本文へスキップ

AI運用の判断と根拠を引く

Enterprise AI運用辞典

トップへ戻る

エージェントの副作用・復旧・人への引継ぎ

用語・参照用語・参照実挙動未確認実挙動未観測鮮度未確認鮮度を確定できない

記事状態: 公開 · 最終確認: 未確認

要点

CORE-05は、AIが外部状態を変更する前後の参照・書込み境界、権限 適用範囲、dry-run、confirmation、重複実行を防ぐ性質、取り消し・埋め合わせ処理、操作の取り消し、human escalation、実行を裏付ける記録を定義する。目的は「人が承認した」「ツールが成功を返した」を安全・完了とみなさず、意図した対象・操作・差分と外部最終状態を照合し、失敗時に停止・修復・引継ぎできる実行契約を作ることである。

現在の判断

CORE-05は、AIが外部状態を変更する前後の参照・書込み境界、権限 適用範囲、dry-run、confirmation、重複実行を防ぐ性質、取り消し・埋め合わせ処理、操作の取り消し、human escalation、実行を裏付ける記録を定義する。目的は「人が承認した」「ツールが成功を返した」を安全・完了とみなさず、意図した対象・操作・差分と外部最終状態を照合し、失敗時に停止・修復・引継ぎできる実行契約を作ることである。

どこまで当てはまるか

CORE-05は、AIが外部状態を変更する前後の参照・書込み境界、権限 適用範囲、dry-run、confirmation、重複実行を防ぐ性質、取り消し・埋め合わせ処理、操作の取り消し、human escalation、実行を裏付ける記録を定義する。目的は「人が承認した」「ツールが成功を返した」を安全・完了とみなさず、意図した対象・操作・差分と外部最終状態を照合し、失敗時に停止・修復・引継ぎできる実行契約を作ることである。

含まない:

  • task/途中状態の保存地点/完了の基本定義（CORE-01）
  • 処理工程/再試行 stage/transactionの一般設計（CORE-03）
  • モデル/ツール/出典/状態 route選定（CORE-04）
  • prompt injection攻撃面の網羅（CORE-10）
  • incident response全体（CORE-12）
  • 提供元固有agent/action/承認 UI、権限、監査 イベント（製品への適用整理）
  • 組織のリスク閾値、承認者、許可システム、保持値（組織ごとの追加条件）

詳しく理解する

企業AI運用の共通原則 — CORE-05 エージェントの副作用 / 復旧 / 人によるエスカレーション

PACKET_ID: PKT-GEMINI-A-CORE-05-v0.1

SECTION_ID: CORE-05

WAVE: WAVE-A

LAYER: ENTERPRISE_AI_CORE

状態: GEMINI_CYCLE_BOUNDED_CLOSED_V0.3

AS_OF: 2026-09-06

DEPENDENCIES: CORE-01, CORE-03, CORE-04

FROZEN_TOC: S063 v0.1

1. 適用範囲と限界

CORE-05は、AIが外部状態を変更する前後の参照・書込み境界、権限 適用範囲、dry-run、confirmation、重複実行を防ぐ性質、取り消し・埋め合わせ処理、操作の取り消し、human escalation、実行を裏付ける記録を定義する。目的は「人が承認した」「ツールが成功を返した」を安全・完了とみなさず、意図した対象・操作・差分と外部最終状態を照合し、失敗時に停止・修復・引継ぎできる実行契約を作ることである。

含まない:

  • task/途中状態の保存地点/完了の基本定義（CORE-01）
  • 処理工程/再試行 stage/transactionの一般設計（CORE-03）
  • モデル/ツール/出典/状態 route選定（CORE-04）
  • prompt injection攻撃面の網羅（CORE-10）
  • incident response全体（CORE-12）
  • 提供元固有agent/action/承認 UI、権限、監査 イベント（製品への適用整理）
  • 組織のリスク閾値、承認者、許可システム、保持値（組織ごとの追加条件）

2. 正式な concepts

CONCEPT_IDTERMCORE-05での境界
C-READ-WRITE-BOUNDARY参照・書込み 適用限界情報取得・draftと、外部状態を変える操作の切替点
C-SIDE-EFFECT外部への変更・送信send/create/update/削除/share/publish等の外部状態変更
C-PERMISSION-SCOPE権限 適用範囲操作主体、resource、操作内容、condition、期限、委任を限定した実行許可
C-DRY-RUNDry-run実行せず、対象・差分・影響・検証法を同じ入力で算出する段階
C-CONFIRMATIONConfirmation実行直前のaction summaryを承認する確認・承認の条件。一般的な意図確認とは区別する
C-IDEMPOTENCY重複実行を防ぐ性質同一操作内容 主体の識別の再送で外部効果を重複させない性質
C-COMPENSATION取り消し・埋め合わせ処理commit済み副作用を別の反対操作で修復する処理
C-UNDO操作の取り消し元状態へ戻せる製品・業務能力。取り消し・埋め合わせ処理や以前の状態へ戻す操作と同一でない
C-ESCALATIONHuman escalation自動継続を止め、証拠・選択肢・残留リスクを人へ渡す遷移
C-ACTION-EVIDENCE実行を裏付ける記録request、承認、実行 処理結果の受領記録、結果の照合、final 受け入れ確認を結ぶ記録

