重ねる形になり、コンセプトは残る。 |
| B3 プロンプトインジェクションは、見通せる将来のうちには、モデル層で根絶されない | Meta 自身の表現、分類器の見逃し率、複数の攻撃研究。 | 根絶されるなら、Trust Labels は多層防御の安価な一層になる。 |
| B4 人間の注意は、これからも希少である | Anthropic が開示したデータ。 | 完全な自動化が十分に信頼できるものになれば、Human Gate は事前承認ポリシーに道を譲り、監査は残る。 |
| B5 ストレージ層は、出どころと汚染を強制するのにふさわしい場所である | 記憶のセキュリティ研究は書き込み時の出どころを重視している。OpenClaw は 1 つのランタイムの中で同じことを行った。 | どのランタイムも自分でうまくやるなら、NAS はラベルを保管するだけでよくなり、役割は薄くなる。 |
| B6 ランタイムやエージェントをまたいで共有される記憶は、現実の需要になる | マルチエージェントの協調、フレームワーク移行のコスト。 | 記憶が各フレームワークの私的な機能にとどまるなら、Agent Memory の価値は、主に個人と小さなチームの持ち運びやすさにある。 |
| B7 プロトコルは変わるが、「ファイルとツール」という 2 つの口は安定する | MCP のバージョン移行、A2A 1.0。 | アダプターを差し替える。アダプターがプロトコルを隔離するのは、このため。 |

## 安定すると見込むものと、変わると見込むもの

| 安定すると見込む | 変わると見込む |
| --- | --- |
| 6 つの名詞 | 具体的なプロトコルとトランスポート |
| Home のディレクトリの規約 | 埋め込みモデルと検索アルゴリズム |
| 4 つの約束 | トークンの形式 |
| 「エクスポートできることが、抜けられること」という保証 | エージェントフレームワークと、人間とコンピューターのインターフェース |

---

正規 URL: https://agentnas.com/ja/principles/
更新日: 2026-11-11 · 仕様ドラフト v0.2 · CC BY 4.0