すべてのエージェント実行が通過すべき8つのゲート

多くのチームは、AIガバナンスを観察するものとして扱っています:ダッシュボード、品質スコア、四半期末に実施する監査。観察は重要ですが、それはアクションがすでに実行された後の話です。その時点では、お金は動き、記録は書かれてしまっています。本当のガバナンスは、その前 — 実行パス上で、アクションが先へ進むために通過しなければならないゲートとして — 行われなければなりません。

Cortex では、すべてのエージェントのアクションが、8つのフェイルクローズドなゲートからなる同じパイプラインを走ります。フェイルクローズドとは、拒否がデフォルトだという意味です:ゲートがアクションを積極的に通過させられなければ、そのアクションは止まります。連なり全体がクリアされるまで、モデルにもツールにも何も届きません。以下がそのパイプライン、順番どおりです。

パイプライン

• 1 — アイデンティティ。これは統制されたエージェントIDであり、有効かつ期限内か。期限切れまたは停止中のIDは、他の何かが動く前に 403 IDENTITY_EXPIRED で拒否されます。
• 2 — 予算。テナントおよびエージェント単位の上限の下に、使える予算が残っているか。上限を超えていれば 402 が返り、実行は始まりません。
• 3 — ガードレール。モデルやツールが目にする前に、プロンプトと入力に対してDLPと安全性のスクリーニングを実施。ブロックされた入力がモデルに届くことはありません。
• 4 — レジストリ。そのスキル、ツール、モデルは登録され、許可され、公開の場合は信頼性の基準を上回っているか。基準未満の公開は 409 RELIABILITY_TOO_LOW で拒否されます。
• 5 — Control Tower。そのエージェントやツールは一時停止、隔離、あるいはキルスイッチの対象になっていないか。一時停止中の対象は、ここで止まります。
• 6 — 実行。モデルとツールへの統制された呼び出しが実際に走ります — ハッピーパスが 200 になる唯一のゲートです。
• 7 — 出力ガード。生成されたアーティファクトを人や下流システムに渡す前に、DLPと安全性のスクリーニングを実施。
• 8 — 監査。結果は署名付きレシートとともに、改ざん検知可能な Trust Ledger に封印されます — 実行は主張されるだけでなく、証明可能になります。

パイプラインの各ボックスは、見ることも制御することもできるガバナンスゲートです。いずれかのゲートが拒否すれば、その実行がモデルやツールに届くことはありません。拒否がデフォルトです。

ポリシーと監督は、その上に重なる

8つのゲートは構造的な下限です。その上には設定可能な2つのレイヤーが重なりますが、これらは判断を厳しくすることしかできず、緩めることはできません。Policy-as-Code はルールを優先順に評価し、最も制限的な効果に解決します — deny が require_approval に優り、require_approval が allow に優ります。高額のアクションは require_approval のルールに触れ、実行される代わりに保留になります:

POST /v1/governance/simulate
  { "context": { "amountUsd": 7000 } }
  -> { "effect": "require_approval",
       "matchedRule": "high-value-payout" }

# amountUsd: 100 で同じ呼び出しを行うと -> "allow"

Oversight Modes は、エージェントにどれだけの自律性を与えるかを決めます — すべてのアクションが保留になる suggest_only から、execute_low_risk を経て、アクション自身のリスク下限だけが保留になる autonomous まで。重要なのは、監督が厳しくする方向のレイヤーだという点です:アクションの高リスク下限は常に尊重され、監督は摩擦を加えることしかできず、取り除くことはできません。

拒否が失敗ではなく機能である理由

拒否されたアクションに実際のステータスコードが返ることは、統制されたランタイムが生み出す最も有用なものです。402、403、409、451 は、正直で機械可読な判定です:このアクションは止められた、理由は正確にこれだ、そしてそれを証明する記録がここにある。企業を苦境に陥れるのは、黙って通ってしまう方 — 実行されるべきでなかったのに実行され、示せるものが何も残らないアクションです。

すべての実行が同じ8つのゲートをクリアし、すべての判定が台帳に残るとき、ガバナンスは四半期ごとの監査であることをやめ、システムの性質になります。エージェントが正しく振る舞ったことを期待する必要はありません。そうせざるを得なかったことを、ゲートごとに示せます。