エージェントの副作用・復旧・人への引継ぎ

Source SHA-256 82495ee4d5c8d4fab40603cc581785f234a1cb11dfa8abfc79a9f49d47229ed6

PACKET_ID: PKT-GEMINI-A-CORE-05-v0.1

SECTION_ID: CORE-05

WAVE: WAVE-A

LAYER: ENTERPRISE_AI_CORE

STATUS: GEMINI_CYCLE_BOUNDED_CLOSED_V0.3

AS_OF: 2026-09-06

DEPENDENCIES: CORE-01, CORE-03, CORE-04

FROZEN_TOC: S063 v0.1

CORE-05は、AIが外部状態を変更する前後のread/write境界、permission scope、dry-run、confirmation、idempotency、compensation、undo、human escalation、action evidenceを定義する。目的は「人が承認した」「toolがsuccessを返した」を安全・完了とみなさず、意図した対象・操作・差分と外部最終状態を照合し、失敗時に停止・修復・引継ぎできる実行契約を作ることである。

含まない:

• task/checkpoint/completionの基本定義（CORE-01）

• pipeline/retry stage/transactionの一般設計（CORE-03）

• model/tool/source/state route選定（CORE-04）

• prompt injection攻撃面の網羅（CORE-10）

• incident response全体（CORE-12）

• provider固有agent/action/approval UI、権限、audit event（Product Mapping）

• 組織のrisk閾値、承認者、許可system、保持値（Organization Overlay）

• CLAIM_ID: CLM-C05-001; CLAIM: read/draftとwrite/send/delete/shareを別operation classにし、write前に明示境界を置く; EVIDENCE CLASS: INTERNAL_DIRECT + CONTRACT; CURRENT SUPPORT: S018 59978–60825; S056 405250–406267; STATUS: DIRECT_SPAN_BOUND

• CLAIM_ID: CLM-C05-002; CLAIM: permissionはtool利用可否だけでなくprincipal/resource/operation/condition/time/delegationへscopeする; EVIDENCE CLASS: RESEARCH + SYNTHESIS; CURRENT SUPPORT: S026 96739–97237; S027 102536–102680; OWASP ACS 2026-09-01; STATUS: EVIDENCE_BOUND

• CLAIM_ID: CLM-C05-003; CLAIM: dry-runは実行予定target、arguments、差分、blast radius、検証法を生成し、実行と同じcanonical operationから派生させる; EVIDENCE CLASS: CONTRACT + DIRECT_SPAN; CURRENT SUPPORT: S018 60562–60880; S054 382862–382961; local fixture; STATUS: CORE_BOUNDED

• CLAIM_ID: CLM-C05-004; CLAIM: confirmationは実行直前のtrusted/versioned action summaryへbindし、対象・差分変更時は失効させる; EVIDENCE CLASS: SECURITY + HUMAN_FACTORS + CONTRACT + LOCAL_FAULT; CURRENT SUPPORT: OWASP Lies-in-the-Loop; Microsoft HAI G9/G10/G16; EU AI Act Art.14; TST-C05-05/07; STATUS: CORE_BOUNDED_LOCAL_PASS / UI_EFFECTIVENESS_UNKNOWN

• CLAIM_ID: CLM-C05-005; CLAIM: model/toolのsuccess発話を完了とせず、external receiptとfinal-state readbackを要求する; EVIDENCE CLASS: INTERNAL_DIRECT_CARRY + FAILURE_CARRY; CURRENT SUPPORT: CORE-01 CLM-C01-005; CORE-03 cancel/commit profile; STATUS: EVIDENCE_CARRY

• CLAIM_ID: CLM-C05-006; CLAIM: retry可否はoperation identity、idempotency key、parameter digest、dedup保持期限、observed external state、attempt historyから決める; EVIDENCE CLASS: OPERATIONAL_PRACTICE + PINNED_LOCAL_CARRY; CURRENT SUPPORT: AWS Builders' Library; Stripe idempotency docs; CORE-03/04 profiles; STATUS: EVIDENCE_BOUND

• CLAIM_ID: CLM-C05-007; CLAIM: idempotency非対応toolへblind retryせず、readback、single-flight、dedup ledger、manual reconciliationのいずれかへ縮退する; EVIDENCE CLASS: OPERATIONAL_PRACTICE + COUNTEREVIDENCE + LOCAL_FAULT; CURRENT SUPPORT: AWS retry semantics; ADK #6732; CE-C05-003; TST-C05-08/09; STATUS: CORE_BOUNDED_LOCAL_PASS

