OpenAI / GPT：エージェントの副作用・復旧・人への引継ぎ

Source SHA-256 52ec16c371abc0775bb2ce0a3f38dda6c18089f22059e3790134b6e31867f5a0

PRODUCT_MAPPING_ID: PM-GPT-CORE-05-v0.1

AS_OF: 2026-09-09

STATUS: PUBLIC_MAPPING_BOUNDED_COMPLETE / LIVE_AND_ORG_RESIDUALS

LAYER: PRODUCT_MAPPING

CORE: packets/CORE-05.md — unchanged

Source: OpenAI, Human-in-the-loop, https://openai.github.io/openai-agents-python/human_in_the_loop/ ; accessed 2026-09-08; sections Marking tools that need approval / How the approval flow works / Automatic approval decisions / Long-running approvals. New source EXT-C05-001.

Source reuse: EXT-C04-015, OpenAI, Models, https://openai.github.io/openai-agents-python/models/ ; accessed 2026-09-08; Runner-managed retries / Safety boundaries, response_started / replay_safety / stateful_request / approve_unsafe_replay.

既存release anchor v0.22.0 / 4df9ecfは履歴として保持するが、上記rolling docsの全挙動が当該packageに存在するとは未確認。固定版code照合はRECOVERY_ACTIVE。現在版保証とは表記しない。

• AUX-AUD-20260908T2020-01: scopeが現在のCORE-05開始点と一致。AUD-C05-010としてcoverage残差を採用。

• AUX-Q-20260908T2020-01 → Q-PM-C05-GPT-001: approval mappingは部分採用。UI effectivenessとfixed-version implementationは未閉鎖。

• AUX-Q-20260908T2020-02 → Q-PM-C05-GPT-002: model replay/tool idempotencyの分離を採用。

• AUX-Q-20260908T2020-03 → Q-PM-C05-GPT-003: permission / trajectory / external final-stateのsurface別照合を次単位へ。

• AUX-E-20260908T2039-01 → EXT-C05-001: 原典直接readback後に採用。

• AUX-E-20260908T2039-02 → EXT-C04-015再利用: 重複sourceを発番せず、CORE-05 relationを追加。

通信locator: https://drive.google.com/file/d/1xd19BGqlA1fYuCkX5UQTbM3xklW6h0i9/view (modified 2026-09-08T11:40:03.525Z); https://drive.google.com/file/d/17B5Gyqnsy8IwVMLlUsTEnfgoTi_5rkb7/view (modified 2026-09-08T11:45:07.032Z)。

補助通信は発見経路・採否記録であり、外部claimの引用終端ではない。通信自体は変更していない。

Q-PM-C05-GPT-003から、GPT Actions / hosted MCP / Agents SDKのpermission・audit/trajectory・final-state境界を原典照合する。dry-run parity、malicious content、approval deception、undo/compensationはCore test intentを保持し、製品での対応可能性は未確認。固定版実装・関連issueの照合も残る。

Evidence origin / execution

原典確認日: 2026-09-08。rolling仕様であり固定SDK版の実装証明ではない。

Q-PM-C05-GPT-003は公開Actions/MCP surfaceのみ部分解決。SDK tracing、固定版code parity、issue照合、実機適用は継続。新規実測なし。

本研究の既存CORE-05 local fixtureとuser実測の帰属を変更していない。今回は新規試験・再実行・provider API・tenant・業務操作なし。公開資料readbackのみ。

Core変更なし、Gemini遡及監査不要。Organization Overlayのapprover、許可tool、retention、SLA、数値閾値はUNKNOWN。

本packet全体の完了判定および全体公開gateは開けない。

固定対象: openai-agents-python v0.22.0 / release commit 4df9ecf / RunState schema 1.16。確認日は2026-09-09。

• CLAIM: PM-C05-GPT-006; SOURCE: EXT-C05-004; EXT-C03-014 reuse; FIXED-VERSION FINDING: v0.22.0のHITL文書とrun_state.pyは、tool-call interruption、call別approve/reject、run内sticky decision、serialized approvals/tool invocations/hosted MCP approvals、canonical tool invocation identity、hosted MCPのserver label分離を実装・文書化; LIMIT / DISPOSITION: 固定版parityを確認。call identity／schema persistenceは本研究のcanonical operation digest、承認者理解、business authorization、外部commit証明ではない

• CLAIM: PM-C05-GPT-007; SOURCE: EXT-C05-005; EXT-C03-014 reuse; FIXED-VERSION FINDING: v0.22.0 tracing文書はrunner/model/tool/guardrail/handoff spans、trace/group/parent IDs、非同期batch exportと明示flush、sensitive-data capture control、custom processorsを記述。OpenAI tracingはZDR組織では利用不可; LIMIT / DISPOSITION: trajectory evidenceの固定版surfaceまで確認。trace/spanは外部systemのreceipt/readback/commit、改ざん不能な監査保管、tenant retentionを証明しない。入力・出力取得はprivacy riskにもなる

固定版照合によりQ-PM-C05-GPT-001のcode parityとQ-PM-C05-GPT-003のSDK tracing残差は閉じた。Q-PM-C05-GPT-002の外部tool idempotency、dedup retention、receipt、compensation、exactly-onceと、全問いのlive tenant／human effectiveness／organization値は、公開SDK証拠では閉じない。これは欠落ではなくscope routingである。

Actions、hosted MCP、Agents SDKは別surfaceとして保持する。approval interruption、model replay protection、trajectory trace、external final-state evidenceを相互代用しない。dry-run parity、malicious external content、approval deception、undo/compensationについて、現行公開証拠から一様なGPT製品保証は確認できないためCore test intentと明示的UNKNOWNを維持する。

公開Product Mappingは境界付き完了。新規provider/API/tenant/tool/external-system実行はなく、既存local/user実測の帰属も変更していない。Core claimは変更していないためGemini遡及監査は不要。次はPM-GPT-CORE-06へ進み、CORE-05のlive/Organization residualsは同packetへ持ち込まない。