3. Claims v0.1

  • 記述・判断ID: CLM-C05-001; 記述・判断: read/draftと書込み/send/削除/shareを別の操作クラスにし、書込みの前に明示的な境界を置く; 証拠の分類: 内部直接証拠 + 契約; 現在の裏付け: S018 59978–60825; S056 405250–406267; ステータス: 直接的な範囲境界
  • 記述・判断ID: CLM-C05-002; 記述: 権限はツールの利用可否だけでなく、主体（操作主体）/リソース/操作/条件/時間/委任へと範囲を限定する; 根拠の分類: 研究 + 統合; 現在の根拠: S026 96739–97237; S027 102536–102680; OWASP ACS 2026-09-01; ステータス: 根拠に基づく
  • CLAIM_ID: CLM-C05-003; 記述・判断: dry-runは実行予定対象、arguments、差分、blast radius、検証法を生成し、実行と同じ正式な 操作内容から派生させる; 根拠の種類: 条件・契約 + DIRECT_SPAN; 現在の 裏付け: S018 60562–60880; S054 382862–382961; ローカル環境の fixture; 状態: CORE_BOUNDED
  • 記述・判断ID: CLM-C05-004; 記述・判断: 確認（confirmation）は、実行直前の信頼できるバージョン管理されたアクションの要約に紐付け、対象や変更の差分が発生した場合は失効させること; 証拠クラス: セキュリティ + 人的要因 + 契約 + ローカルの障害; 現在の支持根拠: OWASP Lies-in-the-Loop; Microsoft HAI G9/G10/G16; EU AI Act Art.14; TST-C05-05/07; ステータス: コア範囲内ローカル合格 / UIの有効性は不明
  • 記述・判断 ID: CLM-C05-005; 記述・判断: モデルまたはツールの成功発話を完了とせず、外部での受領確認と最終状態の結果の照合を要求する; 根拠の分類: INTERNAL_DIRECT_CARRY + FAILURE_CARRY; 現在のサポート: CORE-01 CLM-C01-005; CORE-03 キャンセル/コミット プロファイル; ステータス: 根拠の継承
  • 記述・判断ID: CLM-C05-006; 記述・判断: リトライの可否は、操作の識別子、べき等性キー、パラメータのダイジェスト、重複排除の保持期限、観測された外部の状態、および試行履歴に基づいて決定する; 根拠の分類: 運用慣行 + 固定されたローカル情報の保持; 現在のサポート対象: AWS Builders' Library; Stripeのべき等性に関するドキュメント; CORE-03/04 プロファイル; ステータス: 根拠に限定されている
  • CLAIM_ID: CLM-C05-007; 記述・判断: 重複実行を防ぐ性質非対応ツールへblind 再試行せず、結果の照合、single-flight、dedup 記録台帳、manual reconciliationのいずれかへ縮退する; 根拠の種類: OPERATIONAL_PRACTICE + 反証 + LOCAL_FAULT; 現在の 裏付け: AWS 再試行 semantics; ADK #6732; CE-C05-003; TST-C05-08/09; 状態: CORE_BOUNDED_LOCAL_PASS
  • CLAIM_ID: CLM-C05-008; 記述・判断: 取り消し・埋め合わせ処理はforward実行前に登録し、実行後に結果をread backする。ただし元状態への完全復元は別検証とする; 根拠の種類: OSS_PATTERN_CARRY + LOCAL_FAULT; 現在の 裏付け: CORE-03 Temporal/LangGraph 根拠; TST-C05-10; 状態: CORE_BOUNDED_LOCAL_PASS / REMOTE_UNKNOWN
  • CLAIM_ID: CLM-C05-009; 記述・判断: 操作の取り消し可否は操作内容ごとにNONE/PARTIAL/FULL/未確認事項と期限・副作用を記録し、UI上の操作の取り消し存在を完全回復とみなさない; 根拠の種類: DIRECT_SPAN + 反証; 現在の 裏付け: S018 59092–61076; CE-C05-002; 状態: DIRECT_SPAN_BOUND
  • CLAIM_ID: CLM-C05-010; 記述・判断: human escalationには停止理由、現在のcommit 状態、証拠、残留リスク、安全な選択肢、期限、担当者を渡す; 根拠の種類: STANDARD + RESEARCH + DEPENDENCY; 現在の 裏付け: EU AI Act Art.14; NIST AI 600-1; S051/S055/S056; CORE-01/03; 状態: CORE_AXES_BOUNDED / ORG_THRESHOLDS_UNKNOWN
  • CLAIM_ID: CLM-C05-011; 記述・判断: 実行を裏付ける記録はproposal、承認、attempt、処理結果の受領記録、結果の照合、受け入れ確認を分離し、同一request/操作内容 IDでjoinする; 根拠の種類: DIRECT_SPAN + FAILURE_SIGNAL + 条件・契約; 現在の 裏付け: S019 65120–66277; ADK #6732; CORE-01/03/04; 状態: EVIDENCE_BOUND

5. Dependency 引継ぎ

  • CORE-01: 実行環境 terminal、agent発話、business 受け入れ確認を分離し、成果物/外部 状態の結果の照合を要求する。
  • CORE-03: cancel/処理待ち時間の上限後も外部 commitが残り得る。blind 再試行は重複を生み、事前登録済み補償と結果の照合が必要。
  • CORE-04: required 実行 利用可能な機能を失う失敗時の代替処理はsilentに継続せず、read-only/manual/abstainへ縮退する。

6. Action リスク ladder

LEVELEXAMPLEDEFAULT 制御完了 根拠
A0 READsearch/read/list権限 + 出典 適用限界retrieved 出典ID / no 書込み 処理結果の受領記録
A1 DRAFTemail draft、proposed patchisolated 成果物、no 外部 send成果物 ID/バージョン/digest
A2 REVERSIBLE 書込みcalendar draft/update、versioned document editdry-run + 範囲を限定した 権限 + confirmation as required処理結果の受領記録 + 結果の照合 + 操作の取り消し window
A3 外部 SEND/SHAREemail send、invite、外部 sharetrusted action summary + 対象 confirmation + 重複実行を防ぐ性質/結果の照合メッセージ/イベント/共有ID + 受信者/ACLの結果の照合
A4 DESTRUCTIVE/BULK削除、上書き、行の一括処理、公開人による確認・承認 + バックアップ/補填 + 範囲を限定したバッチ + 条件が確認できなければ停止before/after counts、receipts、sample/full 結果の照合
A5 IRREVERSIBLE/HIGH IMPACTno practical 操作の取り消し、large blast radiusmanual 実行 or specialized approved 制御independent verification + accountable 受け入れ確認

数値閾値、対象人数、金額、リスク scoreは組織ごとの追加条件へ送る。

セキュリティとプライバシー

SUBJECT / DELEGATOR / RESOURCE_SET / OPERATION_SET / ARGUMENT_CONSTRAINTS / DATA_CLASS / ENVIRONMENT / VALID_FROM / EXPIRES_AT / MAX_USES / APPROVER / REVOCATION / POLICY_VERSION

認証情報所持を包括権限とみなさず、task-scoped grantを既定にする。A0からA2以上への昇格、resource/recipient変更、期限切れ、policy バージョン差は再認可を要求する。

8. 確認 / 承認契約

FIELDREQUIREMENT
ACTION_SUMMARY_ID / バージョン / DIGEST承認対象を固定
操作内容 / 対象 / RECIPIENT誰に何をするかを具体化
BEFORE / AFTER / DIFF変更内容を表示
SIDE_EFFECT / BLAST_RADIUS外部影響と範囲
出典 / AUTHORITY / 情報の鮮度action根拠
権限 / EXPIRY実行許可と期限
重複実行を防ぐ性質 / 再試行 / 操作の取り消し重複と回復条件
VERIFICATION / EXPECTED_FINAL_STATE実行後の判定法
代替案 / 中止draft-only、manual、cancel

承認表示はuntrusted 出典やモデル生成Markdownをそのまま描画して作らない。trusted rendererが正式な 操作内容から、少なくとも操作内容 / 対象 / recipient / argument diff / blast radius / irreversible or secondary effects / verification / safe alternativesを生成し、attacker-controlled proseと視覚的に分離する。承認後に対象、argument、参照資料の固定版、操作内容 バージョンが変わった場合、旧承認を再利用しない。承認回数の多さ、dialogの存在、利用者のクリックを「理解した」証拠にはしない。