• CLAIM_ID: CLM-C05-008; CLAIM: compensationはforward実行前に登録し、実行後に結果をread backする。ただし元状態への完全復元は別検証とする; EVIDENCE CLASS: OSS_PATTERN_CARRY + LOCAL_FAULT; CURRENT SUPPORT: CORE-03 Temporal/LangGraph evidence; TST-C05-10; STATUS: CORE_BOUNDED_LOCAL_PASS / REMOTE_UNKNOWN

• CLAIM_ID: CLM-C05-009; CLAIM: undo可否はoperationごとにNONE/PARTIAL/FULL/UNKNOWNと期限・副作用を記録し、UI上のundo存在を完全回復とみなさない; EVIDENCE CLASS: DIRECT_SPAN + COUNTEREVIDENCE; CURRENT SUPPORT: S018 59092–61076; CE-C05-002; STATUS: DIRECT_SPAN_BOUND

• CLAIM_ID: CLM-C05-010; CLAIM: human escalationには停止理由、現在のcommit state、証拠、残留risk、安全な選択肢、期限、ownerを渡す; EVIDENCE CLASS: STANDARD + RESEARCH + DEPENDENCY; CURRENT SUPPORT: EU AI Act Art.14; NIST AI 600-1; S051/S055/S056; CORE-01/03; STATUS: CORE_AXES_BOUNDED / ORG_THRESHOLDS_UNKNOWN

• CLAIM_ID: CLM-C05-011; CLAIM: action evidenceはproposal、approval、attempt、receipt、readback、acceptanceを分離し、同一request/operation IDでjoinする; EVIDENCE CLASS: DIRECT_SPAN + FAILURE_SIGNAL + CONTRACT; CURRENT SUPPORT: S019 65120–66277; ADK #6732; CORE-01/03/04; STATUS: EVIDENCE_BOUND

Primary manifestはS005/S006/S007/S018/S019/S022/S026/S027/S029/S031/S040/S041/S051/S052/S054/S055/S056/S063。Google Doc 1w88Q77mHlXsYm22v6VtwKeX-G-WkMwQAAIdje4DxLKc のrevision ANLCKQlY-J2cMBi8grqzT6xr8lijnDfdK21uyia96W5USYaomwphSxsvdaSUmm4XOWvBVMAJ7AzV7H7KKg2neXpB6yTTdJIsQZD_svTbbrsoから、S005 9742、S007 12004、S018 58796、S019 62829、S026 94967、S027 101565、S051 342077、S052 351854、S054 375973、S055 387712、S056 402411を起点とするclaim-level spanを直接回収した。S028/S053/S057の開始indexで終端を固定し、manifest要約を直接spanの代用にしていない。

• CORE-01: runtime terminal、agent発話、business acceptanceを分離し、artifact/external stateのreadbackを要求する。

• CORE-03: cancel/timeout後もexternal commitが残り得る。blind retryは重複を生み、事前登録済み補償とreadbackが必要。

• CORE-04: required execution capabilityを失うfallbackはsilentに継続せず、read-only/manual/abstainへ縮退する。

数値閾値、対象人数、金額、risk scoreはOrganization Overlayへ送る。

SUBJECT / DELEGATOR / RESOURCE_SET / OPERATION_SET / ARGUMENT_CONSTRAINTS / DATA_CLASS / ENVIRONMENT / VALID_FROM / EXPIRES_AT / MAX_USES / APPROVER / REVOCATION / POLICY_VERSION

credential所持を包括権限とみなさず、task-scoped grantを既定にする。A0からA2以上への昇格、resource/recipient変更、期限切れ、policy version差は再認可を要求する。

