今日すでに使えるもの
- Authorization of one exact effect through the MCP service, in public beta: one operation, one authority, one expiry, one use.
- Signed evidence of what was authorized and what the Guardian could establish, verifiable offline with no account.
- Six provider operations, each at an authority the protocol fixes and a caller cannot lower. None is called stable until we publish evidence of 100 real executions against a live provider.
mandate が定めること
エージェントが動き出す前に答える 5 つの問い。
読めない委任は、取り消せない委任です。契約はそれを成果物に変えます。5 つの軸、すべて明示、すべて一緒に署名されます。
何が変わりうるか
各ステップは 1 つの正規の操作と、そこに結び付いた正確なパラメータを名指しします。能力でも、スコープでも、行為の分類でもなく、ダイジェストで識別される 1 つの効果です。
どのリソースに対して
ステップは自らのリソース一覧を持ちます。あるアカウント、ある役割、ある顧客のために承認されたステップが別のものに持ち越されることはなく、Guardian はプロバイダに接触する前に不一致を拒否します。
どれだけの期間
契約には発行時刻と失効があります。その後は新しいステップが送られません。猶予期間はなく、タスクの内側から更新することもできません。
どの承認と、どの予算で
Authority is set per operation by the protocol, not chosen by the caller. The budget is specified as durable and atomic per tenant, task, revision and step: committed means consumed plus anything reserved and still uncertain.
結果をどう確かめるか
アダプタがプロバイダを読み直して、何が起きたかを確立します。タイムアウトは照合され、盲目的に再試行されることはなく、曖昧な結果は成功に切り上げられず不確定のままです。
動き方
見直す
人が mandate を読みます。ステップ、リソース、期間、承認、予算。下書きのあいだは何も動きません。
承認する
承認はリビジョンを固定します。どのステップを変えても、見直すべき新しいリビジョンが生まれます。承認された契約をその場で編集することはありません。
その内側で動く
エージェントがステップを提案します。どれも引き続き、自身の単回使用の Execution Grant と自身の Action Receipt を生みます。契約の外にあるものは拒否されます。
境界を、率直に
mandate がしないこと。
authority の閾値を下げることは決してない
Approving a mandate does not turn a step that needs MFA or quorum into one that does not. Authority is set per operation by the protocol; a longer task does not buy a cheaper approval. Moving money and changing privileges stay outside delegation altogether. The local runtime does not enforce this on its own yet — it is listed among the known gaps in the specification.
再委任はない
1 つの mandate、1 つの Guardian、1 つの予算。契約の内側にいるエージェントがその一部を別のエージェントに渡すことはできず、タスクが 2 つ目の実行点を立てることもできません。
読んだものがそれを広げることはできない
文書、ツールの出力、ウェブの内容、記憶は入力であって、authority ではありません。エージェントが読んだものの中にある指示はデータです。何を主張していようと、契約を拡張しません。
署名された mandate でも有害でありうる
認可は真実も無害性も正しさも証明しません。契約は authority を限定しますが、それを承認したことが良い判断だったことは示しません。
これは誰のためか
危険を負うのは、たいていそのタスクを承認した人ではありません。
エージェントが返金を出し、誰かのアクセスを変え、インフラを書き換えるとき、その結果は顧客、同僚、あるいはその場に一度もいなかった第三者に降りかかります。mandate に意味があるのは、その人たちにも読めるからです。何が変わりうるか、どのリソースに対して、どれだけの期間、そしてうまくいかなかったら何が起きるか。提供者だけが点検できる境界は、提供者を守る境界です。
SecureStamp は行為が何を求めているかを読みます。求めた人が正しいかどうかを判定せず、どの内容が真実かを決めず、使うのに職業上の資格も求めません。ソフトウェアが引き起こしてよいことを限定するのは、誰かが言ってよいことを限定するのとは違います。
予算
A security budget is not billing. It is specified as durable and atomic per tenant, task, revision and step — not a counter in memory and not one per agent. Committed means consumed plus anything reserved whose outcome is still pending or uncertain, so the same grant can never reserve twice; if storage or revocation is unavailable, no new effects are sent. Two parts of this are not in the local runtime yet — a reused task revision can open its own budget, and revocation is optional — and both are listed as known gaps in the specification.
状態
タスクは常にこのうちちょうど 1 つにあり、台帳が記録するのはその遷移です。
- draft
- approved
- running
- paused
- completed
- revoked
- expired
ローカルリーダーがすること、しないこと
ローカルリーダーは、ある要求が何を求めているかを説明します。認可はせず、このプロファイルでは単一の所見、棄権、部分的な読み取りのいずれも、すでに承認され契約の内側にある効果を阻止も失効もせず、追加の承認を強いることもありません。限られた量のテキストに対する規則で動くため、切り詰めと未評価は隠さずに示されます。所見がないことは決して許可ではありません。契約外の効果は、リーダーが何かを見たかどうかに関わらず拒否されます。
証拠の境界
Action Receipt が証明するのは、登録済みの Guardian を通過したものと、その Guardian が確立できた結果です。その経路の外で何も起きなかったことは証明せず、プロバイダアカウントの法的な所有権も確立しません。保証の外にある脅威は匂わせず名指しします。ホストの管理者、侵害された Guardian や署名者、登録された経路の外で取られた行為、観測されないサイドチャネル、そして mandate 自身がすでに許していた害。
状態
This page describes a design. The contract schema exists and a local runtime runs its limits in simulation, with known gaps published in the specification. Execution of a delegated mandate against a real provider has not been evaluated, and until it is, this profile is labelled simulated. We do not extrapolate a result from a mock or from a different connector, and approval fixtures are not real MFA or quorum.
すでに利用可能
Single-effect authorization — one exact effect, one authority, one expiry, one use — is available today through the MCP service, in public beta. Running it against a real provider needs an eligible connector; until a connector clears its release gate, its Guardian runs in sandbox mode.
エージェント向けの Execution Authorization を見る