9. 重複実行を防ぐ性質 / 取り消し・埋め合わせ処理 matrix

外部 状態重複実行を防ぐ性質 裏付けDEFAULT RESPONSE
NOT_STARTED verifiedanyexecute with new 操作内容 ID
COMMIT_UNKNOWNsupported結果の照合; same key only if 状態 absent
COMMIT_UNKNOWNunsupported/未確認事項stop; reconcile manually; no blind 再試行
COMMITTED wrong/partial取り消し・埋め合わせ処理 availablevalidate preconditions; compensate; 結果の照合
COMMITTED wrong/partialno 取り消し・埋め合わせ処理contain; escalate; preserve 根拠
VERIFIED expectedanydo not re-execute; return existing 処理結果の受領記録

重複実行を防ぐ性質 keyは単なるparameter hashとしない。同じ引数で別resourceを二つ作る正当な意図があり得るため、callerが操作内容 主体の識別を明示する。keyとmutationの記録は可能なら同じatomic 適用限界へ置き、同一keyでparameter digestが変われば実行せずmismatchとする。dedup 保持期間・保持方針を過ぎたkey再利用、late arrival、他actorによる中間変更では「同じ応答」と「現在状態」が乖離し得るため、処理結果の受領記録再利用後も必要なfinal-state 結果の照合を省略しない。

10. 実行を裏付ける記録 データ形式の定義

REQUEST_ID / OPERATION_ID / ATTEMPT_ID / CONTRACT_VERSION / 操作主体 / DELEGATOR / RESOURCE / 操作内容 / ARGUMENT_DIGEST / SOURCE_SNAPSHOT / RISK_LEVEL / PERMISSION_DECISION / ACTION_SUMMARY_DIGEST / APPROVAL_ID / APPROVED_AT / IDEMPOTENCY_KEY / PRE_STATE_DIGEST / EXECUTION_STARTED_AT / TOOL_RESPONSE / EXTERNAL_RECEIPT / COMMIT_STATE / 結果の照合 / POST_STATE_DIGEST / COMPENSATION_ID / UNDO_STATE / VERIFIER_RESULT / FINAL_ACCEPTANCE / ESCALATION_ID / INCIDENT_ID

ツール response、処理結果の受領記録、結果の照合、受け入れ確認は別fieldとし、処理結果の受領記録欠落を未実行、成功文字列を完了とみなさない。

11. Required cases and safe alternatives

CASEPRIMARY リスクSAFE ALTERNATIVE
email send誤った受信者、重複送信draft-only、human send、recipient allowlist
calendar updatewrong time/attendee、duplicate inviteproposal イベント、manual confirmation
document overwritelost prior content、wrong ファイルnew バージョン/copy、diff、backup
bulk row updatepartial batch、wrong filterdry-run count/sample、bounded batch、途中状態の保存地点
外部 sharingover-broad ACL、秘密情報 exposureinternal-only copy、manual ACL change

12.1 Evidence-to-decision recompilation

Q-C05-001 — trusted action summary

  • S018は、実行前の確認/ポリシー承認と、実行後の取り消し/手動修復を時間軸で分離しており、カレンダーイベントの主要な状態を元に戻せたとしても、ゲストへの通知などの二次的な影響が残る可能性があることを示している。したがって、要約には主要な操作だけでなく、二次的な影響と回復の限界も含まれる。
  • OWASP Lies-in-the-Loopは、untrusted文書・issue・email等がdialog padding、Markdown/HTML、action descriptorを汚染し、人を有害操作へ誘導できる攻撃classを示す。Core要件は「モデルが正直に要約する」ではなく、正式な fieldsをtrusted rendererで生成・sanitizeし、untrusted proseをauthorityにしないことである。
  • MicrosoftのHuman-AI Interaction guidelinesは、誤り時のefficient 訂正、uncertain goal時のdisambiguation/degradation、user actionのconsequence提示を要求する。これは最小summaryのdiff / alternatives / consequence / 復旧を支持するが、高リスク専用UIの有効性を保証しない。
  • EU AI Act Article 14はhigh-risk AI限定で、リスク・autonomy・文脈・入力情報に応じたoversight、automation biasへの認識、override/reverse、safe-state stopを要求する。法的適用範囲を一般業務へ拡張せず、Coreの軸だけに採用する。

決定: UNK-C05-001はCoreのfield set、trust 適用限界、digest失効挙動までbounded close。ローカル環境の deception profileでは、untrusted HTML/recipient差替え/長文paddingをtyped fieldから隔離し、対象・arguments・参照資料の固定版変更の旧承認再利用を拒否した。理解率、実画面の表示順、処理待ち時間の上限、再承認頻度、承認者資格はPM/ORGまたはhuman-subject testの未確認事項として残す。

Q-C05-002 — 再試行 / partial commit / 復旧

  • AWS Builders' Libraryはcaller-provided request IDを推奨し、key記録と全mutationをatomicに扱えない場合のtoken-only/resource-only残差、late arrival、same-key/different-intent、保持期間・保持方針期限を明示する。
  • Stripeの現行API referenceは、同一keyの最初の状態/本文を失敗を含め再利用し、parameter不一致をrejectし、keyを24時間以上でprune可能とする。これは一つの実運用契約例であり、全ツールの保証や普遍保持時間へ一般化しない。
  • ADKの課題 #6732 は、2.7.0 ＋ Postgresセッション ＋ 並列での人による確認の有無という条件において、承認済みの破壊的なツールが実行済みであるにもかかわらず結果の履歴が欠落しており、空の応答によって利用者が再試行してしまう可能性がある失敗の兆候を報告している。これは未解決の課題であるため、現行の全バージョンや単一ツールの確認へと一般化はしない。

決定: 操作内容 ID + parameter digest + atomic dedup/mutation where supported + attempt 履歴 + 処理結果の受領記録 + source-of-truth 結果の照合 + no blind 再試行 on COMMIT_UNKNOWNをCore最小profileとする。ローカル環境の fault profileでは、response-loss後のblind 再試行重複を対照再現し、同一操作内容 dedup、parameter mismatch停止、single-flight、保持期間・保持方針期限後結果の照合、late arrival検出、事前登録補償と補償失敗残差を26/26で確認した。UNK-C05-002はprovider-neutral ローカル環境の reference範囲でbounded closeし、remote/distributed、提供元固有key保持、外部システムの補償可能性はPM/ORG 未確認事項へ送る。

