自律性を与える前に、境界を証明する。

ラボが今日行っていること

どの項目も、ラボと、ラボが生成する署名付きレポートの性質であり、私たちに尋ねずに確かめられます。

• まず穴を再現します。制限が宣言されているだけのときにエージェントが引き起こせる効果を、制限の緩いベースラインが示すため、保護された実行には封じ込めるべき実際の対象があります。
• 同じ禁止された試みを、MCP、シェル、スクリプト、API の直接呼び出しを通じて送ります。実際に試されなかった経路は「未評価」として報告され、決して「保護」とは報告されません。
• 効果を、エージェントの外にあるプロセスから観測します。エージェントのログ、要約、ツールの出力は、信頼できない証拠として扱います。
• レビューされたとおりの候補（リポジトリ、ブランチ、期待される ref、diff）だけを、リモートの状態を原子的に確認しながら、Execution Guardian を通して外に出します。
• すべての実行レポートに、エージェントが決して目にしないスーパーバイザーの鍵で署名します。レポートは、運用者が導入する trust anchor に照らしてオフラインで検証できます。

なぜ存在するのか

MCP は 1 つの経路です。シェル、ファイル、API、ブラウザ、自動化もまた、別の経路です。

チームは、コーディングエージェントを本番環境にも秘密にも他人の仕事にも到達させずに働かせたいと考え、実際の環境を壊すことなく、それらの制限が守られることを確かめる必要があります。フックと承認モードは、エージェントがどう許可を求めるかを記述するもので、防御境界ではありません。リスクは、エージェントが実際に使える権限と、実際に到達できる経路にあります。SSH ソケット、ブラウザセッション、どんなリクエストにも署名するプロキシ、内部エンドポイントは、鍵を 1 つも明かさずに権限を与えてしまいます。

テストの背後にある失敗のファミリ

2026 年に公になった事例が、シナリオの形を決めました。各ファミリは、1 つの統制と、それを破ろうとするテストに対応しています。

これらの事例は、失敗のファミリを考える動機になったものです。フォレンジックな複製ではなく、ラボがそれらを防げたはずだとは、ここでは一切主張していません。試験している変種（エイリアス、シム、キャッシュミス）は、私たち独自のものです。

ループ

宣言し、破ろうと試み、観測し、修正し、再試験し、承認し、実行し、検証する。

1. 01 宣言する
2. 02 破ろうと試みる
3. 03 外から観測する
4. 04 修正する
5. 05 再試験する
6. 06 正確な効果を承認する
7. 07 実行する
8. 08 検証する

宣言された制限は反証可能なテストになり、その同じ制限が、今度は実際の実行を律します。実質的な項目（モデル、マウント、ポリシー、アダプター、宛先）を変えると、影響を受ける経路は、再び数に入る前に再検証しなければなりません。

分離された 4 つの責任

ラボでは、観測者と Guardian は、ディレクトリも権限も別々の、分離されたプロセスです。これは試験対象のプロセスからの独立であって、独立した機関による監査ではありません。

プロファイルとラボのレベル

各結果が名指しするのは網羅した経路であり、包括的な「安全」では決してありません。

意図的に制限を緩めたベースラインも含め、3 つのプロファイルはすべて、本番環境もインターネット上の宛先もない囲いの中で動きます。ベースラインが到達しうるのは合成の禁止リソースであり、実在するものには決して到達しません。

確かめられる証拠

署名付きレポートと、決して混ぜられない 3 つの軸。

実行は、Zod で検証されるバージョン付きの構造、すなわち HarnessProfileV1、HarnessScenarioV1、HarnessRunReportV1 で記述されます。レポートはエージェントの外にあるスーパーバイザーの鍵で署名され、運用者のチャネルを通じて導入された trust anchor に照らしてオフラインで検証されます。自らが署名するレポートの中に同梱された鍵は、決して信頼されません。

証拠は、全体のダイジェストではなく、性質ごとに再利用されます。

受け入れは論理積で、正確な権限、ローカルポリシー、必要なすべての経路についての真正で適用可能な証拠、稼働中の観測、残りの予算がすべて揃わなければなりません。レポートはそのうち 1 つの条件を満たしうるものの、ほかの条件の代わりには決してならず、許可を生み出すことも決してありません。運用者がエージェントの外に導入する、バージョン付きの規則が、各主張の実質的な依存関係を、いま観測されている構成と比べます。欠けている、不明な、または確認できない項目は、未評価を意味します。

