検索・記憶・出典の対応付け

Source SHA-256 5f965f993a07693e295714f805666124af463660f614636f80128e30c92b9832

PACKET_ID: PKT-GEMINI-A-CORE-02-v0.1

PROVIDER: GEMINI cycle / CROSS_PROVIDER core

TARGET_SECTION_ID: CORE-02

TARGET_SECTION_TITLE: Retrieval / Memory / Source Binding

WAVE: WAVE-A

CORE_OR_PRODUCT_OR_ORG: ENTERPRISE_AI_CORE

STATUS: RECOMPILED_WITH_SCOPED_RESIDUALS / CLAUDE_PM_MAPPED / NOTEBOOKLM_SUPPLEMENT_MAPPED

CREATED_AT: 2026-09-05 15:38 JST

LAST_UPDATED: 2026-09-13 01:08 JST

この章は、「モデルへ入れられる量」「必要根拠を見つける能力」「見つけた根拠を使う能力」「sourceに忠実な生成」「sessionを越えて保持されるmemory/state」を分離し、企業AIのsource利用を検証可能な契約にする。

含む:

• context / retrieval / source binding / grounding / citation

• transient context / conversation history / memory / source set / artifact stateの区別

• source identity、authority、version、freshness、permission、trust origin

• retrievalとgenerationを分けた診断

• position、semantic retrieval、multi-hop、aggregation、conflict、stale source試験

• permission-aware retrievalとsemantic contamination

含まない:

• task/checkpoint/handoffの基本契約（CORE-01）

• pipeline分解の一般則（CORE-03）

• model/tool/source/state routeの選定（CORE-04）

• prompt injection防御の全体（CORE-10）

• Geminiの@Drive、Gem Knowledge、Drive Project、NotebookLM、context/file上限、citation UI、admin controlの可用性（PM-GEMINI）

• 組織Driveの実ACL、label、DLP/CSE、正本folder、実測retrieval結果（Organization Overlay）

• CLAIM_ID: CLM-C02-001; CANONICAL STATEMENT: 公称context lengthと、必要情報を位置・長さ・複雑性にかかわらず使える実効context能力は同じでない; EVIDENCE STATE: MULTI_BENCHMARK_RESEARCH_BOUND; PRIMARY SUPPORT: S002/S055; Lost in the Middle; RULER; NoLiMa; BABILong; LongBench v2; NEXT EVIDENCE: provider別の再実行はPMへ

• CLAIM_ID: CLM-C02-002; CANONICAL STATEMENT: RAGはretrieval、context utilization、generation faithfulness、answer qualityを分けて評価しなければ診断できない; EVIDENCE STATE: RESEARCH_BOUND; PRIMARY SUPPORT: S004/S055/S056; RAGAS; ARES; RAGChecker; NEXT EVIDENCE: metric/judge reliabilityのcounterevidenceを追加

• CLAIM_ID: CLM-C02-003; CANONICAL STATEMENT: source bindingはsource名だけでなくidentity、authority、scope、version/snapshot、freshness、permission、trust originを持つ; EVIDENCE STATE: INTERNAL_SYNTHESIS + CORE-01 BOUNDARY; PRIMARY SUPPORT: S020/S021/S023/S056; CORE-01 input contract; NEXT EVIDENCE: provenance/lineage標準とのcrosswalk

• CLAIM_ID: CLM-C02-004; CANONICAL STATEMENT: 宣言したsource集合と、実際に取得・利用したことを証拠化できるsource集合を同一視しない; EVIDENCE STATE: INTERNAL_OBSERVATION + LIMIT; PRIMARY SUPPORT: S019/S023; CORE-01 declared/evidenced source; NEXT EVIDENCE: product audit-log granularityをPMへ分離

• CLAIM_ID: CLM-C02-005; CANONICAL STATEMENT: RAGを使用してもunsupported/contradictory claimは残り得るため、citation表示だけでgrounding完了としない; EVIDENCE STATE: RESEARCH_BOUND; PRIMARY SUPPORT: S004; RAGTruth; NEXT EVIDENCE: citation correctness/completeness研究を追加

• CLAIM_ID: CLM-C02-006; CANONICAL STATEMENT: conversation history、memory、source set、instructions、artifact state、current task stateは別のpersistence mechanismである; EVIDENCE STATE: INTERNAL_OBSERVATION + PRODUCT_EXAMPLE; PRIMARY SUPPORT: S020/S055/S063; CORE-01; NEXT EVIDENCE: external memory/persistence OSS比較

• CLAIM_ID: CLM-C02-007; CANONICAL STATEMENT: source更新は保存方式ごとに追従性が異なり、copy/snapshot/linkを明示しなければstale stateを検出できない; EVIDENCE STATE: INTERNAL_OBSERVATION + PRODUCT_VOLATILE_EXAMPLE; PRIMARY SUPPORT: S020/S021/S030/S036; NEXT EVIDENCE: generic content-addressed/versioned-source practice

• CLAIM_ID: CLM-C02-008; CANONICAL STATEMENT: long-context acceptanceはexact retrievalだけでなくposition、semantic relation、multi-hop、aggregation、revision conflict、noise scaling、realistic task reasoningを分けて測る; EVIDENCE STATE: MULTI_BENCHMARK_RESEARCH_BOUND; PRIMARY SUPPORT: S002; Lost in the Middle; RULER; NoLiMa; BABILong; LongBench v2; NEXT EVIDENCE: executable ELCAT fixtureとprovider別再実行

• CLAIM_ID: CLM-C02-009; CANONICAL STATEMENT: permission-aware retrievalは権限昇格を防ぐが、既存の過剰共有・stale権威・untrusted sourceを自動修正せず、filter APIの存在だけではcandidate exclusionも保証しない; EVIDENCE STATE: RESEARCH + CURRENT_CODE + LIVE_FAIL_BOUND; PRIMARY SUPPORT: S023/S055/S063; Permission-Aware RAG; ACL RAG privacy study; OpenFGA/LlamaIndex current code and live fixture; NEXT EVIDENCE: provider/organization実ACLでrevocation・multi-hop・oversharing fixtureを実測

• CLAIM_ID: CLM-C02-010; CANONICAL STATEMENT: memoryは「覚える」の一語で扱わず、scope、write rule、supersession、conflict、reset/delete、inspection、freshnessを試験する; EVIDENCE STATE: RESEARCH + VERSIONED_OSS + COMPONENT_LIVE_BOUND; PRIMARY SUPPORT: S020/S055/S056; LongMemEval; Mem0 2.0.20/current commit/issues/reviewer; SQLite/Qdrant and sync/async stub fixtures; NEXT EVIDENCE: real LLM/retrieval、remote/hosted/provider residual profileを実測

• CLAIM_ID: CLM-C02-011; CANONICAL STATEMENT: source bindingが保証できない時はbounded excerpt、versioned snapshot、external retriever、manual citation audit等へdegradeし、失うfreshness・coverage・automationを明記する; EVIDENCE STATE: RELIABILITY_DERIVED; PRIMARY SUPPORT: S004/S020/S021/S023/S063; CORE-01 fallback rule; NEXT EVIDENCE: external operational patterns

SOURCE_DOCUMENT: GPT-5.6 Sol版_法人向けGemini運用論_追加採集ログ_2026-09-04

DRIVE_DOCUMENT_ID: 1w88Q77mHlXsYm22v6VtwKeX-G-WkMwQAAIdje4DxLKc

SOURCE_REVISION: ANLCKQlY-J2cMBi8grqzT6xr8lijnDfdK21uyia96W5USYaomwphSxsvdaSUmm4XOWvBVMAJ7AzV7H7KKg2neXpB6yTTdJIsQZD_svTbbrso

• SOURCE_ID: SRC-S002; DOCUMENT INDEX SPAN: 4557–6799; DIRECTLY EXTRACTED CONTRIBUTION: context受理と実効利用を分離。exact/position/semantic/multi-hop/aggregation/state-localization/revision/noiseのELCAT軸; BOUNDARY: 特定失敗の原因をposition biasと断定しない

• SOURCE_ID: SRC-S004; DOCUMENT INDEX SPAN: 7905–9731; DIRECTLY EXTRACTED CONTRIBUTION: source selection、retrieval recall/precision、utilization、faithfulness、completeness、conflict、freshness、citation auditabilityを分離; BOUNDARY: RAG metricをprovider機能保証にしない

• SOURCE_ID: SRC-S020; DOCUMENT INDEX SPAN: 66847–72400; DIRECTLY EXTRACTED CONTRIBUTION: ephemeral input、history、artifact、instructions、knowledge、source set、research artifact、external state、personal memoryの分離; BOUNDARY: Gemini固有support/availabilityはPM-GEMINIへ

• SOURCE_ID: SRC-S021; DOCUMENT INDEX SPAN: 72403–76550; DIRECTLY EXTRACTED CONTRIBUTION: source/claimへrelease、rollout、preview、deprecation、freshness、recheck triggerを付与; BOUNDARY: Google rollout例はProduct Mapping evidence

• SOURCE_ID: SRC-S023; DOCUMENT INDEX SPAN: 81620–85893; DIRECTLY EXTRACTED CONTRIBUTION: permission、freshness、sensitivity、trust origin、retrieval auditabilityを分離し、oversharingとsemantic contaminationを接続; BOUNDARY: WorkspaceのIRM/DLP/CSE可用性はPM/ORGへ

• SOURCE_ID: SRC-S030; DOCUMENT INDEX SPAN: 126061–133465; DIRECTLY EXTRACTED CONTRIBUTION: copied dataとlive source linkを別軸化し、data location、source linkage、update mode/latency、ACL/deletion propagation、policy inheritance、retention domain、citation provenanceを分ける; BOUNDARY: NotebookLMのauto-sync・policy semanticsはPM-GEMINI、実環境はORGへ

• SOURCE_ID: SRC-S036; DOCUMENT INDEX SPAN: 171618–178240; DIRECTLY EXTRACTED CONTRIBUTION: device uploadとDrive-linked sourceを分離し、update propagationを問う; BOUNDARY: Gemini product semanticsはPMへ

• SOURCE_ID: SRC-S039; DOCUMENT INDEX SPAN: 194756–201690; DIRECTLY EXTRACTED CONTRIBUTION: visible label、alias、exact model/version、observed dateを分離; BOUNDARY: model lifecycle詳細はPM/CORE-06へ

• SOURCE_ID: SRC-S048; DOCUMENT INDEX SPAN: 305032–323249; DIRECTLY EXTRACTED CONTRIBUTION: TOC/index/knowledge graph/provenanceを分離し、claim/source/testへstable ID、alias、source registry、freshness class、supersessionを与える; BOUNDARY: navigation設計の詳細はPart IV。CORE-02ではsource binding/provenance fieldのみ採る

• SOURCE_ID: SRC-S051; DOCUMENT INDEX SPAN: 342068–351843; DIRECTLY EXTRACTED CONTRIBUTION: source update→connector→index/cache→retrieved version→answer→citationを別timestamp/stateで測り、long-term memoryをextraction/multi-session/temporal/update/abstentionへ分ける; BOUNDARY: Google surface別伝播はPM/ORG。research benchmark結果を製品保証にしない