Q-C05-003 — 人による確認・承認へのエスカレーション軸

  • NIST AI 600-1はoversight責任、独立評価、文脈・入力情報代表性、human-GAI outcomeの継続監視、override事例、incident response/復旧/deactivation criteriaを別々に扱う。
  • EU AI法 第14条は、ハイリスクAIの監視をリスク、自律性、コンテキストに応じて比例させ、能力の限界の理解、異常検知、オートメーション・バイアス、オーバーライド、および安全な停止を列挙している。
  • S051は、承認の存在そのものではなく、エラー捕捉、形骸化した承認（rubber stamp）、エスカレーションの適切性、および人間が持ち込んだデグレード（regression）を測定することを要求している。S052は、不可逆的な副作用、承認の処理、修復コスト/監督時間をエージェントの評価に含める。S055/S056は、リスク、可逆性、副作用、承認、ロールバック、および人間によるエスカレーション（HUMAN_ESCALATION）を、Core/PM/ORGに分離する。

決定: Core軸をreversibility / externality and blast radius / autonomy / uncertainty and 根拠 quality / data-recipient sensitivity / commit 稼働状況を観測する仕組み / 復旧 readiness / time criticality / reviewer competence and independenceとする。金額、人数、リスク score、sector rule、担当者、SLAは組織ごとの追加条件へ残す。

13. 受け入れ確認 tests

TEST_IDTESTPASS CONDITION現在の RESULT
TST-C05-01dry-run paritypreviewとexecuteが同一正式な 操作内容/digestへbindPASS_LOCAL_DIAGNOSTIC
TST-C05-02final-state 結果の照合ツール 成功だけで完了せず、expected 状態一致でacceptPASS_LOCAL_DIAGNOSTIC
TST-C05-03duplicate 再試行commit済み同一keyを再実行しないPASS_LOCAL_DIAGNOSTIC
TST-C05-04malicious 外部 content信頼できない指示を引数へと昇格させないPASS_LOCAL_DIAGNOSTIC
TST-C05-05承認 deception承認後の対象/diff変更を拒否PASS_LOCAL_DIAGNOSTIC
TST-C05-06取り消し・埋め合わせ処理/操作の取り消し取り消し・埋め合わせ処理失敗を成功扱いせず残留状態を報告PASS_LOCAL_DIAGNOSTIC
TST-C05-07trusted renderer deceptionuntrusted HTML/recipient/paddingをtyped 操作内容へ昇格せず、正式な変更で承認失効PASS_LOCAL_FAULT_8_ASSERTIONS
TST-C05-08response-loss / blind 再試行unsafe対照でduplicateを再現し、安全pathは結果の照合/dedupで再実行しないPASS_LOCAL_FAULT_7_ASSERTIONS
TST-C05-09single-flight / 保持 / 遅延到着並行attemptを停止し、key期限後とlate arrivalを外部 結果の照合で検出PASS_LOCAL_FAULT_5_ASSERTIONS
TST-C05-10取り消し・埋め合わせ処理 residualforward前登録、成功後結果の照合、失敗時RECOVERY_FAILEDと残留effectを保持PASS_LOCAL_FAULT_6_ASSERTIONS

tests/CORE-05_action_safety_contract_fixture_v0.1.py は基本となる6つのルールを検査します。tests/CORE-05_approval_nonidempotent_fault_v0.1.py は Q-C05-001/002 の残差を26個のアサーションで検査し、連続2回で同じ結果のハッシュ値を得ました。いずれもプロバイダー、ツール、組織の利用環境、および実際のメール、カレンダー、ドキュメント、ACL を操作するものではなく、製品保証として昇格させるものではありません。

Claude 製品への適用整理 delta — 2026-09-09

PM-CLAUDE-CORE-05-v0.1において、Claude APIのクライアント/サーバーツール、Agent SDKの権限/フック、MCPコネクタ、ツールの実行結果、ファイルのチェックポイント、人による確認（エスカレーション）を既存のCore契約へ対応づけた。承認・tool_use_id・フック・チェックポイントを、外部の受領書/結果の照合/以前の保存地点へ戻す操作へと昇格させることはしない。issue #36149/#61097/#79032については、バージョンやプラットフォーム限定、または解決済みの履歴として、重複したディスパッチや承認サービスの失敗に関する回帰試験の意図にのみ採用した。

既存6 rule・26 assertionsはCOMPILER_EXPERIMENTのまま保持し、Claude実測へ再分類していない。Core 記述・判断は不変。live ツール/MCP、外部重複実行を防ぐ性質、現在の 公開・提供再現、組織 policy、human理解率はQ-PM-C05-CLAUDE-001..004へ残す。Gemini/GPT遡及監査は不要。

Grok 製品への適用整理 delta — 2026-09-12

PM-GROK-CORE-05-v0.1でxAIのclient-side function、server-side ツール、default parallel calls、Remote MCP、continuation/compaction、deferred/Batchを既存Core契約へ対応づけた。ツール call、提供元 実行、ツール result、外部 受領記録・結果の照合、final 受け入れ確認を分離し、require_approval非対応のRemote MCPや自動実行server ツールを業務承認へ昇格しない。

既存6 rule・26 assertionsはCOMPILER_EXPERIMENTのまま保持し、Grok実測へ再分類していない。一般外部への変更・送信のexactly-once、正式な 承認 digest、以前の状態へ戻す操作、human escalationは公開資料で閉じず、Q-PM-C05-GROK-001..004へ残す。Core 記述・判断は不変で、Gemini/GPT/Claude遡及監査は不要。

よくある失敗・反証

    • CE-C05-001: confirmation回数を増やすだけではfatigue/rubber stampを招き、action理解を保証しない。
    • CE-C05-002: 外部送信、公開、削除等は技術的操作の取り消しがなく、取り消し・埋め合わせ処理も元状態を完全復元しない場合がある。
    • CE-C05-003: 処理待ち時間の上限/再試行は一回の論理操作内容を複数外部への変更・送信へ増幅し得る。
    UNKNOWN_ID未確認事項完了条件
    UNK-C05-001trusted action summaryのUIの有効性と理解率Core field/trust/digestとローカル環境の deception fixtureはbounded close。表示順、処理待ち時間の上限、再承認頻度、承認者理解をPM/ORG/human-subject testで測る
    UNK-C05-002重複実行を防ぐ性質非対応ツールの安全策ローカル環境の reference profileはbounded close。remote/提供元のdedup atomicity・保持・結果の照合・補償能力は各PM/ORGで測る
    UNK-C05-003リスク tier別human escalation閾値Core判断軸はbounded close。数値・sector rule・担当者・SLA・reviewer staffingはORGへ送る

    NEXT_PACKET_ACTION: Gemini CORE-05 サイクルは、公開された製品マッピング、組織のオーバーレイ、およびローカル参照の境界において、条件が確認できなければ停止します。S063 Frozen TOC の CORE-06 へ進み、Core が変更された場合にのみ、CORE-05 と先行する Gemini マッピングを遡及監査します。