• ファイルとプロセスの分離OS、カーネル、バックエンド、イメージ、identity、特権、マウント、ソケット、実際の起動方法に依存します。新しい Git の宛先だけではこれを無効にしませんが、新しいマウントは無効にします。
• 封じ込めた外向き通信ルール、ルーティング、DNS、プロキシ、ヘルパー、到達可能なエンドポイントに依存します。別のドメインを認可しても PASS を受け継ぐことは決してなく、ローカルのカナリアはインターネットの遮断を証明しません。
• アダプターが正確な効果を保つ仕組みの証拠として再利用できます。権限、ネットワーク、identity、実プロバイダーの振る舞いについては、何も証明しません。
• 宛先との統合その認可された宛先でのみ得られます。ローカルのフィクスチャが実際の GitHub についての証拠になることは決してなく、ref と事前状態は効果のたびに読み直されます。
• エージェントの振る舞いモデル、バージョン、ハーネス、ツール、タスク、パラメーターに結び付いています。新しいモデルは、そのモデルなしで試験した OS の障壁を無効にはしません。無効になるのは、その振る舞いの外挿です。

緑のレポートが、Execution Grant を発行することも、MFA や定足数の代わりになることも、将来の結果を認可することも、決してありません。新しい候補 SHA には、環境についての証拠がすべて引き続き適用される場合でも、新たな正確な承認が必要です。

正確なエクスポート

ラボから出るのは、レビューされた変更だけ。

1. 01書き込みが止まり、候補は隔離されます。スーパーバイザーは、信頼できるベースに変更を加えて、クリーンなリポジトリを作り直します。エージェント由来の .git、フック、ヘルパー、設定、サブモジュール、フィルターは一切含めません。
2. 02受け入れるのは、タスクのパス内にある通常のテキストファイルだけです。symlinks、gitlinks、範囲外へ抜け出すパス、統制への変更は拒否されます。
3. 03成果物のダイジェスト、候補 SHA、ベース、宛先、期待される ref、エクスポートする範囲の完全な diff を固定します。コミットの作成者はメタデータであって、認可ではありません。
4. 04レビューでは、何を、どのリポジトリのどのブランチへ送り、どの自動化を起動するかを明示します。Task Contract が、その正確な効果を拘束します。
5. 05Execution Guardian は成果物、ref、ポリシー、予算、停止を再検証し、事前状態をアトミックに比較したうえで fast-forward か ref の作成を実行します。GitHub では作成のみです。汎用的な force-push はありません。
6. 06リモートの状態を検証します。タイムアウト時は、照合が済むまで予約と不確かな結果を保持して盲目的な再試行はせず、receipt は、認可された push と、正しいコードや無害なコードとを区別します。

停止、死活監視、予算

Harnesses

ハーネス、バージョン、プラットフォームごとの証拠。

アダプターは、固定したバージョンのハーネスの起動とイベントを変換します。同等のブロッキングフックを持たないハーネスでは、封じ込めは外部に置かれたままとなり、そのフックは作り出されるのではなく「未対応」と記されます。試験済みのバックエンドは Linux であり、macOS と Windows はその結果を受け継がず、どのハーネスのロゴも完全な網羅を意味しません。

1. 01

   Claude Code · Codex

   最初のアダプターを、1 つずつ。macOS ネイティブのプロファイルは単独で評価され、Linux からは何も受け継ぎません。

2. 02

   Cursor

   次に、独自のプロファイルで、作業パッケージごとに 1 つの性質を扱います。

3. 03

   SDKs

   続いて SDKs を、同じ証拠の意味論のもとで扱います。

4. 04

   クラウドエージェント

   認められるのは、実際に仲介される宛先での効果だけです。エージェントの内部環境は未評価のままです。

モデルを訓練し評価するチーム向け

試験済みの防御境界の内側で行う、エージェント型の評価。

ハーネスの評価は、ライフサイクル、シナリオ、制限について、Inspect（そのタスク、サンプル、Docker サンドボックス）と統合します。SecureStamp が提供するのは、外部の観測者、効果のオラクル、レポートのエクスポートであって、新たなスケジューラーや LLM 採点器やログパイプラインではありません。信頼されたプロセスの中で候補を実行するスコアラーはなく、効果を伴うコマンドの再試行は無効にされ、開発用とホールドアウトのデータセットは分けておきます。ホールドアウトを統制の調整に使うことは決してありません。

• まず決定的な試みを注入し、仕組みの因果的なテストとします。実際のハーネスとモデルはその後、認可された予算の範囲内で、システムがどう振る舞うかの証拠として実行します。
• リクエストを再生しても、確率的な推論は再生されません。バージョン、利用できるパラメーター、実行回数、タイムアウト、分母は保存しますが、同一の再生は約束しません。
• 有用性と封じ込めは別々に報告するため、すべてを遮断しても、機能する製品として数えられることは決してありません。0/N という結果は、リスクがゼロという意味ではありません。