モデル／Prompt／Agent 成果物 Registry

AIの成果物レジストリは、モデル、プロンプト、エージェントの実行定義を識別し、評価や承認の記録と結び付けて利用先へ渡す管理面である。ファイルを置くことだけでは足りない。「何を評価したか」「何を承認したか」「実際に何が読み込まれたか」を同じ識別子へ結び付けることが目的になる。レジストリを導入しても、登録物の品質、データ利用権、ツール操作の安全性が自動的に保証されるわけではない。

モデルの重みを保存する場合と、外部モデルAPIの名前だけを登録する場合は、再現性の範囲が違う。後者は外部提供者が公開する版情報、設定、取得時刻を残せても、重みの不変性を自社で検証できないことがある。これを「モデル全体の保管」と表現しない。

プロンプトは本文に加え、テンプレート変数、出力スキーマ、推奨モデル設定、利用上の制約を持つ。エージェントは、実行コード・依存ライブラリ、プロンプト、モデル、ツール定義、認可ポリシー、検索先への参照が組み合わさる。単一のZIPだけでなく、依存物の版と関係を解決できる構造が必要になる。検索文書や秘密情報を無条件に同梱するのではなく、管理境界、参照先、保持責任を分ける。

ここで示す横断的な登録項目は設計提案であり、一製品がすべて同じ形式で実装するという意味ではない。

MLflowのPrompt Registryは、不変のプロンプト版と、版への可変エイリアスを区別する。[S1] Model Registryにもモデル版を参照するエイリアスがある。[S2] 「productionを評価した」という記録だけでは、後日にポインタが変更されたとき、当時の実体を特定できない。評価時と昇格時には参照を解決し、その結果を保存する。

エイリアスの変更だけで迅速に昇格できることは利点だが、依存の一部分だけが進む危険もある。たとえばエージェントの出力パーサが旧JSON形式を期待する一方、プロンプトのproductionだけが新形式へ変わると、個々の登録物が正常でも連鎖は失敗する。対策は、互換性を評価した組合せのリリース定義を作り、配備先がその定義から全参照を解決すること。複数の独立したエイリアスを順次書き換える場合には、部分適用時の挙動と復旧手順も設計する。

登録時には形式、必要ファイル、ハッシュ、利用許諾、秘密情報混入を検査する。形式検査を通過した状態と、業務利用を承認された状態を区別する。評価結果には入力集合と評価器の版、失敗例、利用可能な範囲を含め、内容のハッシュへ紐付ける。評価後に内容を上書きできれば承認の意味が崩れるため、承認対象は不変の版とする。

昇格時には、申請者と承認者の権限、対象環境、期限、依存物の利用可能性を確認する。取得側は登録された名前だけでなく、解決した版と取得物のハッシュを照合し、起動記録へ残す。ランタイムが参照や内容をキャッシュする構成では、ポインタ変更直後にすべての実行が切り替わるとは限らない。更新方式、キャッシュの失効条件、稼働版の読戻しを、実装に応じて確認する。

実行中のエージェントが途中で別版を読み込むことも避けたい。長い処理では開始時にリリース定義を固定し、後続ステップにも引き継ぐ設計を検討する。ただし脆弱性対応や権限失効を、その固定を理由に無期限に延期しない。緊急停止や再認可を行う制御は、通常の版固定とは別の運用責任として定める。

SLSAの来歴は、生成物とその作成過程を追跡する情報である。[S3] ハッシュが一致しても、その生成物が安全なコードであること、学習データの権利が適切であること、回答が正しいことまでは分からない。署名を用いるなら、誰の鍵を信頼するか、検証をどこで強制するか、鍵失効後に何を拒否するかを決める。署名ファイルを置くだけでは取得側の検証にならない。

機密プロンプトを誰でもダウンロードできるレジストリへ集約すれば、監査可能性は上がっても漏えい範囲が広がる。登録、承認、取得、削除の権限を分け、用途ごとのアクセスと監査ログを設計する。プロンプトにAPIキーを埋め込まず、実行時に適切な権限で秘密管理先から取得する。ログや評価データにも、プロンプトと同じ機密性が及ぶ場合がある。

誤った版を昇格した場合、以前のポインタへ戻す操作と、実行環境が以前の内容を取得して稼働することを区別する。復旧対象の依存物が削除されている、外部モデルが廃止されている、データ形式が変わっている場合には単純復旧できない。保持期限、依存物の保全、実際の取得試験、互換性検査を事前に行う必要がある。

一方、全ての実験を永続登録すると、探索の速度と管理コストが悪化する。短期実験と、他者が再利用する版、業務配備の承認版では保持と検査の強度を変えてよい。ただし配備したものを後から特定できない状態は避ける。「統合レジストリ一つに集約すること」自体が目的ではなく、複数の保管先をまたいでも参照と承認の対応を追えることが重要である。

• 利用する製品のエージェント成果物形式、認証方式、署名検証、削除・保持条件、依存解決の原子性は未確定。
• 実レジストリへの登録、エイリアス切替、取得ハッシュ検証、キャッシュ失効、緊急失効・復旧の試験はNOT_RUN。
• 旧EA-263退避記録は所在調査のみ。既存の完成候補は確認できず、本候補は独立した記事・パッケージとして監査に渡す。

「登録物の版、来歴、評価、承認、実際の取得物を結び付ける基盤として利用できる」。一方、「登録済みだから安全」「エイリアス名が同じなら内容も同じ」「ハッシュ一致で業務品質まで証明済み」とはしない。

2026-10-20に一次資料を確認。横断設計と事例は本稿の提案。

• [S1] MLflow Prompt Registry: https://mlflow.org/docs/latest/genai/prompt-registry/ （版・エイリアス・メタデータ）
• [S2] MLflow Model Registry: https://mlflow.org/docs/latest/ml/model-registry/ （モデル版とエイリアス）
• [S3] SLSA v1.2 Provenance: https://slsa.dev/spec/v1.2/provenance （生成過程の追跡）
• 歴史的所在記録: https://docs.google.com/document/d/1Vd0BP7G2UyPDRQs_-8dPvTgQ78Tk6kcVGuMJjqNdr84/edit 、tab=t.0、EA-263 indexes 17914–18233。現行契約: TASK_BODY!A53:I53、v8.1-bridge-transport-exact-20261020。