実務での使い方

  • FIELDREQUIREMENT
    ACTION_SUMMARY_ID / バージョン / DIGEST承認対象を固定
    操作内容 / 対象 / RECIPIENT誰に何をするかを具体化
    BEFORE / AFTER / DIFF変更内容を表示
    SIDE_EFFECT / BLAST_RADIUS外部影響と範囲
    出典 / AUTHORITY / 情報の鮮度action根拠
    権限 / EXPIRY実行許可と期限
    重複実行を防ぐ性質 / 再試行 / 操作の取り消し重複と回復条件
    VERIFICATION / EXPECTED_FINAL_STATE実行後の判定法
    代替案 / 中止draft-only、manual、cancel

    承認表示はuntrusted 出典やモデル生成Markdownをそのまま描画して作らない。trusted rendererが正式な 操作内容から、少なくとも操作内容 / 対象 / recipient / argument diff / blast radius / irreversible or secondary effects / verification / safe alternativesを生成し、attacker-controlled proseと視覚的に分離する。承認後に対象、argument、参照資料の固定版、操作内容 バージョンが変わった場合、旧承認を再利用しない。承認回数の多さ、dialogの存在、利用者のクリックを「理解した」証拠にはしない。

まだ確認できていないこと

  • CORE-05-CURRENTNESS

    原資料の確定版から収録しています。外部根拠の最新性を今回の取込日で確認済みと扱いません。本文の未解決事項・残余制約を保持します。

根拠資料

この記事には、直接開ける外部出典が登録されていません。出典IDや検証情報は末尾で確認できます。

出典ID・検証情報・機械可読データ

根拠の種類と情報の鮮度は、ラベルとアイコンで確認できます。

記事ID
CORE-05
最終確認日
—
提供元・モデル・プラン・利用環境
—
対象地域
—
元資料の全文と収録照合記録
資料の識別情報

Source SHA-256 82495ee4d5c8d4fab40603cc581785f234a1cb11dfa8abfc79a9f49d47229ed6

Enterprise AI Core — CORE-05 Agent Side Effects / Recovery / Human Escalation

PACKET_ID: PKT-GEMINI-A-CORE-05-v0.1

SECTION_ID: CORE-05

WAVE: WAVE-A

LAYER: ENTERPRISE_AI_CORE

STATUS: GEMINI_CYCLE_BOUNDED_CLOSED_V0.3

AS_OF: 2026-09-06

DEPENDENCIES: CORE-01, CORE-03, CORE-04

FROZEN_TOC: S063 v0.1

1. Scope boundary

CORE-05は、AIが外部状態を変更する前後のread/write境界、permission scope、dry-run、confirmation、idempotency、compensation、undo、human escalation、action evidenceを定義する。目的は「人が承認した」「toolがsuccessを返した」を安全・完了とみなさず、意図した対象・操作・差分と外部最終状態を照合し、失敗時に停止・修復・引継ぎできる実行契約を作ることである。

含まない:

  • task/checkpoint/completionの基本定義（CORE-01）
  • pipeline/retry stage/transactionの一般設計（CORE-03）
  • model/tool/source/state route選定（CORE-04）
  • prompt injection攻撃面の網羅（CORE-10）
  • incident response全体（CORE-12）
  • provider固有agent/action/approval UI、権限、audit event（Product Mapping）
  • 組織のrisk閾値、承認者、許可system、保持値（Organization Overlay）
2. Canonical concepts
CONCEPT_IDTERMCORE-05での境界
C-READ-WRITE-BOUNDARYRead/write boundary情報取得・draftと、外部状態を変える操作の切替点
C-SIDE-EFFECTSide effectsend/create/update/delete/share/publish等の外部状態変更
C-PERMISSION-SCOPEPermission scopeprincipal、resource、operation、condition、期限、委任を限定した実行許可
C-DRY-RUNDry-run実行せず、対象・差分・影響・検証法を同じ入力で算出する段階
C-CONFIRMATIONConfirmation実行直前のaction summaryを承認するgate。一般的な意図確認とは区別する
C-IDEMPOTENCYIdempotency同一operation identityの再送で外部効果を重複させない性質
C-COMPENSATIONCompensationcommit済み副作用を別の反対操作で修復する処理
C-UNDOUndo元状態へ戻せる製品・業務能力。compensationやrollbackと同一でない
C-ESCALATIONHuman escalation自動継続を止め、証拠・選択肢・残留riskを人へ渡す遷移
C-ACTION-EVIDENCEAction evidencerequest、approval、execution receipt、readback、final acceptanceを結ぶ記録
3. Claims v0.1
  • CLAIM_ID: CLM-C05-001; CLAIM: read/draftとwrite/send/delete/shareを別operation classにし、write前に明示境界を置く; EVIDENCE CLASS: INTERNAL_DIRECT + CONTRACT; CURRENT SUPPORT: S018 59978–60825; S056 405250–406267; STATUS: DIRECT_SPAN_BOUND
  • CLAIM_ID: CLM-C05-002; CLAIM: permissionはtool利用可否だけでなくprincipal/resource/operation/condition/time/delegationへscopeする; EVIDENCE CLASS: RESEARCH + SYNTHESIS; CURRENT SUPPORT: S026 96739–97237; S027 102536–102680; OWASP ACS 2026-09-01; STATUS: EVIDENCE_BOUND
  • CLAIM_ID: CLM-C05-003; CLAIM: dry-runは実行予定target、arguments、差分、blast radius、検証法を生成し、実行と同じcanonical operationから派生させる; EVIDENCE CLASS: CONTRACT + DIRECT_SPAN; CURRENT SUPPORT: S018 60562–60880; S054 382862–382961; local fixture; STATUS: CORE_BOUNDED
  • CLAIM_ID: CLM-C05-004; CLAIM: confirmationは実行直前のtrusted/versioned action summaryへbindし、対象・差分変更時は失効させる; EVIDENCE CLASS: SECURITY + HUMAN_FACTORS + CONTRACT + LOCAL_FAULT; CURRENT SUPPORT: OWASP Lies-in-the-Loop; Microsoft HAI G9/G10/G16; EU AI Act Art.14; TST-C05-05/07; STATUS: CORE_BOUNDED_LOCAL_PASS / UI_EFFECTIVENESS_UNKNOWN
  • CLAIM_ID: CLM-C05-005; CLAIM: model/toolのsuccess発話を完了とせず、external receiptとfinal-state readbackを要求する; EVIDENCE CLASS: INTERNAL_DIRECT_CARRY + FAILURE_CARRY; CURRENT SUPPORT: CORE-01 CLM-C01-005; CORE-03 cancel/commit profile; STATUS: EVIDENCE_CARRY
  • CLAIM_ID: CLM-C05-006; CLAIM: retry可否はoperation identity、idempotency key、parameter digest、dedup保持期限、observed external state、attempt historyから決める; EVIDENCE CLASS: OPERATIONAL_PRACTICE + PINNED_LOCAL_CARRY; CURRENT SUPPORT: AWS Builders' Library; Stripe idempotency docs; CORE-03/04 profiles; STATUS: EVIDENCE_BOUND
  • CLAIM_ID: CLM-C05-007; CLAIM: idempotency非対応toolへblind retryせず、readback、single-flight、dedup ledger、manual reconciliationのいずれかへ縮退する; EVIDENCE CLASS: OPERATIONAL_PRACTICE + COUNTEREVIDENCE + LOCAL_FAULT; CURRENT SUPPORT: AWS retry semantics; ADK #6732; CE-C05-003; TST-C05-08/09; STATUS: CORE_BOUNDED_LOCAL_PASS
  • CLAIM_ID: CLM-C05-008; CLAIM: compensationはforward実行前に登録し、実行後に結果をread backする。ただし元状態への完全復元は別検証とする; EVIDENCE CLASS: OSS_PATTERN_CARRY + LOCAL_FAULT; CURRENT SUPPORT: CORE-03 Temporal/LangGraph evidence; TST-C05-10; STATUS: CORE_BOUNDED_LOCAL_PASS / REMOTE_UNKNOWN
  • CLAIM_ID: CLM-C05-009; CLAIM: undo可否はoperationごとにNONE/PARTIAL/FULL/UNKNOWNと期限・副作用を記録し、UI上のundo存在を完全回復とみなさない; EVIDENCE CLASS: DIRECT_SPAN + COUNTEREVIDENCE; CURRENT SUPPORT: S018 59092–61076; CE-C05-002; STATUS: DIRECT_SPAN_BOUND
  • CLAIM_ID: CLM-C05-010; CLAIM: human escalationには停止理由、現在のcommit state、証拠、残留risk、安全な選択肢、期限、ownerを渡す; EVIDENCE CLASS: STANDARD + RESEARCH + DEPENDENCY; CURRENT SUPPORT: EU AI Act Art.14; NIST AI 600-1; S051/S055/S056; CORE-01/03; STATUS: CORE_AXES_BOUNDED / ORG_THRESHOLDS_UNKNOWN
  • CLAIM_ID: CLM-C05-011; CLAIM: action evidenceはproposal、approval、attempt、receipt、readback、acceptanceを分離し、同一request/operation IDでjoinする; EVIDENCE CLASS: DIRECT_SPAN + FAILURE_SIGNAL + CONTRACT; CURRENT SUPPORT: S019 65120–66277; ADK #6732; CORE-01/03/04; STATUS: EVIDENCE_BOUND
4. Source manifest boundary

