スコープはどのシステムかを述べます。どの判断かは述べません。

問題

失敗条件は一つではなく四つ。

自律実行における説明責任の欠落は、単一の問題として語られがちです。しかし四つとして読むほうが適切です。それぞれ異なる仕組みを要するからです。

この四条件は、主権的なローカルエージェントランタイムの制度的要件に関する公刊された研究に由来します。これらは問題の枠組みであって、HANRIA が閉じる一覧ではありません。正確に述べれば、スキルは各判断をどの条項が支配したかを記録します。判断の記録であって、複数エージェントにまたがる寄与の記録ではありません。各行為を単独で評価し、行為のあいだに状態を保持しないため、総体としてのみ現れる逸脱は検知できる範囲の外にあります。運用者がマンデートを独立に書いたとき、評価器はエージェントが選ばなかった基準を適用します。評価の取り込みに対する部分的な答えであり、部分的にとどまります。スキルは誰がマンデートを書いたかを検査せず、助言的な検査は制御ではありません。救済と是正には手をつけていません。以下を参照。

既存の仕組みが閉じない理由

宛先の制限は、権限の指定ではありません。

現在のエージェント認可の取り組みは、トークンが正しいサービスに提示され、他へ渡されないようにすることに集中しています。MCP の認可仕様は明示的な resource パラメータを求め、トークンの素通しを禁じます。これは実在する混同の一類型に対する実質的な前進です。

それは運用者が抱える問いとは別の問いです。資格情報をどこで使ってよいかを制限することは、保持者がそれで何をしてよいかを、誰の付与のもとで、どの制限のもとで、どう取り消されるのかを述べません。それが権限の指定であり、より古い考えです。ケイパビリティの文献は 1980 年代から、権限は呼び出し元の同一性ではなく対象への参照とともに移動すべきだと論じてきました。

決済のレールにも同じ形の欠落があります。それらは価値を動かします。エージェントが起こした取引の背後にある委任された権限、方針の文脈、ソフトウェアの経路をどれだけ表現するかは、かなりばらつきがあります。

実際の姿

一つのマンデート、四つの提案された行為。

運用者は自分の言葉と条項でマンデートを書きます。カタログを読む、自社のカタログ API に投稿する、それ以外はしない — そして返金や資格情報に触れることは、エージェントではなく運用者の判断とする。提案された各行為はこれに照らして検証されます。

これはスキルであり、助言的です。deny と escalate は、続行を勧めることを控え、その判断をローカルのログに追記したという意味です。ここで阻止されたものは何もありません — エージェントは持っていたアクセス権をそのまま持ち続けています。

ホームページは、同じ評価器をワークステーションのマンデート omarchy-workstation-2026-09 に対して示しています。カタログの話はここに残します。

この表で効いているのは二点です。上限は何を求めてよいかを狭めるのであって、人を取り除きはしません — 40 ドルの返金は上限の内側にあっても、なお escalate として返る。transaction が requires_human にあるからだ。そして何も一致しないとき、答えは最も近かった条項とそれが外れた理由を示します。たいていはそれこそが見たいものです。

マンデートが及ぶ範囲

求められたものを縛るのであって、エージェントが既に持つものは縛りません。

マンデートは、提案された行為を検証するための制限を述べます。エージェントが既に持っているものを縛ることはできません。

どの行も検証され、記録されるです。スキルが行うのはそれだけだからです。表のどれも阻止はされません。阻止には資格情報とツールを排他的に保持するランタイムが必要です。

最後の行が正直な行です。マンデートは資格情報の使用を permit の手の届かないところに置くことができ、評価器は、認識可能な資格情報らしきものを含むと見える要求について続行を勧めることを控えます — これは典型的な形を認識する発見的手法であり、完全ではありえません。いずれも、エージェントが既に持つトークンの使用を止めはしません。

答えのかたち

四つの層。拒否できるのはそのうち一つだけ。

1. エージェント

   計画し、交渉し、提案します。制御を置く場所ではありません。その文脈にあるものは何であれ上書きされうるからです。

2. スキル

   マンデートを明示し、提案された行為をそれに照らして検証し、判断を記録します。助言的であり、資格情報を保持せず、ツールも制御しません。

3. ランタイム

   受付、ライフサイクル、失効、再送、特権条件を検証し、そのモデル上の経路で拒否結果を返します。保護された資格情報とツールを排他的に保持する場合にだけ、操作を阻止できます。

4. 運用ガバナンス

   フリート管理、証跡の保全、独立した検証、異議、不服申立て、是正は、実行境界を取り巻くシステムを統治します。

支配する原則、そして無償の層があえて弱いほうである理由：スキルは権限を求め、実施できるのはランタイムだけです。プロンプトや Markdown のスキルは迂回を防げません。そう言う売り手は、制御そのものではなく制御の説明を売っています。

各仕組みの役割

検証、拒否、ガバナンスは別の仕事です。

スキルは記述された一つの行為を評価します。ランタイムモデルは実行境界に必要な条件を評価します。運用ガバナンスは、その境界を取り巻く記録、独立した検証、救済を扱います。

モデルが拒否結果を返しても、操作が阻止された証明にはなりません。阻止には、操作を実行できる資格情報、ツール、署名鍵、またはワーカープロセスの排他的な制御が必要です。

何が真でなければならないか

反対論、私たち自身の言葉で。

これを評価する運用者は、本当に欠けているものを量るべきです。促されるまでもなく、ここに挙げます。

• モデル化されたランタイム経路は保護された資格情報やツールを保持しません。したがって、その拒否結果は排他的な実行境界を確立しません。
• ランタイムの記録には、公開された記録形式も独立した検証器もありません。したがってランタイムがつくるものは、まだ取引相手に対する証拠にはなりません。ホスト型チェックの署名付きレシートが示すのは、一つのマンデートのもとで一つの行為についてチェックが何と答えたかだけです。ランタイムの記録が検証できるようになるまで、証拠に関する議論は設計上の意図です。
• 混乱した代理人やプロンプト注入の試験群はありません。それらは制御の境界が耐えねばならない攻撃であり、それに対する実証はなされていません。
• 説明責任の欠落のうち救済と是正の側 — 異議、不服申立て、原状回復 — には手をつけていません。悪い結果を正確に記録する仕組みは、それを取り消す道を誰にも与えてはいません。
• 第三者による監査も、認証も、本番配備もありません。実戦でこれを使っている顧客もいません。

スキルは助言的な検証を行います。ランタイムモデルは拒否ロジックを試験します。実施は資格情報とツールを排他的に保持する層だけに属する、というのが支配する原則です。

助言的なチェックから始める。

無償のホスト型チェックは、マンデートと提案された行為に評価器を適用します。その答えを実施するものではありません。 そこから始める → · 現在の境界 →

これが自分に関係するかを知りたければ、反対論を読み直してください。どちらにせよ同じ一覧であり、私たちが消せるようにならねばならないものです。

サービス、業務、パイロット、商業的関係のいずれも提供していません。サービスや受付の窓口はありません。評価に関する問い合わせ先は現在の境界に記載しています。