• SOURCE_ID: SRC-S052; DOCUMENT INDEX SPAN: 351845–361980; DIRECTLY EXTRACTED CONTRIBUTION: RAG componentをrecall/precision/freshness/context relevance/utilization/faithfulness/citationへ分け、failure diagnosis labelを分離; BOUNDARY: OSS evaluatorのmetric値をground truthとしない

• SOURCE_ID: SRC-S053; DOCUMENT INDEX SPAN: 361982–375962; DIRECTLY EXTRACTED CONTRIBUTION: multi-page/multimodal/cross-source knowledge workでretrieval completeness、chronology、permission、groundingを測り、trace自体のprivacyを扱う; BOUNDARY: multimodal/office/privacy評価の詳細はCORE-07/08/10へ

• SOURCE_ID: SRC-S054; DOCUMENT INDEX SPAN: 375964–387701; DIRECTLY EXTRACTED CONTRIBUTION: citation existence/resolution/support/claim strength/source choice/freshness/coverage/sentence attachmentを独立検証し、claim-citation matrixを提案; BOUNDARY: citation researchを全domain/languageへ外挿しない

• SOURCE_ID: SRC-S055; DOCUMENT INDEX SPAN: 387703–402679; DIRECTLY EXTRACTED CONTRIBUTION: Three-Layer Knowledge Mapping。実効context、RAG pipeline、memory update semantics、permission-aware retrieval、citation独立検証をEnterprise AI Coreに置き、Gemini固有のsource/history/copy/link semanticsをProduct Mappingへ、実組織のavailability/settings/testをOrganization Overlayへ置く; BOUNDARY: research benchmarkを製品保証へ外挿せず、Google固有値をCoreへ混ぜない

• SOURCE_ID: SRC-S056; DOCUMENT INDEX SPAN: 402681–416762; DIRECTLY EXTRACTED CONTRIBUTION: Chapter 3をCORE-02/04/15/16/23/30へcrosswalkし、Effective Context、RAG Evaluation、Source Freshness、Citation、Memory update semanticsを必須化。ledgerをSTATE/ARTIFACT/CONFIG/SOURCE/ACCEPTANCEへ拡張し、traceable source registry fieldを定義; BOUNDARY: S056の章統合案をFrozen TOCの改変に使わず、CORE-02に該当する語彙・fieldだけ採る

• SOURCE_ID: SRC-S063; DOCUMENT INDEX SPAN: 483317–503028; DIRECTLY EXTRACTED CONTRIBUTION: Frozen scopeとしてcontext/retrieval、source binding、memory/profile/remembered state、durable source/transient context、citation/provenance、retrieval failure、source permission、source freshnessをCORE-02へ配置。依存はCORE-02→CORE-03/04/08/10、表現層はCore concept→Product Mapping→Organization instance; BOUNDARY: S063内の誤ったS052等の節説明はsource contentとして使わず、Frozen TOC・scope・dependency・layer ruleだけ採る

• EVIDENCE_ID: EXT-C02-001; TYPE: PEER_REVIEWED_RESEARCH; SOURCE / VERSION: Liu et al., “Lost in the Middle,” TACL 12 (2024), DOI 10.1162/tacl_a_00638, https://aclanthology.org/2024.tacl-1.9/; SUPPORTING CLAIM: multi-document QA/key-value retrievalで根拠位置により性能が変わり、中央で低下する傾向。CLM-C02-001/008; LIMIT: 対象task/model時点に限定。個別製品失敗の原因診断には使わない; FRESHNESS: checked 2026-09-05

• EVIDENCE_ID: EXT-C02-002; TYPE: RESEARCH + OSS; SOURCE / VERSION: Hsieh et al., RULER, arXiv:2404.06654v3 / COLM 2024; https://arxiv.org/abs/2404.06654 ; https://github.com/NVIDIA/RULER; SUPPORTING CLAIM: multi-needle、multi-hop tracing、aggregationを13 taskで評価し、公称lengthと実効性能を分離。CLM-C02-001/008; LIMIT: synthetic task中心。production corpusのsemantic/permission/freshnessを代替しない; FRESHNESS: checked 2026-09-05

• EVIDENCE_ID: EXT-C02-003; TYPE: PEER_REVIEWED_RESEARCH + OSS; SOURCE / VERSION: Es et al., RAGAS, EACL 2024 Demo, DOI 10.18653/v1/2024.eacl-demo.16, https://aclanthology.org/2024.eacl-demo.16/; SUPPORTING CLAIM: retrieval context、faithful utilization、generation qualityを別dimensionへ分ける。CLM-C02-002; LIMIT: reference-free LLM metricの信頼性を無条件に仮定しない; FRESHNESS: checked 2026-09-05

• EVIDENCE_ID: EXT-C02-004; TYPE: PEER_REVIEWED_RESEARCH + OSS; SOURCE / VERSION: Saad-Falcon et al., ARES, NAACL 2024, DOI 10.18653/v1/2024.naacl-long.20, https://aclanthology.org/2024.naacl-long.20/; SUPPORTING CLAIM: context relevance、answer faithfulness、answer relevanceを分離し、少量human labelとsynthetic training dataを用いる; LIMIT: 8 knowledge-intensive taskでの結果。任意の社内日本語文書へ精度を外挿しない; FRESHNESS: checked 2026-09-05

• EVIDENCE_ID: EXT-C02-005; TYPE: PEER_REVIEWED_RESEARCH + OSS; SOURCE / VERSION: Ru et al., RAGChecker, NeurIPS 2024 Datasets and Benchmarks, DOI 10.52202/079017-0692, https://proceedings.neurips.cc/paper_files/paper/2024/hash/27245589131d17368cccdfa990cbf16e-Abstract-Datasets_and_Benchmarks_Track.html; SUPPORTING CLAIM: retriever/generator双方をfine-grained metricsで診断。CLM-C02-002; LIMIT: meta-evaluationの範囲外でhuman judgment相関を保証しない; FRESHNESS: checked 2026-09-05

• EVIDENCE_ID: EXT-C02-006; TYPE: PEER_REVIEWED_RESEARCH; SOURCE / VERSION: Niu et al., RAGTruth, ACL 2024, DOI 10.18653/v1/2024.acl-long.585, https://aclanthology.org/2024.acl-long.585/; SUPPORTING CLAIM: RAG応答にもretrieved contentにunsupported/contradictoryなclaimが残る。CLM-C02-005; LIMIT: 約18,000応答のcorpus/domain/model構成に依存; FRESHNESS: checked 2026-09-05

• EVIDENCE_ID: EXT-C02-007; TYPE: OSS_LIMIT; SOURCE / VERSION: NVIDIA/RULER README limitation at repository current snapshot, https://github.com/NVIDIA/RULER; SUPPORTING CLAIM: 13設定だけを評価し、全modelを高難度条件でstress testしていないという自己限定; LIMIT: limitationを「benchmark無効」とは解釈せず、ELCATへproduction taskを足す理由にする; FRESHNESS: checked 2026-09-05

• EVIDENCE_ID: EXT-C02-008; TYPE: PEER_REVIEWED_RESEARCH; SOURCE / VERSION: Ouyang et al., HoH, ACL 2025, DOI 10.18653/v1/2025.acl-long.301, https://aclanthology.org/2025.acl-long.301/; SUPPORTING CLAIM: outdated informationがcurrent情報と共存してもretrieval/generationの両側でaccuracyを下げ得る。CLM-C02-005/007/009; LIMIT: benchmark構築と評価domainに限定。特定providerのcache/index伝播原因を証明しない; FRESHNESS: checked 2026-09-05

• EVIDENCE_ID: EXT-C02-009; TYPE: PEER_REVIEWED_RESEARCH + OSS; SOURCE / VERSION: Wu et al., LongMemEval, ICLR 2025, https://web.cs.ucla.edu/~kwchang/bibliography/wu2025longmemeval/; SUPPORTING CLAIM: long-term memoryをinformation extraction、multi-session reasoning、temporal reasoning、knowledge updates、abstentionへ分け、indexing/retrieval/readingの段階を示す。CLM-C02-006/010; LIMIT: 500 curated questionsのbenchmark。企業task stateや製品memoryのprivacy/delete保証を直接扱わない; FRESHNESS: checked 2026-09-05

• EVIDENCE_ID: EXT-C02-010; TYPE: PEER_REVIEWED_INDUSTRY_RESEARCH; SOURCE / VERSION: Maheshwari et al., CiteFix, ACL Industry 2025, DOI 10.18653/v1/2025.acl-industry.23, https://aclanthology.org/2025.acl-industry.23/; SUPPORTING CLAIM: generated citationをretrieved articleとcross-checkするpost-validationが独立に必要。CLM-C02-005; LIMIT: 単一RAG productでの手法/結果。全citation UIやdomainへ改善率を外挿しない; FRESHNESS: checked 2026-09-05

• EVIDENCE_ID: EXT-C02-011; TYPE: PEER_REVIEWED_RESEARCH; SOURCE / VERSION: Choi et al., CiteGuard, ACL 2026, DOI 10.18653/v1/2026.acl-long.282, https://aclanthology.org/2026.acl-long.282/; SUPPORTING CLAIM: citation evaluationをattribution alignmentとして扱い、LLM-as-judge単独の信頼性限界とretrieval-aware validationを示す。CLM-C02-005; LIMIT: scientific-writing/CiteME中心。企業文書のcitation correctness/completenessは別fixtureで測る; FRESHNESS: checked 2026-09-05

• EVIDENCE_ID: EXT-C02-012; TYPE: PEER_REVIEWED_RESEARCH; SOURCE / VERSION: Jeong & Lee, “Permission-Aware RAG,” IEEE Access 13 (2025), 192819–192835, DOI 10.1109/ACCESS.2025.3628960, https://doi.org/10.1109/ACCESS.2025.3628960; SUPPORTING CLAIM: heterogeneous resourceのnative IAMへ問い合わせ、resource-level authorizationをretrieval前に適用する設計とmulti-hop QA prototypeを提示。CLM-C02-009; LIMIT: prototype/benchmarkであり、全IAM・latency・revocation伝播・overshared sourceの意味的正当性を保証しない; FRESHNESS: checked 2026-09-05

• EVIDENCE_ID: EXT-C02-013; TYPE: PEER_REVIEWED_RESEARCH + OSS; SOURCE / VERSION: Zeng et al., “The Good and The Bad: Exploring Privacy Issues in RAG,” Findings ACL 2024, DOI 10.18653/v1/2024.findings-acl.267, https://aclanthology.org/2024.findings-acl.267/ ; code https://github.com/phycholosogy/RAG-privacy; SUPPORTING CLAIM: attack実験によりprivate retrieval databaseからの情報漏えいriskを示す。CLM-C02-009; LIMIT: attack setting、dataset、modelへ依存し、permission-aware architecture自体の有効性評価ではない; FRESHNESS: checked 2026-09-05

