Brian Kuan氏は、halo-recordという小さなPythonパッケージを開発しました。これはAIエージェントの内部に組み込まれ、ツール呼び出し、モデル呼び出し、データアクセス、承認といったエージェントの動作を記録します。各アクションはファイル内の1行として記録され、そのファイルは追記専用です。さらに各行には、直前の行のハッシュ(内容から算出される短い指紋のようなもの)が含まれています。後からある行を改ざんすると、それ以降のすべての行の指紋が一致しなくなる仕組みです。このコードはオープンソースで公開されており、ログを生成したベンダーの許可も、鍵もアカウントも必要とせず、誰でもこの検証を実行できます。
顧客のセキュリティチームから「あなたのエージェントは我々のデータで何をしたのか」と尋ねられたとき、返ってくる答えが自分自身について書いた一段落の説明文だとしたら心もとないものです。ハッシュチェーンによるログは、その説明文を顧客自身が検証できるファイルに置き換えます。エージェントをラップするのに必要なのはPythonのわずか1行だけで、アダプターはOpenTelemetryのスパン、LangChain、MCPサーバー、ゲートウェイのログから記録を取り込むため、証跡はすでに運用しているツール群から得られます。
生の引数がそのまま記録に入ることはありません。値はハッシュ化され、編集済みの要約として保持されます。この編集処理は、一般的なシークレットや個人データの形式に対するパターンマッチングによって行われます。このパッケージにはランタイム依存関係が一切なく、コード量は約5,300行のPythonにとどまります。これは、レコーダーを自社製品に組み込む際には重要なポイントです。
「何も編集されていない」ことは「何も欠けていない」ことと同じではない
自分自身で保持するチェーンが証明できるのは、記録が書き込まれた後に改ざんや並べ替えがされていないという一点だけです。すべての記録がきちんと書き込まれたことまでは証明できません。都合の悪い火曜日の記録を削除し、チェーンを再封印すれば、ファイルは内部的な整合性を保ったままになってしまいます。
この抜け穴を塞ぐには、運用者の管理下にない第三者による「証人」が必要です。証人は、記録の総数とチェーンの先頭にあるハッシュという2つの数値を定期的に保存します。自分自身で運用する証人は、自分自身に対しては整合性を証明できても、顧客に対しては何も証明できません。ホスト型の証人サービスは、Kuan氏がこの取り組みの資金源にしようと考えている手段でもあります。
編集できないログにベンダーがあえて名乗りを上げる理由
「ベンダーが自発的に参加するのは、それが商談成立につながるからです」とKuan氏はHelp Net Securityに語りました。AIエージェントのベンダーは現在、決定論的なソフトウェア向けに設計された認証や、高額な新しい監査基準、あるいは自社のログを携えてセキュリティレビューに臨んでいます。最後の「自社のログ」について、同氏はこう述べています。「見込み客に自社のログを渡して信用してくださいと頼むのは、保証の世界における最も古い原則を破る行為です。だからこそSOC 2は、そもそもAICPA公認の独立監査人を必須としているのです」
「まだ初期段階です。現在の採用者の多くはエンジニアやセキュリティ研究者で、様子見といった段階ですが、義務化への圧力は形になり始めています。AIUC-1のような基準では改ざん検知可能なランタイムロギングが要求されるようになりましたし、保険会社も同様の質問をし始めています」とKuan氏は述べています。
より強制力の強い圧力もすでに到来しつつあります。「2026年7月に起きたHugging Faceへの侵入は自律型エージェントによって実行されたもので、5日間でおよそ17,600件のアクションが行われました。同社自身のレポートによれば、そのエージェントの行動を手作業で再現することは現実的ではなく、取得できたのはエージェントのログの一部だけだったとされています」とKuan氏は語ります。この数字から単純に計算すると、対応担当者が1分に1件のペースでアクションを確認していったとしても、その週の分をすべて読み終えるには丸12日かかる計算になります。
フォーマットがオープンであることには理由がある
この記録フォーマットは現在Kuan氏が管理していますが、バージョン管理された公開仕様であり、誰でも許可を得ることなく実装できるほどコンパクトです。「大手プラットフォームが独自の互換性のないバージョンを出したとしても、それはむしろ、この証跡というものが重要だと市場が認めている証拠にしかなりません」と同氏は述べています。「正直なところ、このフォーマットが真似されればされるほど良いのです。フォーマット自体は競争優位の源泉ではありませんから。どんな亜種であっても、結局同じ問いに直面することになります。それは、ベンダー以外の誰かがそれを検証できるのか、という問いです」
これによって誰かが「認証」を取得できるわけではありません。しかしEU AI Actの記録保持に関する規定や、Cloud Security AllianceのAARMモデルにおけるアクションレシートと並べて、評価者が実際に検証できる材料をレポートとして提供することはできます。
Halo-recordはGitHubで無料で公開されています。
翻訳元: https://www.helpnetsecurity.com/2026/08/31/halo-record-open-source-ai-agent-audit-trail/
