Tracekit MCP gateway

エージェントがしてはいけないことをしたとき、知りたいのは 3 つです。何をしたのか、許可されていたのか、そして記録を信頼できるのか？ エージェント自身のログでは、3 つ目には答えられません。エージェントがログを編集できるからです。ある実行を、2 つの方法で記録した例を紹介します。

_{同じ実行を記録しています。データベース、署名者、ビューアー、2つの編集は実物で、モデルはスクリプトで動作します。音声付きで視聴（1:47）}

このデモでは、署名者はエージェント自身のユーザーとして実行されていました（開発モード）。そのため、方法を知っているエージェントであれば、キーを読み取ってログに再署名できた可能性があります。署名者をエージェントがアクセスできない場所で、証人とともに実行すれば、それはできません。

試してみる

uvx --from tracekit-ai tracekit demo --server

API キーは不要で、uv でインストールするものもありません。キャッシュが空の Mac では5秒かかりました（新しい仮想環境で pip install tracekit-ai を実行した場合は10秒です）。パッケージ名は tracekit-ai です。PyPI の tracekit は無関係なプロジェクトです。スクリプト化されたエージェントが3回呼び出しを行い、次のように表示されます。

== agent run (SCRIPTED: fixed tool calls, not a model)
  Bash 'ls': allow
  Bash 'sudo rm -rf /': deny TK-D001 TK-D004 TK-F003
  Bash 'echo "unterminated': ask TK-SHELL-PARSE
...
Integrity: VERIFIED.

== tamper test: rewrite the denied call as allowed in a copy, then verify again
[FAIL] signatures — 11 record(s), keys valid at their position
        seq 4: hash does not match the event
Integrity: FAILED.

削除は実行前に拒否され、保留された呼び出しは承認後に実行され、実行は検証されました。その後、デモではコピー内で拒否を許可に書き換えたため、変更されたレコードの箇所で検証に失敗しました。

エージェントに追加する

3行です。

pip install tracekit-ai

import tracekit; tracekit.instrument()     # the first line of your agent; then run it as usual

tracekit last                               # Integrity: VERIFIED. / Assurance: dev; ...

tracekit.instrument() は開発用署名者を起動（または実行中のものを再利用）し、検出したフレームワークのすべてのツール呼び出しとモデル呼び出しを制御・記録します。tracekit last は最新の実行をエクスポートして検証し、その保存先を表示します。tracekit view --dev はすべての実行を表示します。クリーンなマシンで LangGraph の例（モックモデル、API キー不要）をインストール、実行、検証するまでにかかった時間は27秒でした：examples/v2/clean-machine.sh langchain。

tracekit demo --server                # exit 0
tracekit demo --why                   # exit 0
tracekit init --dev --v2

tracekit verify docs/sample/demo-run.tkb --key docs/sample/signer.pub            # exit 0
tracekit verify docs/sample/demo-run-tampered.tkb --key docs/sample/signer.pub   # exit 1

3つの保証があります。相互に関連していますが、どれか1つでほかの保証も得られるわけではなく、それぞれに異なる要件があります。

制限事項

• 開発モードでは、自分と同じ権限で動作するエージェントから何も保護されません。 開発モードの実行では isolation: same-user と表示されます （FAQ）。
• 検証済みの実行で証明できるのは、記録が完全であることだけです。 意図や、報告されたツールの結果が真実であること、すべてのアクションが記録されたことは証明できません （FAQ）。
• キャプチャ経路の外で行われたアクションは記録に残りません。 たとえば、フックが検知しないサブプロセスや、アダプターを経由しないコードです （アダプター）。
• ポリシールールはテキストとツール名に一致します。 強い意志を持つエージェントはコマンドの表現を変えられます。保護を担うのは署名者の隔離です （ポリシーリファレンス）。
• コミットメントで隠せるのは内容だけであり、タイミング、サイズ、件数は隠せません （プライバシー）。

開発モードからエージェントが到達できない署名者まで、デプロイごとの保証： 保証。各制限事項とその対処方法： 制限事項。EU AI Act、 ISO/IEC 42001、NIST AI RMF、OWASPとの対応： コンプライアンス。

含まれるもの

署名者は1つです。中核機能は安定しており、最優先で強化されています。それ以外は実験的な機能として同じパッケージに含まれています。動作し、テスト済みですが、リリースごとに変更される可能性があります（安定している機能）。

検証結果

独自に実施した実験です。小規模かつ合成データを使用し、すべて自分たちで作成しました。数値を丸めてはいません。失敗もそのまま掲載しています。

E1で検知できなかった2件は、設計上の限界です。ログは自分自身の末尾が切り取られたことを検知できず、鍵を持つ者は再署名できます。これらを検知できるのは、別の場所に保持されたヘッドのコピーである証人だけです。そのため、証人のない実行はdevとして検証されます。テストセットは自分たちで作成したもので、脅威モデルはまだ外部の誰にもレビューされていません。各実験と、測定していない項目については、評価 · 技術レポートをご覧ください。