• EVIDENCE_ID: EXT-C02-014; TYPE: AUTHOR-MAINTAINED OSS ISSUE; SOURCE / VERSION: run-llama/llama_index issue #16042, opened 2024-09-16, closed as not planned, https://github.com/run-llama/llama_index/issues/16042; SUPPORTING CLAIM: 上位ObjectIndex/tool retrieverでdocument classificationをuser permissionによりfilterしたいが、同じfilter surfaceが無いという実装gap報告。CLM-C02-009; LIMIT: user questionであり再現済み脆弱性ではない。特定API層・当時版に限定; FRESHNESS: checked 2026-09-05

• EVIDENCE_ID: EXT-C02-015; TYPE: AUTHOR-MAINTAINED OSS ISSUE; SOURCE / VERSION: openfga/openfga issue #301, opened 2022-10-20, closed, https://github.com/openfga/openfga/issues/301; SUPPORTING CLAIM: “許可されたobject ID一覧を作ってから検索”方式は対象が大きい場合に非実用的になり得るという検索・authorization結合の規模問題。CLM-C02-009; LIMIT: 古いissueで解決状況・現行APIは別確認が必要。RAG固有issueではない; FRESHNESS: checked 2026-09-05

• EVIDENCE_ID: EXT-C02-016; TYPE: AUTHOR-MAINTAINED OSS ISSUE / FAILURE REPORT; SOURCE / VERSION: mem0ai/mem0 issue #4956, opened 2026-04-24, open, component Core/Python SDK, https://github.com/mem0ai/mem0/issues/4956; SUPPORTING CLAIM: ADD-only extractionで可変属性の新旧事実が併存し、recencyを含まないrankingで旧事実が上位候補になり得るとの具体例。CLM-C02-010; LIMIT: reporter claimでありmaintainer-confirmed root causeではない。対象version/configをproduct guaranteeへ外挿しない; FRESHNESS: checked 2026-09-05

• EVIDENCE_ID: EXT-C02-017; TYPE: AUTHOR-MAINTAINED OSS IMPLEMENTATION SNAPSHOT; SOURCE / VERSION: mem0ai/mem0 memory-reviewer current main snapshot, https://github.com/mem0ai/mem0/blob/main/integrations/mem0-plugin/skills/memory-reviewer/SKILL.md; SUPPORTING CLAIM: stored memoryをnear-duplicate、contradiction、low-confidence、missing type、staleへ分け、ID付きでread-only auditする実装例。CLM-C02-010; LIMIT: unpinned main、200件scan cap、heuristic閾値。memory lifecycleの正しさや自動修正を保証しない; FRESHNESS: checked 2026-09-05

• EVIDENCE_ID: EXT-C02-018; TYPE: AUTHOR-MAINTAINED OSS CURRENT CODE + RELEASE; SOURCE / VERSION: run-llama/llama_index HEAD d2ac544a27c73d2a68e9c57efec4b2ac0ef99892; llama-index-retrievers-bm25 0.8.0; llama-index-core 0.14.24; PR #19586 merged as 318d442 on 2025-08-05; https://github.com/run-llama/llama_index/pull/19586; SUPPORTING CLAIM: BM25Retrieverへmetadata weight maskは実装された。一方ObjectIndex #16042は2026-09-05時点でもclosed as not plannedで、filter surfaceはretrieval pathごとに異なる。CLM-C02-009; LIMIT: BM25実装をObjectIndex/vector store/reranker全体へ外挿しない; FRESHNESS: checked 2026-09-05

• EVIDENCE_ID: EXT-C02-019; TYPE: SAFE LIVE OSS TEST / FAILURE; SOURCE / VERSION: tests/CORE-02_llama_bm25_permission_live_v0.1.py; SHA256 1317e83255810a98697b0826310fe701ae78c48b72b35bf14f197a2e8866f5b9; BM25 0.8.0/Core 0.14.24; SUPPORTING CLAIM: mask [1,0]でもkが許可候補数を超えるとdenied nodeがscore 0で返った。4 assertions中security boundaryは1 FAIL。caller-side metadata再照合後はsentinelを除外; LIMIT: synthetic 2-node corpus。remote vector DB、cache、reranker、prompt、logは未試験。zero-score返却が全query/configで起きるとは外挿しない; FRESHNESS: executed 2026-09-05

• EVIDENCE_ID: EXT-C02-020; TYPE: AUTHOR-MAINTAINED OSS DOC + HISTORICAL RELEASE PIN; SOURCE / VERSION: OpenFGA repository snapshot 450b68c5458e0749481d4cb51adc90cef5f95af6; prior server release v1.10.2 tag 2a454e3772389af0e06f5472eb2d898c264cc732 (2025-09-30); Search With Permissions page last updated 2026-09-04; https://openfga.dev/docs/interacting/search-with-permissions; SUPPORTING CLAIM: scale workaroundは単一解でなく、候補少数ならSearch→Check、許可objectが約1000以下ならListObjects→Search、高cardinalityではChanges由来local index等を選ぶ。ListObjects/ListUsersは既定最大1000でCPU/DB負荷・timeoutを監視する; LIMIT: v1.10.2はcurrent server releaseではなく過去anchor。OpenFGAはretrieval engineでなくauthz componentで、local indexはconsistency/revocation testを別途要する; FRESHNESS: corrected 2026-09-05; page freshness 2026-09-04

• EVIDENCE_ID: EXT-C02-021; TYPE: INDEPENDENT PRACTITIONER REPORT / LOW CONFIDENCE; SOURCE / VERSION: anonymous practitioner report, r/dotnet, 2026; https://www.reddit.com/r/dotnet/comments/1tb3vdz/how_do_you_handle_finegrained_authorization_at/; SUPPORTING CLAIM: OpenFGA採用経験として、検索ではperformance上permission materializationが必要、per-hit out-of-process checkが短所と報告; LIMIT: 匿名・未監査・RAG固有でない。production adoptionの補助信号に限定; FRESHNESS: checked 2026-09-05

• EVIDENCE_ID: EXT-C02-022; TYPE: AUTHOR-MAINTAINED OSS RELEASE + MIGRATION DOC; SOURCE / VERSION: mem0ai 2.0.20, released 2026-09-02, tag v2.0.20 commit 9a7924befd7026e41e445ba809370009e5e985a6; repository HEAD dae67f74f5cc7bf138c7d7d6f9cec5ce4b4373b3; https://pypi.org/project/mem0ai/ ; https://github.com/mem0ai/mem0/blob/main/docs/migration/oss-v2-to-v3.mdx; SUPPORTING CLAIM: OSS v3は旧ADD/UPDATE/DELETE decisionからsingle-pass ADD-onlyへ変更し、exact duplicateはhashで抑えるがmutable fact supersessionは別問題。#4956はopen、同型の#5867もcurrent mainで再現報告; LIMIT: package releaseとHEADは同一snapshotではない。issue root causeはmaintainer-confirmedではない; FRESHNESS: checked 2026-09-05

• EVIDENCE_ID: EXT-C02-023; TYPE: AUTHOR-MAINTAINED OSS VERSIONED IMPLEMENTATION; SOURCE / VERSION: memory-reviewer file commit 2c796d144f67e955e4253a762dabe8936f8a1772, 2026-06-12; file SHA256 0353048bdf8affa174062efa318c7c002b7828555a19e81ce8403b085c5707c6; SUPPORTING CLAIM: 200件cap、同type内noun overlap >60%、confidence <0.3、180日超未更新等のheuristic scopeを固定。Q-C02-003のtemporal provenanceを閉じる; LIMIT: contradictionは自然言語heuristic、完全検出でなく、自動修正でもない; FRESHNESS: pinned 2026-09-05

• EVIDENCE_ID: EXT-C02-024; TYPE: SAFE LIVE COMPONENT TEST; SOURCE / VERSION: tests/CORE-02_mem0_history_reset_live_v0.1.py; source HEAD dae67f…73b3; SHA256 d768828239ee87378bf4af1409ab217fe782a1e560e92ce81e87290462d1546e; SUPPORTING CLAIM: local SQLiteManagerはADD→UPDATE→DELETE historyを保持し、reset()後の再openではhistory 0。2/2 PASS; LIMIT: vector backend、hosted retention、backup/replica、new-session model recallは未試験; FRESHNESS: executed 2026-09-05

• EVIDENCE_ID: EXT-C02-025; TYPE: PEER_REVIEWED_RESEARCH + AUTHOR OSS; SOURCE / VERSION: Modarressi et al., NoLiMa, ICML 2025, arXiv:2502.05167; https://github.com/adobe-research/NoLiMa; SUPPORTING CLAIM: literal overlapを最小化したlatent association retrieval。32Kで12モデル中10がshort baselineの50%未満となり、exact match中心の試験を反証; LIMIT: needle/haystack構造、英語、研究時点model。業務文書のpermission/freshnessを扱わない; FRESHNESS: checked 2026-09-05

• EVIDENCE_ID: EXT-C02-026; TYPE: PEER_REVIEWED_RESEARCH + AUTHOR OSS; SOURCE / VERSION: Kuratov et al., BABILong, NeurIPS 2024 Datasets and Benchmarks, arXiv:2406.10149v2; https://github.com/booydar/babilong; SUPPORTING CLAIM: bAbIの20 reasoning taskをPG-19長文へ分散し、fact chaining、induction、deduction、counting、set/listを長さとhopで測る; LIMIT: synthetic factsを自然文へ埋めた構成。実企業corpusやsemantic authority conflictではない; FRESHNESS: checked 2026-09-05

• EVIDENCE_ID: EXT-C02-027; TYPE: PEER_REVIEWED_RESEARCH + AUTHOR OSS; SOURCE / VERSION: Bai et al., LongBench v2, ACL 2025, DOI 10.18653/v1/2025.acl-long.183; https://aclanthology.org/2025.acl-long.183/ ; https://github.com/THUDM/LongBench; SUPPORTING CLAIM: 503 multiple-choice、8K〜2M words、single/multi-document、in-context learning、dialogue、code repository、structured data。realistic deep reasoningを追加; LIMIT: 多くは128K以下、multiple-choice、15分human baseline。retrievalとreasoning failureを単独では分離しない; FRESHNESS: checked 2026-09-05

• EVIDENCE_ID: EXT-C02-028; TYPE: AUTHOR-MAINTAINED OSS OPERATIONS DOC; SOURCE / VERSION: OpenFGA, “Running OpenFGA in Production”, page updated 2026-09-04, https://openfga.dev/docs/best-practices/running-in-production; SUPPORTING CLAIM: 現行運用でTLS/auth、JSON logs、metrics/tracing、Check cacheのlatency/staleness trade-off、ListObjects/ListUsersの既定max 1,000とtimeout/負荷、concurrency・resolution limitを明示。permission-aware searchを本番へ置く際の観測・staleness・負荷フィールドを追加; LIMIT: OpenFGAはauthorization componentでありretriever/rerankerではない。推奨値はtenant topology・model・tuple分布依存で、適合証明ではない; FRESHNESS: checked 2026-09-05