Primary manifestはS005/S006/S007/S018/S019/S022/S026/S027/S029/S031/S040/S041/S051/S052/S054/S055/S056/S063。Google Doc 1w88Q77mHlXsYm22v6VtwKeX-G-WkMwQAAIdje4DxLKc のrevision ANLCKQlY-J2cMBi8grqzT6xr8lijnDfdK21uyia96W5USYaomwphSxsvdaSUmm4XOWvBVMAJ7AzV7H7KKg2neXpB6yTTdJIsQZD_svTbbrsoから、S005 9742、S007 12004、S018 58796、S019 62829、S026 94967、S027 101565、S051 342077、S052 351854、S054 375973、S055 387712、S056 402411を起点とするclaim-level spanを直接回収した。S028/S053/S057の開始indexで終端を固定し、manifest要約を直接spanの代用にしていない。

5. Dependency handoff
  • CORE-01: runtime terminal、agent発話、business acceptanceを分離し、artifact/external stateのreadbackを要求する。
  • CORE-03: cancel/timeout後もexternal commitが残り得る。blind retryは重複を生み、事前登録済み補償とreadbackが必要。
  • CORE-04: required execution capabilityを失うfallbackはsilentに継続せず、read-only/manual/abstainへ縮退する。
6. Action risk ladder
LEVELEXAMPLEDEFAULT CONTROLCOMPLETION EVIDENCE
A0 READsearch/read/listpermission + source boundaryretrieved source IDs / no write receipt
A1 DRAFTemail draft、proposed patchisolated artifact、no external sendartifact ID/version/digest
A2 REVERSIBLE WRITEcalendar draft/update、versioned document editdry-run + scoped permission + confirmation as requiredreceipt + readback + undo window
A3 EXTERNAL SEND/SHAREemail send、invite、external sharetrusted action summary + target confirmation + idempotency/readbackmessage/event/share ID + recipient/ACL readback
A4 DESTRUCTIVE/BULKdelete、overwrite、bulk rows、publishhuman gate + backup/compensation + bounded batch + stopbefore/after counts、receipts、sample/full readback
A5 IRREVERSIBLE/HIGH IMPACTno practical undo、large blast radiusmanual execution or specialized approved controlindependent verification + accountable acceptance

数値閾値、対象人数、金額、risk scoreはOrganization Overlayへ送る。

7. Permission scope

SUBJECT / DELEGATOR / RESOURCE_SET / OPERATION_SET / ARGUMENT_CONSTRAINTS / DATA_CLASS / ENVIRONMENT / VALID_FROM / EXPIRES_AT / MAX_USES / APPROVER / REVOCATION / POLICY_VERSION

credential所持を包括権限とみなさず、task-scoped grantを既定にする。A0からA2以上への昇格、resource/recipient変更、期限切れ、policy version差は再認可を要求する。

8. Confirmation / approval contract
FIELDREQUIREMENT
ACTION_SUMMARY_ID / VERSION / DIGEST承認対象を固定
OPERATION / TARGET / RECIPIENT誰に何をするかを具体化
BEFORE / AFTER / DIFF変更内容を表示
SIDE_EFFECT / BLAST_RADIUS外部影響と範囲
SOURCE / AUTHORITY / FRESHNESSaction根拠
PERMISSION / EXPIRY実行許可と期限
IDEMPOTENCY / RETRY / UNDO重複と回復条件
VERIFICATION / EXPECTED_FINAL_STATE実行後の判定法
ALTERNATIVES / STOPdraft-only、manual、cancel

承認表示はuntrusted sourceやmodel生成Markdownをそのまま描画して作らない。trusted rendererがcanonical operationから、少なくともoperation / target / recipient / argument diff / blast radius / irreversible or secondary effects / verification / safe alternativesを生成し、attacker-controlled proseと視覚的に分離する。承認後にtarget、argument、source snapshot、operation versionが変わった場合、旧承認を再利用しない。承認回数の多さ、dialogの存在、利用者のクリックを「理解した」証拠にはしない。