承認表示はuntrusted sourceやmodel生成Markdownをそのまま描画して作らない。trusted rendererがcanonical operationから、少なくともoperation / target / recipient / argument diff / blast radius / irreversible or secondary effects / verification / safe alternativesを生成し、attacker-controlled proseと視覚的に分離する。承認後にtarget、argument、source snapshot、operation versionが変わった場合、旧承認を再利用しない。承認回数の多さ、dialogの存在、利用者のクリックを「理解した」証拠にはしない。

idempotency keyは単なるparameter hashとしない。同じ引数で別resourceを二つ作る正当な意図があり得るため、callerがoperation identityを明示する。keyとmutationの記録は可能なら同じatomic boundaryへ置き、同一keyでparameter digestが変われば実行せずmismatchとする。dedup retentionを過ぎたkey再利用、late arrival、他actorによる中間変更では「同じ応答」と「現在状態」が乖離し得るため、receipt再利用後も必要なfinal-state readbackを省略しない。

REQUEST_ID / OPERATION_ID / ATTEMPT_ID / CONTRACT_VERSION / PRINCIPAL / DELEGATOR / RESOURCE / OPERATION / ARGUMENT_DIGEST / SOURCE_SNAPSHOT / RISK_LEVEL / PERMISSION_DECISION / ACTION_SUMMARY_DIGEST / APPROVAL_ID / APPROVED_AT / IDEMPOTENCY_KEY / PRE_STATE_DIGEST / EXECUTION_STARTED_AT / TOOL_RESPONSE / EXTERNAL_RECEIPT / COMMIT_STATE / READBACK / POST_STATE_DIGEST / COMPENSATION_ID / UNDO_STATE / VERIFIER_RESULT / FINAL_ACCEPTANCE / ESCALATION_ID / INCIDENT_ID

tool response、receipt、readback、acceptanceは別fieldとし、receipt欠落を未実行、success文字列を完了とみなさない。

• hallucinated completion: receipt/readbackなしではEXECUTION_UNVERIFIED。

• wrong target/recipient: confirmation digest mismatchで実行前停止。

• duplicate action: same operation key/readbackで既存receiptを返し再実行しない。

• over-permission: requested resource/operationがgrant外ならdeny。

• poisoned argument: untrusted source内の命令をaction argumentへ昇格しない。

• failed rollback/compensation: RECOVERY_FAILEDとして追加実行を止め、外部残留状態を提示。

• hidden harmful action: action summaryに現れないside effectを許可しない。

• S018はpre-action confirmation/policy approvalとpost-action undo/manual repairを時間軸で分離し、Calendar eventの主状態を戻せてもguest notification等のsecondary effectが残り得ることを示す。したがってsummaryは主操作だけでなく二次影響と回復限界を含む。

• OWASP Lies-in-the-Loopは、untrusted文書・issue・email等がdialog padding、Markdown/HTML、action descriptorを汚染し、人を有害操作へ誘導できる攻撃classを示す。Core要件は「modelが正直に要約する」ではなく、canonical fieldsをtrusted rendererで生成・sanitizeし、untrusted proseをauthorityにしないことである。

• MicrosoftのHuman-AI Interaction guidelinesは、誤り時のefficient correction、uncertain goal時のdisambiguation/degradation、user actionのconsequence提示を要求する。これは最小summaryのdiff / alternatives / consequence / recoveryを支持するが、高risk専用UIの有効性を保証しない。

• EU AI Act Article 14はhigh-risk AI限定で、risk・autonomy・contextに応じたoversight、automation biasへの認識、override/reverse、safe-state stopを要求する。法的適用範囲を一般業務へ拡張せず、Coreの軸だけに採用する。

決定: UNK-C05-001はCoreのfield set、trust boundary、digest失効挙動までbounded close。local deception profileでは、untrusted HTML/recipient差替え/長文paddingをtyped fieldから隔離し、target・arguments・source snapshot変更の旧承認再利用を拒否した。理解率、実画面の表示順、timeout、再承認頻度、承認者資格はPM/ORGまたはhuman-subject testのUNKNOWNとして残す。

• AWS Builders' Libraryはcaller-provided request IDを推奨し、key記録と全mutationをatomicに扱えない場合のtoken-only/resource-only残差、late arrival、same-key/different-intent、retention期限を明示する。

• Stripeの現行API referenceは、同一keyの最初のstatus/bodyを失敗を含め再利用し、parameter不一致をrejectし、keyを24時間以上でprune可能とする。これは一つの実運用契約例であり、全toolの保証や普遍保持時間へ一般化しない。