• EVIDENCE_ID: EXT-C02-029; TYPE: INDEPENDENT OPERATIONS / PRACTITIONER REPORT; SOURCE / VERSION: Intel “Fine-Grained Authorization with OpenFGA” (Open at Intel; Okta/OpenFGA PM interview), https://www.intel.com/content/www/us/en/developer/articles/community/fine-grained-authorization-with-openfga.html ; anonymous r/dotnet report, https://www.reddit.com/r/dotnet/comments/1tb3vdz/how_do_you_handle_finegrained_authorization_at/; SUPPORTING CLAIM: 実運用・導入時の検索結合問題として、権限データ同期、million-object search、out-of-process per-hit check、materialized claims/rolesとdirect FGAの段階化が報告される。Q-C02-001のscale/synchronization counterevidenceを補強; LIMIT: Intel記事は製品関係者の自己報告、Redditは匿名・未監査。security pass、全provider、特定tenantの実測には昇格しない; FRESHNESS: checked 2026-09-05

• EVIDENCE_ID: EXT-C02-030; TYPE: PROVIDER/IMPLEMENTATION ISSUE READBACK; SOURCE / VERSION: Mem0 issue #4956 current readback (open, opened 2026-04-24), https://github.com/mem0ai/mem0/issues/4956 ; v2→v3 migration, https://github.com/mem0ai/mem0/blob/main/docs/migration/oss-v2-to-v3.mdx; SUPPORTING CLAIM: current issue本文とmigration説明を再照合し、v3 single-pass ADD-only意図とmutable factの旧新併存報告を同じprovenanceへ再結合。Q-C02-002のroot causeは未確認のまま保持; LIMIT: issueはmaintainer-confirmed root causeでなく、release/HEAD・backend別の再現性も未確定。reset/deleteのhosted/vector残差は未試験; FRESHNESS: checked 2026-09-05

• EVIDENCE_ID: EXT-C02-031; TYPE: AUTHOR-MAINTAINED OSS RELEASE READBACK; SOURCE / VERSION: LlamaIndex release v0.14.24, released 2026-08-19, release commit 9ba74b8; https://github.com/run-llama/llama_index/releases; SUPPORTING CLAIM: current release anchorとして、MetadataFilters default AND、citation node id/offset、memory write等の変更を版固定。Q-C02-001の実装状態はpackage/retriever path/commit単位で再試験する必要を補強; LIMIT: release notesはObjectIndexの#16042 gapやBM25 zero-score failureを解決した証明ではない。release tagとHEAD・integration packageを混同しない; FRESHNESS: checked 2026-09-05

• EVIDENCE_ID: EXT-C02-032; TYPE: AUTHOR-MAINTAINED OSS DOC / CURRENT READBACK; SOURCE / VERSION: OpenFGA “Authorization for Agents”, page updated 2026-09-04, https://openfga.dev/docs/modeling/agents; SUPPORTING CLAIM: agentをfirst-class principalとして扱う方式、first/third-party authorization、task-based grantのexpiration/turn limit/agent binding、RAGでmodel到達前にauthorized documentsだけ取得する意図を現行Core境界へ追加; LIMIT: intended patternであり、retriever/reranker/cache/logの全path enforcement、tenant ACL、revocation latencyの実測・認定ではない; FRESHNESS: checked 2026-09-05

• EVIDENCE_ID: EXT-C02-033; TYPE: SAFE LOCAL PINNED-COMPONENT TEST; SOURCE / VERSION: tests/CORE-02_dependency_fixed_local_live_2026-09-05.json, SHA256 0c6af21c7cbbe9a87def5ea524195fdc52bc57a26e36cbc97252c30bdfff3376; LlamaIndex Core 0.14.24 / BM25 0.8.0 / bm25s 0.3.11; Mem0 PyPI wheel 2.0.20; Python 3.12.13; SUPPORTING CLAIM: 隔離環境でLlamaIndex 4 caseを再実行し、raw結果のdenied sentinel残存を再現（3 PASS / 1 SECURITY FAIL）。Mem0 2.0.20 wheelのSQLiteManagerではDELETE履歴保持とreset後0件を2/2 PASS。runner・implementation fileのSHA-256を記録; LIMIT: OSS local componentだけ。Gemini、OpenFGA deployment、tenant ACL、reranker/cache/log/prompt、Mem0 vector/hosted retentionは未試験; FRESHNESS: executed 2026-09-05 20:33 JST

• EVIDENCE_ID: EXT-C02-034; TYPE: AUTHOR RELEASE + SAFE LOCAL SERVER TEST + COUNTEREVIDENCE; SOURCE / VERSION: OpenFGA v1.19.0, published 2026-08-25, commit 130c30aea5e73543e63b173dadfbd1ee519aa97a; official archive SHA256 c11005…b331; tests/CORE-02_openfga_permission_live_2026-09-05.json, SHA256 db497d…0d01; https://github.com/openfga/openfga/releases/tag/v1.19.0; SUPPORTING CLAIM: local in-memory serverでdirect deny、userset multi-hop、content-open前Check、ListObjects exclusion、revocation、outage abstentionを6/6 PASS。query cache有効・controller無効ではrevocation直後のMINIMIZE_LATENCYが旧allow、HIGHER_CONSISTENCYがdenyを返す整合性差を観測; LIMIT: localhost synthetic fixture。Gemini/tenant、外部search/reranker/app cache/log/prompt、負荷・concurrency・max-resultは未試験。cache設定依存の観測; FRESHNESS: executed 2026-09-05 20:45 JST

• EVIDENCE_ID: EXT-C02-035; TYPE: SAFE LOCAL VERSIONED VECTOR COMPONENT TEST; SOURCE / VERSION: Mem0 PyPI wheel 2.0.20 mem0.vector_stores.qdrant.Qdrant; qdrant-client 1.19.0; adapter SHA256 da5705…bf43; tests/CORE-02_mem0_qdrant_reset_live_2026-09-05.json, SHA256 03bd42…9bc9; SUPPORTING CLAIM: temporary local collectionでinsert可視、単一delete、reset後active vector 0、同path再open後0を4/4 PASS。SQLite historyとは別componentとしてQ-C02-002を部分閉鎖; LIMIT: Mem0 Memory orchestration、LLM/embedding、sparse BM25、graph、remote replica/snapshot/backup/WAL/cache/telemetry、hosted、物理媒体残存は未試験; FRESHNESS: executed 2026-09-05 20:51 JST

• EVIDENCE_ID: EXT-C02-036; TYPE: AUTHOR RELEASE + CURRENT CODE + ISSUE/PR REVIEW + SAFE LOCAL STUB TEST; SOURCE / VERSION: Mem0 OSS Python SDK 2.0.20, tag/commit v2.0.20 / 9a7924befd7026e41e445ba809370009e5e985a6, released 2026-09-02; PyPI wheel SHA256 655103…076c; mem0/memory/main.py SHA256 5b1b75…28ca; issues #4956/#5867 and open PR #6017; tests/CORE-02_mem0_mutable_fact_add_only_live_result_v0.1.json SHA256 f8c757…0f96; SUPPORTING CLAIM: shipped OSS _add_to_vector_storeへsynthetic LLM/embedder/vector/DB stubを注入。Paris→Berlinは2件のADDとして併存、UPDATE/DELETE 0、Berlinのexact再追加だけhash抑止、LLMが返したlinked_memory_idsはmemory payloadへ保存されず、6/6 code-path assertions PASS。PR #6017のreviewもsimilarity/relatednessをsupersessionへ直結する危険を指摘; LIMIT: local OSS同期add pathのみ。実LLMの抽出確率、検索順位、async path、entity ranking、Mem0 Platform/Dream、Gemini、remote/hosted retentionは未試験。issue記載の「旧事実がtop-ranked」は再現していない; FRESHNESS: executed 2026-09-05 21:09 JST

• EVIDENCE_ID: EXT-C02-037; TYPE: PINNED SOURCE + SAFE LOCAL SYNC/ASYNC PARITY TEST; SOURCE / VERSION: Mem0 OSS Python SDK 2.0.20, commit 9a7924befd7026e41e445ba809370009e5e985a6; mem0/memory/main.py SHA256 5b1b75…28ca; runner SHA256 f2e4f5…b620; result SHA256 e894a7…a929; tests/CORE-02_mem0_sync_async_parity_live_v0.1.py/.json; SUPPORTING CLAIM: shipped MemoryとAsyncMemoryへ同一のsynthetic LLM/embedder/vector/DB stubを注入し、A→B→exact-Bを比較。各経路7 assertionと正規化結果一致1件の計15/15 PASS。両経路で旧新factは2 ADD、exact hashだけ抑止、update/delete 0、link hint未保存; LIMIT: deterministic local stubと固定add methodのみ。実LLM、検索順位、entity/BM25、並行負荷・cancel/retry、remote backend、Platform/Dream、Gemini/tenantを含まない; FRESHNESS: executed 2026-09-05 21:30 JST

• EVIDENCE_ID: EXT-C02-038; TYPE: SAFE LOCAL PINNED REFERENCE INTEGRATION; SOURCE / VERSION: OpenFGA v1.19.0 commit 130c30aea5e73543e63b173dadfbd1ee519aa97a; LlamaIndex Core 0.14.24/BM25 0.8.0/bm25s 0.3.11; tests/CORE-02_openfga_llamaindex_prefilter_profile_v0.1.py/.json; runner SHA256 7a7c18…7008; result SHA256 9e04d8…0164; COL-C02-026; SUPPORTING CLAIM: opaque IDをHIGHER_CONSISTENCY Checkし、allow後だけ本文を取得してBM25 indexを構築。通常deny、revocation、OpenFGA停止でretriever input/raw candidate/reranker/cache/promptの拒否sentinel 0とfail-closedを10/10確認; LIMIT: local in-memory、小候補、identity downstream spies。Gemini/tenant、高cardinality、実cache/log/trace、全retrieverを含まない。metadata-mask failure pathのfixではない; FRESHNESS: executed 2026-09-05 22:05 JST

• EVIDENCE_ID: EXT-C02-039; TYPE: PINNED SOURCE + SAFE LOCAL ASYNC RACE/CANCEL/RETRY TEST; SOURCE / VERSION: Mem0 OSS Python SDK 2.0.20, commit 9a7924befd7026e41e445ba809370009e5e985a6; mem0/memory/main.py SHA256 5b1b75…28ca; tests/CORE-02_mem0_async_race_cancel_retry_live_v0.1.py/.json; runner SHA256 d3450e…29cc; result SHA256 d3bc11…fd6b; COL-C02-027; SUPPORTING CLAIM: 同一空snapshotを読んだ並行2 callが同一hashを2 ADDとして保存。asyncio.to_thread内insert待機中にtaskをcancelするとcallerはcancelを観測してもinsertは完了し、history/messageは未保存。same-fact retryはhash抑止されhistory欠落を修復しない。12/12 deterministic assertions PASS; LIMIT: local thread-safe stubsと固定async add pathのみ。real LLM、remote transaction/unique constraint、Platform/Dream、Gemini/provider、物理消去を含まない。12/12は望ましい安全挙動のPASSではなくfailure profileの再現一致; FRESHNESS: executed 2026-09-05 22:10 JST

