AIエージェントの実行層(Execution Layer)とは何か

日本語圏の技術コミュニティで、「AIエージェントの実行層」の議論が盛り上がっています。bashをそのまま渡す構成から、許可リストで縛る構成へ。TypeScriptランタイムで型を手に入れ、V8 Isolateでミリ秒起動のサンドボックスへ。「Yes連打」への違和感から始まったこの議論は、エージェント開発の確かな進歩です。

その議論は正しい。ただし、半分だけです。

サンドボックスが守っているのは、実行環境です。あなたのマシン、ホスト、テナントの分離。エージェントが生成したコードが暴走しても、被害をIsolateの中に閉じ込める。それは必要な進化です。

しかし、正規の資格情報を持ったエージェントが本番データベースの削除を提案したとき、ミリ秒で起動するサンドボックスは何もしてくれません。危険はコードが「どこで」動くかにはなかったからです。危険は、その操作が「世界に何をするか」にあります。

ランタイムは、コードが動く場所を統治します。実行層は、操作が本番システムに及ぼす結果を統治します。この記事は、後者の意味での「AIエージェントの実行層」を定義します。

定義

AIエージェントの実行層とは、エージェントの意思決定と、実際のシステムへの操作とのあいだに置かれるインフラです。 エージェントが持つべきでない資格情報を代わりに保持し、エージェント自身には書き換えられないポリシーを強制し、影響の大きい操作を承認権限のある人間へルーティングし、実行の前に復旧経路の存在を検証し、そのすべての証跡を実行と同時に記録します。

一言でいえば、こうです。エージェントが決め、実行層がその先を統治する。

なぜこのレイヤーが要るのか

役に立つエージェントは、必ず最後に実行へ到達します。チケットを閉じる。仕訳を起票する。設定を変更する。返金を実行する。サービスを再起動する。

その瞬間に組織の統制を決めるのは、次の3つの問いであり、どれもモデルの賢さとは関係がありません。

この操作は許可されているか。誰がこの操作に責任を負うか。間違っていた場合、元に戻せるか。

現在の多くの導入では、この3つの答えがエージェントの内側にあります。「破壊的な変更の前には必ず確認せよ」というシステムプロンプト。タスクの範囲を超えて生き続ける広い権限のトークン。自動承認のトグル。いずれも、エージェントが説得され、逸脱し、迂回しうる「指示の層」に置かれています。指示の層に置かれた統制は、指示によって無効化されます。この2年の公開インシデントの記録が、その帰結です。報道によれば、あるコーディングエージェントは本番データベースとそのバックアップを9秒で削除しました。

実行層が存在する理由は単純です。この3つの答えは、エージェントの言葉が届かない場所に置かれなければならない。エージェントの下に。インフラとして。

実行層が担う5つの機能

この連載で1つずつ論じていく機能の全体像です。

実行ポリシー(Execution Policies)。 許可はプロンプトではなくアーキテクチャから来ます。提案されたすべての操作は、エージェントの外側で強制されるポリシーに照らして評価されます。指示は議論の余地がありますが、ポリシーエンジンに議論は通じません。

実行アイデンティティ(Execution Identity)。 すべての操作は、責任を負える主体に帰属します。エージェントは人間の資格情報を借りるのではなく、自分自身として行動します。エージェントがエージェントに委任するときも、権限の連鎖は途切れません。誰の操作か言えないものは、統治できません。

実行リカバリー(Execution Recovery)。 影響の大きい操作は、実行の前に「戻り道」が確認されます。失敗した後ではありません。復旧経路を検証できない操作を、無人で実行させることはありません。

実行検証(Execution Verification)。 「エージェントがやったと言っている」ことが、実行された唯一の証拠であってはなりません。何が提案され、何が許可され、実際に何が起きたかを、実行層が独立に記録します。

実行監査(Execution Audit)。 実行という行為そのものが、ログではなく証跡を生みます。統治されたすべての操作は、その承認、承認者、実行前の状態を伴う記録を、実行の副産物として残します。ログは「起きたこと」を示し、証跡は「統制されていたこと」を示します。

そしてこの5つを人間の側で支えるのが、リスクに比例した承認です。すべてをゲートすれば承認は形骸化し、いわゆる「ラバースタンプ承認」に堕ちます。人間の注意は、それが本当に価値を持つ操作にこそ集中させるべきです。ヒューマン・イン・ザ・ループ(HITL)は設定項目ではなく、アーキテクチャの一部です。

実行層で「ないもの」

サンドボックスやエージェントランタイムではありません。 冒頭のサンドボックスの話です。IsolateやマイクロVMは、エージェントのコードからホストを守ります。必要な技術ですが、守る対象が違います。完全に隔離されたエージェントでも、有効な資格情報を持っていれば本番システムを壊せます。ランタイムと実行層は、競合ではなく直交する関係です。

オーケストレーションフレームワークではありません。 フレームワークはエージェントがどう考え、計画し、ツールを呼ぶかを決めます。実行層は、提案された操作が実システムに触れる瞬間を統治します。フレームワークはエージェントの世界の内側にあり、実行層は外側にある。それが要点です。

監視やAIOpsではありません。 監視は何が起きているかを教えてくれます。実行層は行動そのものを統治します。見ているだけでは足りない、というのが私たちの立場です。

IAMだけでもありません。 IAMは「このアイデンティティに何ができうるか」という静的な問いに答えます。実行層は「この特定の操作を、いま実行してよいか。誰が承認するか。どう戻すか」という、操作ごとの生きた問いに答えます。IAMで十分なら、有効な資格情報を持ったエージェントが本番データベースを消すことはなかったはずです。実際には、起きています。

ガードレールではありません。 コンテンツフィルタや安全プロンプトは、エージェントの発話と判断を、指示の層で整えます。実行層は、指示の層が破られることを前提に設計されます。破られるからです。

TEE(Trusted Execution Environment)ではありません。 TEEはハードウェア分離で計算をホストから守る技術です。実行層はエージェントの操作が他システムに及ぼす結果を統治します。補完的ですが、別の問題です。