• ADK issue #6732は2.7.0＋Postgres session＋parallel gated/ungated条件で、承認済み破壊的toolが実行済みなのに結果履歴が欠け、空応答により利用者がretryし得るfailure signalを報告する。open issueのため、現行全versionや単一tool confirmationへ一般化しない。

決定: operation ID + parameter digest + atomic dedup/mutation where supported + attempt history + receipt + source-of-truth readback + no blind retry on COMMIT_UNKNOWNをCore最小profileとする。local fault profileでは、response-loss後のblind retry重複を対照再現し、同一operation dedup、parameter mismatch停止、single-flight、retention期限後readback、late arrival検出、事前登録補償と補償失敗残差を26/26で確認した。UNK-C05-002はprovider-neutral local reference範囲でbounded closeし、remote/distributed、provider固有key保持、外部systemの補償可能性はPM/ORG UNKNOWNへ送る。

• NIST AI 600-1はoversight責任、独立評価、context代表性、human-GAI outcomeの継続監視、override事例、incident response/recovery/deactivation criteriaを別々に扱う。

• EU AI Act Article 14はhigh-risk AIのoversightをrisk、autonomy、contextへ比例させ、能力限界理解、異常検知、automation bias、override、safe stopを列挙する。

• S051はapprovalの存在ではなくerror catch、rubber stamp、escalation appropriateness、human-introduced regressionを測るよう要求し、S052はirreversible side effect、approval handling、repair cost/監督時間をagent評価へ入れる。S055/S056はrisk、reversibility、side effect、approval、rollback、HUMAN_ESCALATIONをCore/PM/ORGへ分離する。

決定: Core軸をreversibility / externality and blast radius / autonomy / uncertainty and evidence quality / data-recipient sensitivity / commit observability / recovery readiness / time criticality / reviewer competence and independenceとする。金額、人数、risk score、sector rule、owner、SLAはOrganization Overlayへ残す。

tests/CORE-05_action_safety_contract_fixture_v0.1.pyは基本6 ruleを検査する。tests/CORE-05_approval_nonidempotent_fault_v0.1.pyはQ-C05-001/002の残差を26 assertionsで検査し、連続2回で同じresult hashを得た。いずれもprovider/tool/tenant、実メール・calendar・document・ACLを操作せず、製品保証には昇格させない。

• CE-C05-001: confirmation回数を増やすだけではfatigue/rubber stampを招き、action理解を保証しない。

• CE-C05-002: 外部送信、公開、削除等は技術的undoがなく、compensationも元状態を完全復元しない場合がある。

• CE-C05-003: timeout/retryは一回の論理operationを複数side effectへ増幅し得る。

NEXT_PACKET_ACTION: Gemini CORE-05 cycleは公開Product Mapping、組織Overlay、local referenceの境界付きで閉鎖。S063 Frozen TOCのCORE-06へ進み、Core変更時だけCORE-05と先発Gemini mappingを遡及監査する。

PM-CLAUDE-CORE-05-v0.1でClaude API client/server tool、Agent SDK permission/hook、MCP connector、tool result、file checkpoint、human escalationを既存Core契約へ対応づけた。承認・tool_use_id・hook・checkpointを外部receipt/readback/rollbackへ昇格しない。issue #36149/#61097/#79032はversion/platform限定またはaddressed済みの履歴として、duplicate dispatch・approval service failureの回帰試験意図にだけ採用した。

既存6 rule・26 assertionsはCOMPILER_EXPERIMENTのまま保持し、Claude実測へ再分類していない。Core claimは不変。live tool/MCP、外部idempotency、current release再現、organization policy、human理解率はQ-PM-C05-CLAUDE-001..004へ残す。Gemini/GPT遡及監査は不要。

PM-GROK-CORE-05-v0.1でxAIのclient-side function、server-side tool、default parallel calls、Remote MCP、continuation/compaction、deferred/Batchを既存Core契約へ対応づけた。tool call、provider execution、tool result、external receipt/readback、final acceptanceを分離し、require_approval非対応のRemote MCPや自動実行server toolを業務承認へ昇格しない。

既存6 rule・26 assertionsはCOMPILER_EXPERIMENTのまま保持し、Grok実測へ再分類していない。一般side effectのexactly-once、canonical approval digest、rollback、human escalationは公開資料で閉じず、Q-PM-C05-GROK-001..004へ残す。Core claimは不変で、Gemini/GPT/Claude遡及監査は不要。