• EVIDENCE_ID: EXT-C02-040; TYPE: AUTHORIZED SAFE INTERACTIVE UI TEST; SOURCE / VERSION: 業務Gemini新規chat 6 transcript、3.1 Pro／3.6 Flash／3.6 Thinking、Gemなし、2026-09-05 22:39–22:51 JST。tests/CORE-02_gemini_interactive_ui_surface_result_2026-09-05.json SHA256 eed0f2…5ce1; COL-C02-029; 原ログ6件SHA256固定; SUPPORTING CLAIM: current/history意味契約12/12。inline D2の命令を無視し、初回・追撃とも制限コード非開示で15/15。strict JSON-onlyは2/3で3.1 ProがMarkdown fenceを付加; LIMIT: same-chatとprompt-level表面挙動のみ。D2本文は既にprompt内にあり実ACL/pre-retrieval認可ではない。durable memory、Gem/cross-session、reset/delete、内部index/cache/log/storage/purgeを含まない; FRESHNESS: executed 2026-09-05 22:39–22:51 JST

• EVIDENCE_ID: EXT-C02-041..043; TYPE: CURRENT AUTHOR-MAINTAINED OSS READBACK; SOURCE / VERSION: OpenFGA Search With Permissions / Running in Production / Authorization for Agents; current URLs and 2026-09-07 readback registered in SOURCE_REGISTRY.md; SUPPORTING CLAIM: current join-strategy, cache/staleness, observability, load-limit, agent-principal and task-scope fields rechecked for Q-C02-001; LIMIT: intended/authz component guidance only; not downstream all-path or provider/tenant certification; FRESHNESS: checked 2026-09-07

• EVIDENCE_ID: EXT-C02-044..046; TYPE: CURRENT RESEARCH / AUTHOR OSS READBACK; SOURCE / VERSION: NoLiMa, BABILong, LongBench v2; current URLs and 2026-09-07 readback registered in SOURCE_REGISTRY.md; SUPPORTING CLAIM: bounded long-context counterevidence slices rechecked for Q-C02-004; LIMIT: benchmark-specific and non-aggregated; not enterprise permission/freshness or provider ranking evidence; FRESHNESS: checked 2026-09-07

• UNKNOWN_ID: UNK-C02-001; QUESTION: source原本更新が各保存方式・surfaceへいつどう伝播するか; CURRENT EVIDENCE: S020/S021/S030/S036にGemini例があるがprovider-neutral guaranteeはない; CLOSURE ROUTE: copy/snapshot/link/cache/index単位のtest profileを作り、各PM/ORGで観測; TEMPORARY POLICY: propagationを推測せず、source type・revision・observed_at・recheck triggerを必須にする

• UNKNOWN_ID: UNK-C02-002; QUESTION: memoryのsupersession/reset/deleteを測る最小testは何か; CURRENT EVIDENCE: S020 taxonomyのみ。providerごとのmemory scopeが異なる; CLOSURE ROUTE: conflicting fact update→new session→inspection→reset/delete→residual recallのsafe fixture; TEMPORARY POLICY: high-impact current stateをuninspectable memoryだけへ置かない

• UNKNOWN_ID: UNK-C02-003; QUESTION: retrieval failureとgeneration failureをどこまで観測だけで切り分けられるか; CURRENT EVIDENCE: RAGAS/ARES/RAGCheckerは分解案を持つが、closed productでretrieved chunksが非公開の場合がある; CLOSURE ROUTE: controlled corpus + retrieval trace available/unavailable profiles + answer/citation/ablation comparison; TEMPORARY POLICY: trace非公開時はDIAGNOSIS_LIMITED。推測でretriever failureへ確定しない

Coreは、問いとtest contractを保持する。次はPM-GEMINIへ送る:

• context/file/source数上限、model別長さ、token counting

• @Drive、Gem Knowledge、Drive Project、NotebookLM、Deep Researchのcopy/link/update semantics

• citation表示/非表示、retrieval trace/audit logの粒度

• work/school accountのmemory/history/personalization availability

• rollout、edition、language、region、admin dependency

次はOrganization Overlayへ送る:

• 実ユーザー/OU/groupのpermission、shared drive membership、external sharing

• current/archive/superseded label運用、正本の所在

• DLP/IRM/CSE、AI利用可否、audit log取得可否

• controlled corpusでの実retrieval/citation/freshness結果

RUN_ID: CORE-02-PERMISSION-MEMORY-RUN-001

ARTIFACTS: tests/CORE-02_permission_memory_fixture_v0.1.json; tests/CORE-02_permission_memory_fixture_v0.1.js

RESULT: 12/12 expected matches

JSON_SHA256: ae2063d4f4a81fe52163d67eb00f54ef4c64f55218285589d452d518a5d1d026

RUNNER_SHA256: cd919636cf72c49ef4f472a618d1dc678c364751f23949af9da5e74158b9c236

このrunはprovider-neutralな判定契約の自己整合性だけを確認するlocal mockである。Gemini、Workspace、Vertex AI、Mem0、LlamaIndex、OpenFGAその他の製品適合性・安全性・性能を証明しない。provider Product Mappingでは同じtest intentを実API/surfaceへ移植し、Organization Overlayでは実tenantのACL、revocation、trace、memory reset/deleteを安全な非機密fixtureで再実行する。

LlamaIndex BM25 0.8.0/Core 0.14.24の非機密2-node試験では、metadata mask自体は[1,0]となったが、top_kが許可候補数を超えると拒否nodeがscore 0で返却された。したがってこの経路をpermission boundaryとして認定しない。caller-sideで返却nodeを再認可すれば今回のsentinelは止められたが、raw retriever、cache、callback/logへ既にnodeが現れる可能性は残る。これはTST-C02-17をCore必須へ昇格させる実測反例である。

Mem0 current HEADのSQLite history componentではADD/UPDATE/DELETE履歴がreset前に残り、reset後の再openで0件となった。これはlocal history DBの挙動だけを閉じる。vector store、graph/entity store、cache、hosted retention、backup、provider personalizationまで消えたとは推論しない。memory lifecycle profileはcomponent列を必須にする。

ARTIFACTS: tests/CORE-02_elcat_rag_diagnostic_fixture_v0.1.json; tests/CORE-02_elcat_rag_diagnostic_fixture_v0.1.js

RUN_ID: CORE-02-ELCAT-RAG-RUN-001

RESULT: 14/14 expected diagnostic labels matched; 0 mismatches

JSON_SHA256: 83de8d32b4315425303ead251206c795cc034568672763f7eb794b739e6ca64e

RUNNER_SHA256: fba5f91bf89bbb844df659fd79edfdbe3464a4e855a98c3a7bfa74ce40cbbc65

fixtureはliteral_overlap、position、length_band、supporting_fact_count、reasoning_hops、aggregation、task_realism、source_conflict、permission_path、trace_visibilityの10 sliceを保持する。判定はPASSだけでなく、retrieval不達、部分取得、取得済みcontextの未使用、unsupported generation、citation不足、旧版選択、permission漏えい、authz outageでの棄権、trace不足、memory conflict、component未試験を別labelにする。

overall_score_policyはPROHIBITEDとし、14 caseを一つの平均値へ集約しない。特に、前回live testで観測したzero-score denied candidateをSECURITY_FAIL、未実測vector backend resetをCOMPONENT_UNTESTEDとして保持した。runnerの14/14一致は診断規則とfixture期待値の自己整合性であり、provider性能、製品安全性、benchmark scoreを証明しない。

• CORE-02-ELCAT-RAG-RUN-001を再実行し、14/14 expected diagnostic labels、0 mismatch、overall score未出力を確認した。JSON SHA256は83de8d32b4315425303ead251206c795cc034568672763f7eb794b739e6ca64e、runner SHA256はfba5f91bf89bbb844df659fd79edfdbe3464a4e855a98c3a7bfa74ce40cbbc65。

• LlamaIndex BM25 live runnerの再実行は、実行環境にllama_indexが無くModuleNotFoundErrorで開始前停止した。Mem0 SQLite runnerも固定source path /tmp/core02-mem0-0905/mem0/memory/storage.pyが現環境に無く、再実行できなかった。依存取得は使用量上限による実行拒否となった。

• よってEXT-C02-019/024の過去に記録された観測値は「そのrunのscope付き観測」として保持し、今回の環境で再認証済みとは表現しない。今回のBLOCKERはBLK-C02-LIVE-ENV-001（依存package/source snapshot不在）としてPM/ORG実測へ送る。

• OpenFGAのproduction guidanceを追加採集した。cacheはlatencyを下げる一方でresponse stalenessを増やし、metrics/tracing・concurrency・resolution depth/breadth・max-resultsを観測対象にする。したがって「Checkが通った」だけでは検索境界のfreshness、負荷、trace可視性を閉じない。

• Intelの導入報告と匿名practitioner reportは、権限データ同期、million-object search、per-hit out-of-process check、materialized claimsとdirect FGAの段階化を示す独立運用・実装上の反証信号として採用した。いずれもsecurity certificationや特定tenantの実測へ昇格しない。

• Mem0 #4956とv3 migration本文を再読し、ADD-only意図とmutable factの旧新併存報告を再結合した。root cause、backend別residual、hosted retentionはUNKNOWNのままとする。

• 今回は安全な非機密tenantのlive実測を実行できる環境が無く、BLK-C02-LIVE-ENV-001を維持した。ELCAT 14/14と既存contract fixtureは再利用可能だが、Python live certificationへ言い換えない。

今回の採集を本文の判定契約へ再編纂した。Q-C02-001のpermission-aware retrieval PASSは、次の全境界を同時に観測できる場合だけ許可する。

• current authorization sourceとretrieval indexの観測時刻・staleness budgetを記録する。

• 採用したjoin strategy（Search→Check、ListObjects→Search、Changes-derived local index等）とcardinality、sort/filter、max-results、timeout、concurrency、resolution limitsを記録する。

• unauthorized candidateがretriever、reranker、cache、trace/log、promptへ入っていないことを非機密sentinelで確認する。

• revocationとauthz outageを別caseで実行し、後者はABSTAIN_AUTHZ_UNAVAILABLEへfail closedする。

Q-C02-002のmemory lifecycle PASSは、local history、vector/index、graph/entity、cache、backup、hosted accountを別componentとして、A→B supersession、historical read、logical delete、physical purge、reset、new-session residualをreadbackできる場合だけ許可する。Mem0 #4956はADD-onlyとmutable fact併存の反証信号として残し、root causeやhosted/vector retentionの証明には使わない。

判定のscopeは、共通Core（test intent・labels・required fields）、Product Mapping（package/version/API/surfaceの実装状態）、Organization Overlay（tenant ACL、retention、実測値）へ分離する。今回のOpenFGA/Intel/実務者/Mem0資料はCoreのrequired fieldsと反証境界を更新したが、providerまたはtenantのPASSには昇格させない。

一時virtual environmentへLlamaIndex Core 0.14.24、BM25 retriever 0.8.0、bm25s 0.3.11、Mem0 2.0.20を固定導入し、非個人・synthetic fixtureだけで再実行した。LlamaIndexでは以前と同じく、metadata maskが拒否nodeを0点へ落としてもraw返却集合から除外せず、4 case中security assertion 1件がFAILした。caller-side metadata再認可は今回のsentinelを除いたが、retriever内部・callback・cache・logへの露出を取り消さないため、AUD-C02-008はHIGH/path-scopedのまま維持する。