仕組み

• エージェントが署名鍵を保持することはなく、シーケンス番号を割り当てることもありません。
• 各レコードには署名が付与され、その直前のレコードのハッシュが含まれます。そのため、1バイトでも変更されると、該当レコードで検証に失敗します。
• エージェント自身が報告する内容は一切信頼されません。隔離状態、障害時の動作、欠落、呼び出しの承認者も対象です。
• ログを書き換えられる者によって、実行の価値が決まります。そのため、署名者はエージェントがアクセスできない場所に配置してください。エージェントのコードはどのモードでも同じです。TRACEKIT_SIGNERで署名者を指定します。

署名者を実行する運用担当者は、自身の鍵を使ってログを書き換えることができます。独立した証人とモニターを設ければ、そのことを検出できます。各モードのエンドツーエンドの説明はこちらです：デプロイ。 モデル全体については、アーキテクチャ、 ノートPCおよび サーバーの脅威モデルをご覧ください。

あなたに適していますか？

プロトタイプのデバッグには、OpenTelemetry、Langfuse、LangSmithなどのトレーサーが適しています。Tracekitはそれらに取って代わるものではありません。エージェントを信頼していない相手にも渡せる記録を提供します。トレーサー、ガードレールライブラリ、その他の改ざん検知可能なログとの比較や、Tracekitが適さないケースについては、比較をご覧ください。

私たちと一緒に試験導入する

顧客、監査担当者、保険会社など、承認を行う人がいる環境で、実システムを操作するエージェントを運用していますか？2週間、無料でTracekitのセットアップをお手伝いします。お客様のマシンで、1つのエージェントを対象に実施します。終了時には、各実行の検証済み証拠ファイルと、エージェントが行った予想外の動作に関する書面でのレビューをお渡しします。 [email protected]にメールするか、 試験導入をリクエストしてください。

コマンド

tracekit demo --server                      # allow, deny, approve, then a tampered copy fails verification
tracekit up                                 # start the dev signer, or find the running one
tracekit last                               # export your latest run, pin the dev key, verify it
tracekit view --dev                         # every run, verified: calls, decisions, gaps, replay, why
tracekit approvals list                     # calls held for a person; tracekit approvals approve ID
tracekit export --v2 --run ID -o run.tkb    # one run as one .tkb file
tracekit verify run.tkb --trust trust.json  # check it offline, against the keys and witnesses you pinned
tracekit policy lint policy.yaml            # check a policy before the signer loads it
tracekit doctor                             # check this setup
tracekit init --dev --v2                    # wire Claude Code's hooks; add --agent codex, cursor or gemini

証拠フォーマット

• 仕様が明確です。 証拠フォーマット v2 は、独立した検証ツールを実装できるほどの精度を目指しており、規範的な テストベクトルを用意しています。
• 標準規格に基づいています。 レコードはRFC 8785の正規化JSONに対してEd25519で署名されます。各ログは、Certificate Transparencyで使われている構造であるRFC 6962 Merkleツリーです。チェックポイントはC2SP署名付きノートであり、証人はC2SP tlog-cosignatureに従って 署名を追加します。
• 自己完結型です。 .tkb ファイルは、レコード、包含証明、チェックポイント、および呼び出しの判定に使われた ポリシースナップショットをまとめたzipです。検証コードは含まれません。
• 古いファイルも検証を続けられます。 フォーマットは拡張のみで、各フォーマットの検証ツールは凍結されます。古い検証ツールで新しいファイルを検証すると、FAILED ではなく UNVERIFIABLE (needs tracekit >= x) と報告されます。

GitHub Actionsでv1バンドルを検証するには、uses: Cygnux-Labs/Tracekit@main（bundle: と key: または witness:）を使います。 require-anchor のデフォルトは true であり、アンカーのないバンドルはステップが失敗します。報告のみを行うには、require-anchor: "false" を設定します。

貢献する

次の作業はどれも単独で役に立ち、コードベース全体を把握している必要はありません。

• 別の言語で検証ツールを書く。 証拠フォーマット は仕様が明確で、テストベクトルも用意されています。仕様だけをもとにGoまたはRustで 検証ツールを書くことが、仕様の完全性を確かめる最善の方法です。
• パックが通してしまう有害な呼び出しを見つける。 それを捕捉するルールとともに tests/data/policy/deny/に追加します。E17がすべてのケースを実行します。
• Tracekitを自分のエージェントで実行し、問題を報告する。 2つのオープンソースエージェントで実行したところ、実際のバグが見つかりました (事例研究)。
• フレームワークを追加する。 アダプターコントラクトを パスすれば、統合は完了です。
• 問題を見つける。 E1とE8が見逃す改ざんや回避方法を見つけたら、 SECURITY.mdの説明に従って非公開で報告してください。見つけた方は、掲載を希望しないと申し出ない限り、 殿堂入りリストに名前が掲載されます。

始めるには、make install の後に make check を実行します (貢献ガイド)。小規模なタスクには good first issueのラベルが付いています。参加するすべての方は 行動規範に従ってください。

ドキュメント

ライセンス

MIT、著作権者 Cygnux Labs。これは 1.3.0 であり、1.x が サポート対象の系列です。SECURITY.md に記載のとおり、脆弱性は非公開で報告してください。

引用

@software{tracekit2026,
  author = {{Cygnux Labs}},
  title  = {Tracekit: the tamper-evident flight recorder for AI agents},
  year   = {2026},
  url    = {https://github.com/Cygnux-Labs/Tracekit}
}