9. Idempotency / compensation matrix
EXTERNAL STATEIDEMPOTENCY SUPPORTDEFAULT RESPONSE
NOT_STARTED verifiedanyexecute with new operation ID
COMMIT_UNKNOWNsupportedreadback; same key only if state absent
COMMIT_UNKNOWNunsupported/unknownstop; reconcile manually; no blind retry
COMMITTED wrong/partialcompensation availablevalidate preconditions; compensate; readback
COMMITTED wrong/partialno compensationcontain; escalate; preserve evidence
VERIFIED expectedanydo not re-execute; return existing receipt

idempotency keyは単なるparameter hashとしない。同じ引数で別resourceを二つ作る正当な意図があり得るため、callerがoperation identityを明示する。keyとmutationの記録は可能なら同じatomic boundaryへ置き、同一keyでparameter digestが変われば実行せずmismatchとする。dedup retentionを過ぎたkey再利用、late arrival、他actorによる中間変更では「同じ応答」と「現在状態」が乖離し得るため、receipt再利用後も必要なfinal-state readbackを省略しない。

10. Action Evidence schema

REQUEST_ID / OPERATION_ID / ATTEMPT_ID / CONTRACT_VERSION / PRINCIPAL / DELEGATOR / RESOURCE / OPERATION / ARGUMENT_DIGEST / SOURCE_SNAPSHOT / RISK_LEVEL / PERMISSION_DECISION / ACTION_SUMMARY_DIGEST / APPROVAL_ID / APPROVED_AT / IDEMPOTENCY_KEY / PRE_STATE_DIGEST / EXECUTION_STARTED_AT / TOOL_RESPONSE / EXTERNAL_RECEIPT / COMMIT_STATE / READBACK / POST_STATE_DIGEST / COMPENSATION_ID / UNDO_STATE / VERIFIER_RESULT / FINAL_ACCEPTANCE / ESCALATION_ID / INCIDENT_ID

tool response、receipt、readback、acceptanceは別fieldとし、receipt欠落を未実行、success文字列を完了とみなさない。

11. Required cases and safe alternatives
CASEPRIMARY RISKSAFE ALTERNATIVE
email sendwrong recipient、duplicate senddraft-only、human send、recipient allowlist
calendar updatewrong time/attendee、duplicate inviteproposal event、manual confirmation
document overwritelost prior content、wrong filenew version/copy、diff、backup
bulk row updatepartial batch、wrong filterdry-run count/sample、bounded batch、checkpoint
external sharingover-broad ACL、secret exposureinternal-only copy、manual ACL change
12. Failure modes and stop conditions
  • hallucinated completion: receipt/readbackなしではEXECUTION_UNVERIFIED。
  • wrong target/recipient: confirmation digest mismatchで実行前停止。
  • duplicate action: same operation key/readbackで既存receiptを返し再実行しない。
  • over-permission: requested resource/operationがgrant外ならdeny。
  • poisoned argument: untrusted source内の命令をaction argumentへ昇格しない。
  • failed rollback/compensation: RECOVERY_FAILEDとして追加実行を止め、外部残留状態を提示。
  • hidden harmful action: action summaryに現れないside effectを許可しない。
12.1 Evidence-to-decision recompilation

Q-C05-001 — trusted action summary

  • S018はpre-action confirmation/policy approvalとpost-action undo/manual repairを時間軸で分離し、Calendar eventの主状態を戻せてもguest notification等のsecondary effectが残り得ることを示す。したがってsummaryは主操作だけでなく二次影響と回復限界を含む。
  • OWASP Lies-in-the-Loopは、untrusted文書・issue・email等がdialog padding、Markdown/HTML、action descriptorを汚染し、人を有害操作へ誘導できる攻撃classを示す。Core要件は「modelが正直に要約する」ではなく、canonical fieldsをtrusted rendererで生成・sanitizeし、untrusted proseをauthorityにしないことである。
  • MicrosoftのHuman-AI Interaction guidelinesは、誤り時のefficient correction、uncertain goal時のdisambiguation/degradation、user actionのconsequence提示を要求する。これは最小summaryのdiff / alternatives / consequence / recoveryを支持するが、高risk専用UIの有効性を保証しない。
  • EU AI Act Article 14はhigh-risk AI限定で、risk・autonomy・contextに応じたoversight、automation biasへの認識、override/reverse、safe-state stopを要求する。法的適用範囲を一般業務へ拡張せず、Coreの軸だけに採用する。

決定: UNK-C05-001はCoreのfield set、trust boundary、digest失効挙動までbounded close。local deception profileでは、untrusted HTML/recipient差替え/長文paddingをtyped fieldから隔離し、target・arguments・source snapshot変更の旧承認再利用を拒否した。理解率、実画面の表示順、timeout、再承認頻度、承認者資格はPM/ORGまたはhuman-subject testのUNKNOWNとして残す。

Q-C05-002 — retry / partial commit / recovery

  • AWS Builders' Libraryはcaller-provided request IDを推奨し、key記録と全mutationをatomicに扱えない場合のtoken-only/resource-only残差、late arrival、same-key/different-intent、retention期限を明示する。
  • Stripeの現行API referenceは、同一keyの最初のstatus/bodyを失敗を含め再利用し、parameter不一致をrejectし、keyを24時間以上でprune可能とする。これは一つの実運用契約例であり、全toolの保証や普遍保持時間へ一般化しない。
  • ADK issue #6732は2.7.0＋Postgres session＋parallel gated/ungated条件で、承認済み破壊的toolが実行済みなのに結果履歴が欠け、空応答により利用者がretryし得るfailure signalを報告する。open issueのため、現行全versionや単一tool confirmationへ一般化しない。

決定: operation ID + parameter digest + atomic dedup/mutation where supported + attempt history + receipt + source-of-truth readback + no blind retry on COMMIT_UNKNOWNをCore最小profileとする。local fault profileでは、response-loss後のblind retry重複を対照再現し、同一operation dedup、parameter mismatch停止、single-flight、retention期限後readback、late arrival検出、事前登録補償と補償失敗残差を26/26で確認した。UNK-C05-002はprovider-neutral local reference範囲でbounded closeし、remote/distributed、provider固有key保持、外部systemの補償可能性はPM/ORG UNKNOWNへ送る。

Q-C05-003 — human escalation axes

  • NIST AI 600-1はoversight責任、独立評価、context代表性、human-GAI outcomeの継続監視、override事例、incident response/recovery/deactivation criteriaを別々に扱う。
  • EU AI Act Article 14はhigh-risk AIのoversightをrisk、autonomy、contextへ比例させ、能力限界理解、異常検知、automation bias、override、safe stopを列挙する。
  • S051はapprovalの存在ではなくerror catch、rubber stamp、escalation appropriateness、human-introduced regressionを測るよう要求し、S052はirreversible side effect、approval handling、repair cost/監督時間をagent評価へ入れる。S055/S056はrisk、reversibility、side effect、approval、rollback、HUMAN_ESCALATIONをCore/PM/ORGへ分離する。