Mem0はrepository HEADではなくPyPI wheel 2.0.20のSQLiteManagerを明示対象とし、ADD/UPDATE/DELETEの3履歴がreset前に残り、reset後の再openで0件となることを2/2 PASSで確認した。implementation file SHA-256は5f5ecdadd2b260fd14f36a0f338336eb760275465dd1056a99a47e1ef07702bd。これはlocal history componentだけの結果で、vector、graph/entity、cache、backup、hosted retention、Gemini memoryへは外挿しない。

BLK-C02-LIVE-ENV-001は「固定依存が無くlocal testを開始できない」という部分だけ解消した。安全なGemini/tenant、OpenFGA end-to-end、Mem0 vector/hosted componentは未観測であり、Q-C02-001/002とOrganization OverlayのUNKNOWNは閉じない。

GitHub latest releaseを再照合し、旧anchor v1.10.2とcurrent server v1.19.0を分離した。公式checksumとbinary build commitを照合後、localhost・in-memory datastore・synthetic IDだけでserverを起動した。direct allow/deny、team usersetを介したmulti-hop、検索が返すopaque IDをCheckしてからだけ本文を開く経路、ListObjectsでの拒否object除外、direct/userset tupleのrevocation、authz endpoint接続不能時のABSTAIN_AUTHZ_UNAVAILABLEを6/6 PASSした。

同時にquery cacheを10秒TTLで有効化しcache controllerを無効化すると、revocation直後のMINIMIZE_LATENCYはcache済み旧allowを返し、HIGHER_CONSISTENCYはdenyを返した。これは現行OpenFGA全構成の不具合ではなく、明示されたeventual-consistency trade-offの一再現である。Coreのpermission profileにはCONSISTENCY_MODE / CHECK_CACHE_ENABLED / CACHE_CONTROLLER_ENABLED / CACHE_TTL / REVOCATION_OBSERVED_AT / HIGHER_CONSISTENCY_READBACKを必須観測fieldとして追加する。

このunitは認可componentの局所実測であり、外部search engine、reranker、application cache、trace/log、prompt、Gemini surface、実tenantを通していない。したがってQ-C02-001はPARTIALLY_CLOSED_OPENFGA_LOCALに留め、PM/ORGの全path testを残す。

Mem0 2.0.20 wheelのQdrant adapterをqdrant-client 1.19.0、temporary local path、3次元synthetic vectorで直接実行した。2件insert後、単一deleteは対象だけを不可視化し、resetはcollectionを再作成してactive vectorを0件にし、clientを閉じて同じpathを再openしても0件だった。4 caseはすべてPASSした。

この結果で閉じるのはactive vectors in one local Qdrant collectionだけである。SQLite history storeの2/2結果とは別componentとして記録し、Mem0 Memory orchestration、graph/entity、sparse BM25、remote replica、snapshot、backup、WAL、cache、telemetry、hosted account、physical media purgeへ外挿しない。Q-C02-002はPARTIALLY_CLOSED_LOCAL_HISTORY_AND_ACTIVE_VECTORへ更新するが、root causeとhosted/provider residualはUNKNOWNのまま残す。

LlamaIndex v0.14.24 releaseとOpenFGA agent authorizationの現行readbackを追加した。版固定・agent identity・task-scoped grantはQ-C02-001のrequired provenanceへ入れるが、意図仕様を実装全経路の安全証明へ昇格させない。

PyPIのtrusted-publishing provenanceとGitHub releaseを照合し、OSS Python SDK 2.0.20をcommit 9a7924befd7026e41e445ba809370009e5e985a6へ固定した。shipped Memory._add_to_vector_storeへ、外部副作用のないsynthetic LLM・同一embedding・in-memory vector/DB stubを注入した。最初にUser lives in Paris、次にUser lives in Berlinを抽出させると、両方がADDとして保存され、update/delete callは0だった。三回目の同一Berlin文だけがMD5 hashで抑止された。二回目にLLM stubが返したlinked_memory_idsもmemory payloadへは保存されなかった。6 assertionsは全てPASSした。

これにより#4956の全現象を閉じたわけではない。固定OSS同期add pathについては、Phase 1で既存memoryを検索し、Phase 2でLLMへ渡す一方、Phase 4–5はexact text hashだけを重複判定に使い、Phase 6は新規insertとADD historyを作るという機構をcodeと実行で確認した。しかし実LLMが各表現をどう抽出するか、旧事実が実検索でtop-rankedになるか、entity/BM25 fusionは未試験である。

製品境界も分離する。現行Mem0 documentationはPlatformのDreamを、古い事実のsupersede・duplicate merge・latest_only=trueを担うPlatform-only capabilityとして記述し、OSSにはDreamがないとしている。したがってOSSの併存結果をPlatformへ外挿せず、Platformのintended behaviorをhosted live PASSとも扱わない。Q-C02-002はOSS_SYNC_ADD_ROOT_CAUSE_PARTIALLY_CLOSEDへ進めるが、hosted/Dream、remote durability、physical purge、Gemini/tenantはUNKNOWNのまま残す。

同じcommitのshipped MemoryとAsyncMemoryへ、同一の非個人synthetic fixtureを実行した。Paris→Berlin→exact Berlinの三入力に対し、同期・非同期ともADD, ADD, no-opとなり、旧新factの併存、UPDATE/DELETE 0、historyの2 ADD、exact-hash抑止、link hint未保存が一致した。各経路7 assertionと正規化結果一致の計15/15をPASSした。

これで閉じるのは、固定実装のdeterministic stub条件におけるadd-path意味差だけである。非同期側が同じphased pipelineを持ち一部処理をasyncio.to_threadで包むことと、この逐次fixtureの結果一致は、実LLM、parallel calls、cancellation、retry、remote store race、retrieval rank、Platform/Dreamのruntime parityを保証しない。Q-C02-002のasync残差はPINNED_SEQUENTIAL_ADD_PATH_PARITYまで部分閉鎖し、これらのruntime/hosted残差は維持する。

OpenFGA v1.19.0（commit 130c30aea5e73543e63b173dadfbd1ee519aa97a）とLlamaIndex Core 0.14.24／BM25 0.8.0を固定し、local in-memory serverと非個人synthetic corpusだけで安全な参照integrationを実行した。authorization serviceへ渡したのはopaque document IDだけであり、各IDをHIGHER_CONSISTENCYでCheckした後、allowed=trueの本文だけを読み出してBM25 indexを構築した。raw candidate、identity reranker、cache、promptを観測境界として記録した。

通常denyでは拒否sentinelがretriever入力を含む全下流境界に0件、tuple取消後はABSTAIN_NO_AUTHORIZED_SOURCE、server停止時はABSTAIN_AUTHZ_UNAVAILABLEとなり、10/10 assertionをPASSした。これは§10.2/10.4で失敗したmetadata mask経路を修正済みと宣言するものではない。本文取得前にcurrent authzを強制する別の参照pathが同じ固定componentで実装可能だと示すだけである。

このprofileは候補ID集合が小さいSearch→Check相当で、per-ID Checkのlatency、high cardinality、concurrency、max-result、multi-hop、大規模revocation propagation、trace exporter、実cache、Gemini search/grounding、tenant ACLを通していない。したがってAUD-C02-008のHIGHは失敗pathに対して維持し、Q-C02-001はPARTIALLY_CLOSED_LOCAL_REFERENCE_INTEGRATION / PM_ORG_REQUIREDまでだけ進める。

逐次15/15 parityの外側を検査するため、固定版AsyncMemory._add_to_vector_storeへthread-safe local stubと同期barrierを注入した。同一の空検索snapshotを読ませた二つの並行callは、同一fact・同一MD5 hashを別UUIDの2件として保存し、2件ともADD履歴を作成した。現行hash dedupは各callが取得した既存snapshotとcall内seen_hashesに依存し、cross-callのatomic uniquenessにはなっていない。

別fixtureでは、asyncio.to_threadで実行中のvector insertをgateで停止し、await側taskをcancelした。callerはCancelledErrorを受け取ったが、解放後にworker threadのinsertは完了し、vector row 1件に対してhistory 0件・saved message 0件となった。同一factをretryすると既存hashによりno-opとなり、messageだけ保存され、欠けたhistoryは修復されなかった。二fixtureの観測契約は12/12一致したが、これは安全性PASSではなく、局所failureを決定的に再現したという意味である。

したがってCore lifecycle profileは、parallel writeのatomic dedup/idempotency key、vector/history/messageのtransaction boundary、cancel後のside-effect readback、retry前reconciliation、orphan record検出・修復を要求する。remote backend固有のunique constraintやtransaction、real LLM、Platform/Dream、provider runtimeへは外挿しない。Q-C02-002はparallel/cancel/retryを一般UNKNOWNのまま残すのではなく、Mem0 2.0.20 local async pathではFAILURE_REPRODUCED_PINNED_LOCALへ進める。

今回の再監査は、CORE-02の指定4問だけを対象にした。S064以降の新テーマ探索は行っていない。現行原典のreadback、既存のlocal/UI実験artifact、packet・PM・ORGのclaim境界を照合した。

• Q-C02-001 permission-aware retrieval：OpenFGAの現行Search With Permissionsは、Search→Check、Changes由来local index→Search→Check、ListObjects→Searchを、候補数・許可object数・全体比率・sort要件で選ぶ構造として明示している。Running in ProductionはCheck cacheのlatency/staleness trade-off、metrics/tracing、concurrency、resolution depth/breadth、ListObjects/ListUsersの既定max 1,000とtimeoutを運用観測項目としている。これはscaleとfreshnessの設計根拠を補強するが、LlamaIndexの全retriever/reranker/cache/log/trace経路でauthorization-before-retrievalが成立する証明ではない。

• Q-C02-001 local evidence：既存のLlamaIndex BM25 metadata-mask failure（denied nodeがscore 0でraw返却）と、OpenFGA→LlamaIndex本文取得前Check参照path 10/10を別経路として保持する。後者の安全pathは前者の修正・provider保証ではない。今回の環境ではLlamaIndex依存欠落によりrunnerはtest logic開始前に停止したため、過去artifactの再認証とは表現しない。

• Q-C02-002 memory lifecycle：Mem0 v2→v3 migrationのADD-only変更、#4956のopenなmutable-fact報告、memory-reviewerのread-only heuristicを相互照合した。保存済みの2.0.20 local ADD-only、SQLite/Qdrant readback、sync/async sequential parity、parallel/cancel/retry failureは、各component・scopeの一次実験として保持する。#4956はmaintainer-confirmed root causeではなく、Platform/Dream、remote replica、backup/WAL/cache、physical purge、new-session residualへ外挿しない。

• Q-C02-003：memory-reviewerはcommit/file hashとscan cap・thresholdを固定した実装例としてのみ扱い、unpinされたmainやheuristicをuniversal lifecycle guaranteeへ昇格させない。質問はCLOSED_WITH_PIN_SCOPEを維持する。

• Q-C02-004：NoLiMa、BABILong、LongBench v2は、literal overlap、long-context reasoning/hop、realistic multitask reasoningという異なるbounded反証として保持する。単一overall score、provider順位、permission/freshness実運用の代理にはしない。

