限界と保証しない事項
このページでは、システムが保証しないこと、私たちが測れないこと、そして意図的に残している四つの既知の欠落を挙げます。Saltzer と Schroeder の完全仲介の原則はすべてのアクセスが検査を経ることを求めますが、デフォルト構成の受け取り口はこれを満たしていません。
#五段階の語彙：外に向けてどの段階まで言えるか
レシートのページに完全な表があります。ここでは結論だけを述べます。
2026 年 9 月時点の現状では、外に向けて言えるのは Decided（判定した）までです。
| 段階 | 現状 |
|---|---|
| Observed 観察した | 成立済み |
| Decided 判定した | 成立済み |
| Withheld 差し止めた | デフォルトでは成り立たない |
| Mediated 仲介した | デフォルトでは成り立たない（bwrap の隔離壁の下では実験的に成立） |
| Attested 認証した | 部分的に成立（A／B／B′／C の四段階） |
#完全仲介は成り立たない
Saltzer と Schroeder（1975）の完全仲介の原則は、すべてのアクセスが検査を経ることを求めます。Vacant の受け取り口は、デフォルト構成ではこれを満たしません。エージェントが別の経路で成果物を送り出せば、受け取り口からは見えません。
#やらない四つのこと
| この AI が信頼できると保証はしません | レベルは一回の実行に属し、一つの AI には属しません。 |
| AI を賢くはしません | 展示品 54 セル：30 件を差し止め、やり直しで救えたのは 0 件。 |
| テストに書けない仕事の採点はしません | 自動で実行できる受け入れがなければ、審判はいません。 |
| 迂回されない保証はありません | 隔離壁に閉じ込めたその一回の実行だけが、すべての通信がゲートを通ります。 |
#システムが捕まえられない四つのこと
#1. チェーン検証が捕まえられない三つのこと
切り詰め（信頼できるチェーン先頭がない）、分岐（同じイベントについて内容の異なる二本のチェーンに署名する）、記録漏れ（一度も書き込まれなかったイベント）。
2026-09-19 の実測で三つ目が確認されました。モデルへのリクエストを一度も送っていない実行が、それでも検証を通るレシートチェーンを生成しました。
#2. 相互実行は「スイート自体の腐敗」に対してまったく防御がない
受け入れスイートが「読み込んだだけで合格」に差し替えられたら、すべての票は誠実で、すべてのチェーンは検証を通り、それでもシステムはゴミを納品し続けます。これは仕組みの固定点です。R451 → R452 でこれを一つの残余（exec の密輸 368/371 → 0/371）にまで縮めましたが、消し去ってはいません。
鍵の多数は独立した主体の多数と同じではありません。
#3. 多者実行の数学的な上界
許容上限は ⌊(k − 1)/2⌋ です。過半数が共謀すると結果は反転し、誠実な参加者が名指しされます。しかも仕組み自身は、自分が閾値のどちら側にいるのかを知りません。
腐敗の比率を固定すると、k を 1 から 7 まで変えても納品率は一字も変わりません——腐敗率に対しては、マシンを増やしても何も買えません。
#4. シビル攻撃：「コストを上げる」としか書けない
Douceur（2002）：論理的に集中した身元の権威がない場合、資源が対等であるという非現実的な仮定を置かない限り、シビル攻撃は常に可能です。Cheng と Friedman（2005）：対称で、かつシビル攻撃に耐えられる評判関数は存在しません——そして Vacant の評判はすべての観察者に同じスコアを与えるので、対称関数にあたります。
実測もこの判定を支持しています。匿名攻撃は 0.05 × N で線形です——N = 200 のとき総重み 10.0、標的のスコア 0.892。線形の増加に上限はありません。
#計測層の三つの前提
#意図的に残している四つの既知の欠落
#① 身元は今も無料
修正ブランチには 6 項目の構造的な欠落が残っており、その一つ目がこれです。vacant_id → stream_id はまったく検証されていません（registry.py:78-82 は公開鍵 ↔ vacant_id を再計算していますが、vacant_id ↔ stream_id については一つも検査していません）。攻撃 PoC の実測：なりすましで評判を継承でき、0.50 → 0.7417 になりました。
#② 永久排除による誤った被害は測っていない
一度罰せられた身元がルーティングに戻ったのは、実測で 0 / 368 でした。プロジェクトは 2026-08-17 に、これを維持すると明確に裁定しました。しかし盲点によって誤判定された誠実な参加者にとっても、結果は同じく永久であり、この点は測っていません。
#③ 拒否のプリミティブは攻略される
実測：えり好みするエージェントの調整値は 0.253 > 誠実な参加者 0.204、評判は +31%、割り当てられる仕事も増えました（42.4 → 44.3）。しかしシステムの品質は −4.4%、誰にも受理されない件は +38% でした。
件数に基づく採点は、拒否を増やすことで点数を稼げます。 私たちの推論：人間の介入は観客によって攻略されるのであって、エージェントによって攻略されるのではありません。
#④ エージェントは自分のフックを削除できる
2026-09-20 の実測：五種類のエージェントのフックはどれもシェルコマンドを止められますが、エージェントはフック設定を削除できます。したがってフックは意味的な強化としてしか使えず、信頼の根にはなりません。
#まだ測っていないこと
| 受け入れテストの質 | テストの出来が良いか悪いかで、ゲートの効果がどう変わるか。これは私たちが自分で挙げた次の一歩の第一位です。 |
| 記録漏れ | レシートのチェーン先頭を公開し、切り詰めや記録漏れも見えるようにすること。第二位。 |
| 人 | レシートがあることで、人はより思い切って、またより根拠をもって AI に依存するようになるのか。第三位。 |
| A3 攻撃面 | A3.json は存在しますが、それを分析した報告は一つもありません。 |
| B シリーズの信頼区間 | 平均だけで、CI も対応のある検定もありません。 |
| 評価者の正確度 0.7 | これは著者が選んだ値であって、測ったものではありません。E12 は、これが参入コスト表全体の中で唯一本当に厳しい制約であることを示しています。 |
| agentlane | 2026-09-22 時点ではプログラムと展示会での証拠しかなく、コミット済みの数値結果はありません。 |
#迂回されることが分かっている三つの箇所
- 同一予算での比較 — マシンを増やすだけでルールを変えなければ、腐敗率への効果はゼロです。
- 人と機械の仲介 — 観客効果によって攻略されます。
- 信頼のプラグイン — エージェントが自分で外せます。
私たちがこの三つを書き出すのは、それが次に何をすべきかを決めるからです。これらを解決するには、審判かインセンティブの構造を替える必要があります。署名を増やすことではありません。