決定: Core軸をreversibility / externality and blast radius / autonomy / uncertainty and evidence quality / data-recipient sensitivity / commit observability / recovery readiness / time criticality / reviewer competence and independenceとする。金額、人数、risk score、sector rule、owner、SLAはOrganization Overlayへ残す。

13. Acceptance tests
TEST_IDTESTPASS CONDITIONCURRENT RESULT
TST-C05-01dry-run paritypreviewとexecuteが同一canonical operation/digestへbindPASS_LOCAL_DIAGNOSTIC
TST-C05-02final-state readbacktool successだけで完了せず、expected state一致でacceptPASS_LOCAL_DIAGNOSTIC
TST-C05-03duplicate retrycommit済み同一keyを再実行しないPASS_LOCAL_DIAGNOSTIC
TST-C05-04malicious external contentuntrusted instructionをargumentへ昇格しないPASS_LOCAL_DIAGNOSTIC
TST-C05-05approval deceptionapproval後のtarget/diff変更を拒否PASS_LOCAL_DIAGNOSTIC
TST-C05-06compensation/undocompensation失敗を成功扱いせず残留状態を報告PASS_LOCAL_DIAGNOSTIC
TST-C05-07trusted renderer deceptionuntrusted HTML/recipient/paddingをtyped operationへ昇格せず、canonical変更で承認失効PASS_LOCAL_FAULT_8_ASSERTIONS
TST-C05-08response-loss / blind retryunsafe対照でduplicateを再現し、安全pathはreadback/dedupで再実行しないPASS_LOCAL_FAULT_7_ASSERTIONS
TST-C05-09single-flight / retention / late arrival並行attemptを停止し、key期限後とlate arrivalをexternal readbackで検出PASS_LOCAL_FAULT_5_ASSERTIONS
TST-C05-10compensation residualforward前登録、成功後readback、失敗時RECOVERY_FAILEDと残留effectを保持PASS_LOCAL_FAULT_6_ASSERTIONS

tests/CORE-05_action_safety_contract_fixture_v0.1.pyは基本6 ruleを検査する。tests/CORE-05_approval_nonidempotent_fault_v0.1.pyはQ-C05-001/002の残差を26 assertionsで検査し、連続2回で同じresult hashを得た。いずれもprovider/tool/tenant、実メール・calendar・document・ACLを操作せず、製品保証には昇格させない。

14. Counterevidence and UNKNOWNs
  • CE-C05-001: confirmation回数を増やすだけではfatigue/rubber stampを招き、action理解を保証しない。
  • CE-C05-002: 外部送信、公開、削除等は技術的undoがなく、compensationも元状態を完全復元しない場合がある。
  • CE-C05-003: timeout/retryは一回の論理operationを複数side effectへ増幅し得る。
UNKNOWN_IDUNKNOWNCLOSURE CONDITION
UNK-C05-001trusted action summaryのUI有効性・理解率Core field/trust/digestとlocal deception fixtureはbounded close。表示順、timeout、再承認頻度、承認者理解をPM/ORG/human-subject testで測る
UNK-C05-002idempotency非対応toolの安全策local reference profileはbounded close。remote/providerのdedup atomicity・保持・readback・補償能力は各PM/ORGで測る
UNK-C05-003risk tier別human escalation閾値Core判断軸はbounded close。数値・sector rule・owner・SLA・reviewer staffingはORGへ送る

NEXT_PACKET_ACTION: Gemini CORE-05 cycleは公開Product Mapping、組織Overlay、local referenceの境界付きで閉鎖。S063 Frozen TOCのCORE-06へ進み、Core変更時だけCORE-05と先発Gemini mappingを遡及監査する。

Claude Product Mapping delta — 2026-09-09

PM-CLAUDE-CORE-05-v0.1でClaude API client/server tool、Agent SDK permission/hook、MCP connector、tool result、file checkpoint、human escalationを既存Core契約へ対応づけた。承認・tool_use_id・hook・checkpointを外部receipt/readback/rollbackへ昇格しない。issue #36149/#61097/#79032はversion/platform限定またはaddressed済みの履歴として、duplicate dispatch・approval service failureの回帰試験意図にだけ採用した。

既存6 rule・26 assertionsはCOMPILER_EXPERIMENTのまま保持し、Claude実測へ再分類していない。Core claimは不変。live tool/MCP、外部idempotency、current release再現、organization policy、human理解率はQ-PM-C05-CLAUDE-001..004へ残す。Gemini/GPT遡及監査は不要。

Grok Product Mapping delta — 2026-09-12

PM-GROK-CORE-05-v0.1でxAIのclient-side function、server-side tool、default parallel calls、Remote MCP、continuation/compaction、deferred/Batchを既存Core契約へ対応づけた。tool call、provider execution、tool result、external receipt/readback、final acceptanceを分離し、require_approval非対応のRemote MCPや自動実行server toolを業務承認へ昇格しない。

既存6 rule・26 assertionsはCOMPILER_EXPERIMENTのまま保持し、Grok実測へ再分類していない。一般side effectのexactly-once、canonical approval digest、rollback、human escalationは公開資料で閉じず、Q-PM-C05-GROK-001..004へ残す。Core claimは不変で、Gemini/GPT/Claude遡及監査は不要。

  • CORE-05-DOCUMENT-READBACK実装資料実装資料根拠の出所: DOCUMENT_INGESTION_READBACK

    原資料との収録照合

    裏付ける内容
    資料単位の本文ハッシュ、段落数、表数を照合しています。
    確認日
    —
    出典・実験ID
    DOC-083cde4caa627644-CORE-05
    検証箇所
    18WPldGemks2px0ukhKYINeBMrBwAmlAi · 083cde4caa627644036a2225f1f6ff29b8015bd902614fe1f7a00a997b4eb59c · packets/CORE-05.md · bdcd849a633a00a83fcc21c86c6a391504c5632067d5c6ef6db9834e10ae632d
    適用範囲
    公開指定を受けた資料単位の全文・表・出典。
    出典・来歴
    SOURCE_IDENTITY_VERIFIED
    限界
    収録照合は主張の真偽や外部根拠の最新性を追加保証しません。
出典ID
DOC-083cde4caa627644-CORE-05
追跡中のUNKNOWN ID
CORE-05-CURRENTNESS
再確認のきっかけ
原資料の更新 · 参照資料の変更 · 新しい反証・検証記録

機械検査: 通過 — 機械検査の結果です。情報の正確性や実行の承認を保証するものではありません。

    同じ記事IDの機械可読データです。