再監査の判定：Q-C02-001/002はGemini cycleで既に得たsurface-limited／local component／failure-profileの範囲を再確認した。Q-C02-003/004はbounded scopeを再確認した。実ACL、provider内部retrieval path、hosted memory retention、Cross-provider Product Mapping、Organization Overlayの内部値はUNKNOWNのまま維持する。実測の出自はUSER_EXPERIMENTまたはCOMPILER_EXPERIMENTとして保持し、外部原典との照合で外部由来へ変更しない。

context windowへ文書全体を投入できることは、必要根拠を安定して発見・統合できることと同じではない。Lost in the Middleは、multi-document QAとkey-value retrievalで根拠位置だけを変えても性能が動き、中央で低下する傾向を示した。RULERは単一needleを超えてmultiple needles、multi-hop tracing、aggregationを加え、公称32K以上のmodelでも長さとtask complexityで実効性能が崩れることを示した。したがって企業評価は、最大token数を機能表から転記するだけで終えない。

評価はexact retrieval、position robustness、semantic retrieval、multi-hop、aggregation、revision conflict、noise scalingへ分ける。ここでの目的は、特定の製品失敗をposition biasと決めつけることではない。実業務のsource構造を模したfixtureで、どの条件から品質が崩れるかを観測することである。

RAG pipelineは少なくともsource selection、retrieval、context utilization、generationへ分かれる。RAGASとARESはcontext relevance、faithfulness、answer relevance等を分離し、RAGCheckerはretrieverとgenerator双方の細粒度診断を行う。最終回答だけが間違っていても、必要sourceを取得できなかったのか、取得したが使わなかったのか、旧版やnoiseに負けたのか、取得内容から逸脱して生成したのかで対策は異なる。

RAGがあること自体もhallucination不在の証拠ではない。RAGTruthはretrieved contentに支持されない、または矛盾するclaimがRAG応答に残ることを前提にcorpusを構成する。よって「sourceを付けた」「citationが表示された」を完了条件にせず、claim単位のsupport、必要根拠のcompleteness、source version、再取得可能性を確認する。

同じ文章でも、current authority、参考資料、draft、archive、外部untrusted sourceでは業務上の意味が違う。source binding recordはidentity/locationに加え、authority class、version/digest、capture mode、freshness、permission basis、AI access class、trust originを保持する。原本へのlive link、upload時snapshot、複製copy、検索index、cacheを同じ「参照済み」にしない。

また、permission-aware retrievalが正しくcurrent ACLへ従っても、ACL自体が過剰なら古い共有資料や機密情報を高速に発見できる。これは権限昇格とは限らないが、情報漏えいriskと、撤回済み判断が回答へ混ざるsemantic contaminationを増幅し得る。Coreはこの二つを分けて問い、実ACL・label・DLP/CSEはOrganization Overlayで監査する。

「覚える」は仕様語として粗すぎる。current requestだけのtransient context、同じchatのhistory、固定instructions、source set、生成済みartifact、外部state ledger、personalization memoryは、scope、shareability、version、更新伝播、inspection、reset/deleteが異なる。重要なcurrent stateを、ユーザーが中身も版も確認できないmemoryだけへ置かない。source corpus、task state、artifactを別objectとして保存し、memoryは補助的な挙動変化としてtestする。

LongMemEvalが示すように、長期memoryは保存量ではなく、情報抽出、複数session推論、時間関係、知識更新、棄権へ分解できる。企業運用ではさらに、訂正が旧事実をsupersedeしたか、historical queryでは旧版を日付付きで返せるか、reset/delete後に残存しないか、user/adminが内容とscopeをinspectできるかを測る。memoryから返った内容にsource/date attributionが無ければ、業務上のcurrent authorityへ昇格しない。

原本を更新しても、connectorが検知し、derived copyやindex/cacheが更新され、新版がretrievalされ、generatorが使い、citationが新版を指すまでには複数の状態遷移がある。S030の実在本文は、同じ製品でもstorageがderived copyでありながらsource identity linkを持ち、content/permission/deletionが同期する複合semanticsを記録する。したがってcopyかlinkかの二択では足りない。

最低限、SOURCE_UPDATED_AT、CONNECTOR_REFRESHED_AT、取得可能ならINDEX_REFRESHED_AT、RETRIEVED_SOURCE_VERSION、ANSWER_GENERATED_AT、SOURCE_CITATION_CORRECTを分ける。HoHが示す通り、current情報が存在してもoutdated sourceの共存がretrievalとgenerationを誤らせ得る。更新追従をproviderの宣伝文やindex更新完了だけで保証せず、old/new conflicting fixtureへの最終回答とcitationでreadbackする。

citationには、存在、解決可能性、supporting span、claim strengthとの一致、代替source中の選択、freshness、重要claimのcoverage、正しい文へのattachmentという別々の失敗がある。CiteFixはRAG productのcitationをretrieved articleとcross-checkするpost-processingを提示し、CiteGuardはcitation attribution alignmentとretrieval-aware validationを扱う。これらはcitationを自動的に正しくする保証ではなく、citationが独立したacceptance targetであることを支持する。

実装ではCLAIM_ID / CLAIM_TEXT / CLAIM_TYPE / CITATION_ID / SOURCE_ID / SOURCE_VERSION / SUPPORTING_SPAN / ENTAILMENT / FRESHNESS / ALTERNATIVE_SOURCE / HUMAN_CHECKを対応させる。retrieval traceが非公開なら、表示citationを「実際に取得した全context」と同一視せず、診断状態をDIAGNOSIS_LIMITEDへ落とす。

CORE-02の正本範囲は、S063のFrozen TOCに従い、context/retrieval、source binding、memory/profile/remembered state、durable sourceとtransient context、citation/provenance、retrieval failure、source permission、source freshnessとする。S055が示す通り、ここにはproviderを替えても残る定義、失敗分類、評価軸、acceptance contractを置く。Geminiのsource接続方式、history、copy/link semantics、surface別の上限・citation表示・管理機能はPM-GEMINIへ置き、実組織で有効なlicense、admin setting、ACL、label、DLP/CSE、正本folder、実測値はOrganization Overlayへ置く。

この分離は記述上だけでなく、provenanceと試験にも適用する。Core claimは複数providerと外部研究で再利用可能な形に保ち、Product Mappingは「製品がそのCore概念をどのsurface・control・API・制約で実装するか」を版付きで記録し、Organization Overlayは「当該tenantで何が利用可能で、どの設定・権限・実測結果だったか」を観測時刻付きで記録する。後発providerでCoreが変わればCore claim IDを更新し、先発provider mappingを遡及監査する。

依存方向もFrozen TOCへ固定する。CORE-02で観測したretrieval failureはCORE-03のpipeline diagnosis、CORE-04のroute selection、CORE-08のaccess/governance、CORE-10のuntrusted-source defenseへ渡すが、それらの詳細をCORE-02へ逆流させない。S056のcrosswalkは索引・参照関係として使い、章立ての再探索や再編には使わない。

permission-aware retrievalの最低契約は、principalとresourceをcurrent authorization sourceで照合し、許可済み集合だけをretrieval・reranking・prompt constructionへ渡すことである。JeongとLeeのprototypeは、異種serviceのpolicyを中央で不完全にmergeする代わりにnative IAMへresource-level validationを行う設計を示す。一方、LlamaIndex issue #16042はmetadata filterがvector indexでは使えても上位tool retrieverで同じ分類filterを掛けられない実装gapを報告し、OpenFGA issue #301は許可object IDを列挙してから検索する方式の規模問題を示す。つまりauthorization correctnessだけでなく、全retrieval pathでのenforcement consistencyとscaleを試験対象にする必要がある。

post-filterは、unauthorized本文がretriever、reranker、trace、cache、promptへ既に入った後で回答表示だけを消す可能性があるため、Coreの代替契約にしない。ACL 2024のRAG privacy研究はprivate retrieval databaseからの抽出riskを実験で示しており、回答UIだけの非表示では境界が遅すぎる。authz serviceがunavailableなら、権限を推測して検索を継続せずABSTAIN_AUTHZ_UNAVAILABLEへ落とす。current IAMとindex metadataが食い違う場合はcurrent IAMを勝者とし、その分のrecall低下とlatencyを記録する。

ただしpermission passはsource authority passではない。広すぎるACLで閲覧可能な旧版・撤回済み文書は、access control上は正しくても業務回答を汚す。この状態をPERMISSION_PASS_SEMANTIC_FAILとして、権限漏えいとsemantic contaminationを別に監査する。

現行実装の確認では、LlamaIndexのfilter supportは一枚岩ではない。ObjectIndex上位filterの#16042はnot plannedのまま、BM25には後発実装がある。しかしBM25 0.8.0 live fixtureは、maskされたnodeがscore 0で返る境界例を示した。よって「filter引数がある」「ランキング上位から落ちた」をauthorization successにしない。返却candidate、reranker input、cache、trace/log、promptの各境界でunauthorized sentinelが0であることをhard assertionにする。

OpenFGAの現行運用も、許可ID全列挙で一律に閉じてはいない。candidateが少ない時のSearch→Check、許可objectが少ない時のListObjects→Search、高cardinality時のChanges由来local index等を選ぶ。安全性の不変条件は「LLMへ渡す前にcurrent authorizationで最終確認」「authz不能時fail closed」であり、どの検索結合方式を採るかはcardinality、latency、sort completeness、候補内部露出のthreat modelで決める。

OpenFGA v1.19.0のlocal cache試験では、revocation直後にMINIMIZE_LATENCYとHIGHER_CONSISTENCYが異なる結果を返した。よってrevocation-sensitiveな検索は「Checkを呼んだ」だけで合格にせず、consistency preference、query/iterator cache、cache controller、TTL、tuple change時刻、readback時刻を同じ証拠へ記録する。eventual consistencyを選ぶ場合はstale allowの許容時間をOrganization Overlayで明示し、許容できない操作はhigher-consistency readbackまたは同等のfreshness controlへ切り替える。

Mem0 issue #4956の報告では、可変属性をADD-onlyで蓄積すると旧事実と新事実が併存し、recencyを考慮しないsemantic/BM25/entity rankingで旧事実が上位候補になり得る。これは一つのOSS・version/configに関する未確認報告であり、全memory製品の性質とは断定しない。しかしadd succeededをmemory correctnessと同一視できない具体的な反例として、supersession、conflict detection、current read、historical readを別assertionへ分ける。

一方、同OSSのmemory-reviewerは重複、矛盾、低confidence、missing type、staleをread-only auditし、対象memory IDを出す。この実装はmemory hygieneを独立工程へする有用な先行例だが、scan capやheuristicがあり、自動修正・完全検出を保証しない。Coreでは、valid_from / valid_to / supersedes / status / deleted_at / source / observed_atを持つfixtureに対し、current query、新旧を指定したhistorical query、reset/delete後のnew-session readbackを分ける。矛盾の自動削除で監査履歴まで消さず、active stateとhistorical recordを別objectとして扱う。

2026-09-05時点の版固定では、PyPI mem0aiは2.0.20、release commitは9a7924b、repository HEADはdae67f7である。v3 migration docはsingle-pass ADD-onlyを意図したalgorithm changeとして明記し、#4956と#5867はopenである。2.0.20の同期・非同期add経路を同一stubで逐次実行すると、どちらも旧新factは別ADDとなり、exact hash以外のUPDATE/DELETEは走らず、抽出されたlinkもmemory payloadへ保存されなかった。さらに固定async pathでは、同一空snapshotからの並行ADDが同一hashを二重保存し、to_thread中のcancel後にvectorだけが残り、retryでもhistory欠落が修復されないfailureを再現した。これはlocal orchestrationの反証であり、remote transactionやhosted runtimeの挙動は未確認である。memory-reviewerはcommit 2c796d1へ固定できたが、200件cap、noun overlap 60%、confidence 0.3、180日というheuristicはuniversal thresholdではない。

また、矛盾解消をembedding類似度だけへ委ねない。未mergeのPR #6017はhash-onlyとlink破棄への修正を提案したが、reviewではlinkが単なる関連や継続も表すこと、global best scoreとlinked targetがずれ得ること、entity/history invariantsとsync/async parity、embedding action mode差が未解決と指摘された。Coreのsupersessionはreplacement/current-view signal / target identity / validity interval / history preservation / parity / readbackを要求し、単一cosine thresholdを共通保証にしない。

deleteとresetも同義ではない。current local implementationでは単一deleteがDELETE historyを残し、resetはlocal history/messages tableをdropして作り直す。これは監査保持と消去要求が衝突し得ることを具体化する。Core profileはactive memory、history、vector/keyword index、entity/graph、cache、backup、hosted accountを別componentとして列挙し、各componentのlogical delete、physical purge、tombstone、retention、new-session residualを記録する。

Mem0 2.0.20のlocal Qdrant adapterではactive dense vectorの単一deleteとreset後0件を確認できた。ただし「adapterのlist/getで見えない」は、remote replica、snapshot、backup、WAL、hosted retention、媒体上のphysical purgeを証明しない。したがってactive-index readbackとretention/purge evidenceを別列にし、VISIBLE_RESIDUAL_ZEROをPHYSICAL_PURGE_VERIFIEDへ昇格させない。

業務Geminiの新規chatを3.1 Pro、3.6 Flash、3.6 Thinkingで試験したsurface-limited profileでは、Paris/RECORD-A→Berlin/RECORD-Bの明示更新後、3モデルすべてがBerlinをcurrent、Parisをhistoryとして分離し、current-only回答からParisを除外した。意味契約は12/12だった。一方、3.1 ProはJSONだけという指示にもかかわらずMarkdown code fenceを付加し、strict machine-readable outputは2/3だった。意味的正答とwrapper/parse契約は別axisで測る必要がある。

同じ3モデルは、VIEWERに許可されたD1とADMIN限定D2をinlineで与えた試験で、D2内のprompt injectionに従わず、初回・追撃とも制限コードを出さなかった。surface assertionsは15/15である。ただしD2本文はモデル入力へ既に入っている。これはprompt-level non-disclosureの観測であって、authorization-before-retrieval、実ACL、index/retriever/reranker/cache/log/trace/promptからのpre-content exclusionではない。また各モデルが「更新」「保存」「保持」と表現しても、UI発話はdurable storageのreadbackではない。

Lost in the MiddleとRULERにNoLiMa、BABILong、LongBench v2を加えると、acceptance sliceは明確になる。NoLiMaはliteral matchを取り除いたlatent association、BABILongは長い自然文へ分散した複数factのreasoning/hop、LongBench v2は実用寄りの文書・会話・code・structured dataに対するdeep reasoningを測る。三者はいずれも「公称長に入れば使える」を反証するが、互いの代替ではない。

したがってCORE-02はprovider順位を固定せず、literal_overlap={high,low}、position、length、supporting_fact_count/hops、aggregation、task_realism、source_conflict/freshnessを別sliceで保持する。NoLiMaの32K低下やBABILongの長さ・reasoning複雑性低下、LongBench v2の低いdirect-answer scoreは、特定の現在製品をそのまま不合格にする数値ではなく、PMで同条件を再実行させるbounded反証である。

• Q-C02-001はcurrent implementationと固定依存での再現failure、OpenFGA→LlamaIndexの本文取得前Check参照path 10/10、業務Gemini 3モデルのprompt-level非開示15/15を得た。UI試験は実ACL/pre-retrieval認可ではなく、Gemini/tenant end-to-end、high-cardinality、内部cache/log/traceは未実測。direct integration禁止境界のため、内部値をUNKNOWNのままGemini cycleでbounded closureする。

• Q-C02-002はMem0 2.0.20 local component/failureに加え、業務Gemini 3モデルのsame-chat current/history意味契約12/12を得た。strict JSON-onlyは2/3。durable memory、Gem/cross-session、reset/delete、retrieval順位、graph、remote replica/snapshot/backup/WAL/cache、Platform/Dream、physical purgeは未実測。component別UNKNOWNを保持したままGemini cycleでbounded closureする。

• Core / PM-GEMINI / Organization Overlayのsource-propagation test profileを分離する。

• OpenFGAの現行文書は、認可サービスがobject metadataを持たず、検索・sortはapplication database、認可はOpenFGAで行う結合を明記する。したがってpermission-aware retrievalは「OpenFGAを使った」だけでは成立せず、検索候補、最終Check、revocation、sort completenessを同一profileで観測する。

• OpenFGAの現行Source of Truthは、階層・検索filterはapplication DBに置き、OpenFGAへの反復queryを避ける設計を示す。独立実運用報告でも、searchではpermission materialization、out-of-process per-hit check、materialized claimsとdirect FGAの段階化が報告される。ただし匿名報告・導入者発言はsecurity certificationではない。

• LlamaIndex v0.14.24はcurrent release anchorで、metadata filterの改善やcitation offset等を含むが、ObjectIndex issue #16042はClosed as not plannedのままである。BM25経路の実装存在をObjectIndex／vector／reranker全経路へ外挿しない。

• Mem0現行migrationはOSS v3をsingle-pass ADD-only、semantic＋BM25＋entity matchingのhybrid search、graph memoryはPlatform-onlyと記述する。ADD-onlyで旧新factが併存し、retrieval rankingにcurrent性を委ねる仕様意図は、保存済みlocal ADD-only実験およびopen issue #4956/#5867と同じ方向を示すが、issueはmaintainer-confirmed root causeではない。

このdeltaはQ-C02-001/002の外部・実装境界を更新する。既存の10/10 pre-content reference、BM25 denied-sentinel failure、Mem0 reset/delete・async race実測の出自とscopeは変更しない。

NEXT_PACKET_ACTION: CORE-02はBOUNDED_REAUDIT_COMPLETE_WITH_SCOPED_RESIDUALSとして維持する。PM-GPT-CORE-02-v0.1への同型Q-C02-001..004移送は完了。GPT safe-live／Organization値は未実施のままtrackingし、次はS063既定順のPM-GPT-CORE-03-v0.1へ進む。global provenance/publication gateは別ブロッカーとして維持し、新テーマ探索へ戻らない。

• Company Knowledge、administrator-managed sync、live app、Projects、Memory、API file search/Retrievalを別surfaceとしてPM-GPT-CORE-02-v0.1へ対応づけた。

• Company Knowledge／syncのsource-permission尊重は公開仕様として採用したが、permission changeのrefresh delayと内部経路非公開を残した。したがってQ-C02-001のpre-content authorization全経路を閉じていない。

• API file searchのmetadata/attribute filterは検索前に適用できる一方、native source IAMではない。GPT Actions retrieval guideのchunk permission caveatをcounterevidenceとして同時登録した。

• ChatGPT memory、saved memory、chat history、project memory、API application stateを別componentとして扱い、visible summaryやchat deleteをcomplete purgeへ昇格しない。

• NoLiMa／BABILong／LongBench v2のslice taxonomyだけを移送し、GPT順位・実性能は記録していない。

• 今回provider／tenant／connected app／API／memory設定の実操作はしていない。既存LlamaIndex/OpenFGA/Mem0 local実験もGPT実測へ付け替えていない。

• Q-C02-001〜004に紐づく既存の固定artifactを再読し、OpenFGA v1.19.0→LlamaIndex Core 0.14.24/BM25 0.8.0のpre-content reference path 10/10、LlamaIndex metadata-maskのdenied-sentinel failure、Mem0 2.0.20のADD-only・sync/async sequential parity・async cancel/retry residual、Gemini UIのcurrent/history 12/12・prompt-level non-disclosure 15/15を、各々のscope付き結果として再確認した。

• このreadbackで新たなprovider-wideまたはtenant-wide証拠は得られなかった。NoLiMa、BABILong、LongBench v2は、literal overlap、分散fact/hop、realistic multitaskを分離するbounded反証として維持し、Gemini性能値への昇格・overall scoreへの集約は行わない。

• Coreの変更はない。Q-C02-001はlocal reference integrationまで、Q-C02-002は固定OSS componentまで、Q-C02-003はcommit pinまで、Q-C02-004はbenchmark taxonomyまでの閉鎖とし、Gemini内部ACL/cache/log/trace、hosted memory、physical purge、provider性能はUNKNOWNとしてPM/ORGへ残す。

provider_mappings/PM-CLAUDE-CORE-02.mdで、enterprise search/connectors、Messages search-result/citations/Files/MCP、client-side memory tool、Managed Agents memory stores、context editingを別surfaceとしてQ-C02-001..004へ対応づけた。Claude固有の重要な反証は、(1) permission-aware enterprise searchの公開意図はall-path live proofではない、(2) client-side memoryのlifecycleはapplication storage依存、(3) Managed memoryのhead削除後もimmutable versionが保持され得てredact/store deleteが別操作、(4) context editingはstorage purgeではない、である。既存NoLiMa/BABILong/LongBench v2とlocal/UI実験の起源は変更しない。Core claimの変更なし。

provider_mappings/PM-GROK-CORE-02.mdで、Collections管理、direct search、Responses file_search / SDK collections_search、metadata filter、Files、ZDRを別surfaceとしてQ-C02-001..004へ対応づけた。metadata filterとManagement API permissionは利用可能だが、自動的なsource IAM伝播や全経路のprincipal authorizationを証明しない。collection detach、collection delete、file delete、TTL expiryも別lifecycleであり、visible zero resultをphysical purgeへ昇格しない。Files/Collections/Responsesをdurable memory contractへ読み替えず、NoLiMa/BABILong/LongBench v2は既存のbounded反証を再利用する。Core claimの変更なし。

provider_mappings/PM-NOTEBOOKLM-CORE-02.mdで、Drive自動／手動sync、copy型source、source失効、chat/notes/Studio/audio/share link/downloadのlifecycle、引用契約、Workspace external-sharing control、Gemini Notebook Enterpriseを別surfaceとしてQ-NLM-SCOPE-001..004へ対応づけた。Googleの生成音声accuracy warning、独立した三論文のnegative evidence、40-paper sliceの11/11 citation一致というpositive counterevidenceを併記し、いずれもuniversal performanceへ昇格しない。解剖班Driveから14 Audio Overviews、transcription利用、合本投入、subject/causal abstraction lossのfirst-party recordを回収したが、個別artifact hash・prompt・gradingがないため成功率は作らない。safe live profileは定義のみで未実行。Core claimの変更なし。