Agent Runtime Proof

エージェントランタイムの証明

起動したエージェントランタイムが、承認したアーティファクトであることを証明します。

Agent Runtime Proof（ARP）は、AI エージェントと MCP サーバー向けのローカル読み取り専用ランタイム ID 検証ツールです。コード、シークレット、プロセス引数、プロセスデータをアップロードすることなく、古いランタイム、置き換えられたランタイム、不一致のランタイム、検証不能なランタイムを検出します。

ARP が想定する問題は単純です。エージェントまたは MCP の実行ファイルを置き換えても、昨日のプロセスが引き続き動作してしまうことです。ディスク上のファイルは新しくても、読み込まれたランタイムは新しくありません。ARP は実行中のプロセス ID を明示的なアーティファクトの期待値に結び付け、ディスク上のファイルを実行中のものの証明として扱うのではなく、不確実性を報告します。

再現可能な古いランタイムのデモをご覧いただくか、5 分でできるクイックスタートから始めてください。

クイックスタート

現行リリースは v1.1.0 で、macOS arm64、Linux amd64、Windows amd64 に対応しています。このリリースからアーカイブと SHA256SUMS をダウンロードし、バイト列を検証してから、ユーザーが所有するディレクトリに単一のバイナリをインストールしてください。各プラットフォームのコマンド一式は docs/quickstart.mdに、ライフサイクルとロールバックの詳細は docs/install.mdに記載されています。

インストール後：

agent-runtime-proof --version
agent-runtime-proof doctor --format json
agent-runtime-proof inspect --all --limit 20

明示的な期待値に照らしてプロセスを検証します：

agent-runtime-proof verify \
  --expectation /absolute/path/to/expectation.json \
  --pid 1234 \
  --format json

証拠がその結論を裏付ける場合に限り、ARP は MATCHED を返します。 UNKNOWN、STALE、LEAKED、CONFLICT、NOT_RUNNING はドメイン判定であり、トランスポートエラーではありません。

ローカル stdio MCP

ARP はローカル MCP サーバーとして実行できます：

{
  "mcpServers": {
    "agent-runtime-proof": {
      "command": "/absolute/path/to/agent-runtime-proof",
      "args": ["mcp"]
    }
  }
}

読み取り専用ツールを正確に 3 つ公開します：

• list_local_runtime_candidates
• inspect_local_runtimes
• verify_local_runtime

Codex、Claude Code、Cursor、OpenCode、DeepSeek Harness、VS Code/GitHub Copilot、および汎用ホスト向けのホストプロファイルが利用できます。ホスト設定ガイドをご覧ください。ARP はホストの設定を編集しません。

v1.1.0 リリースには、互換性のある MCP クライアント向けの agent-runtime-proof_1.1.0.mcpb も含まれています。レジストリのメタデータはバンドル URL をその SHA-256 ダイジェストに結び付けます。同じ 3 つのネイティブバイナリは、通常のプラットフォーム別アーカイブでも引き続き利用できます。

同じリリースは、公式 MCP Registryに io.github.fantasyce/agent-runtime-proof として公開されています。

ARP が証明すること

これらの制御はそれぞれ異なる問いに答えるものであり、組み合わせて使うことで最も効果を発揮します：

証拠	答える問い
SBOM	このビルドで宣言された依存関係は何ですか？
署名またはビルドアテステーション	これらのアーティファクトのバイト列を誰が、どのビルドを通じて生成しましたか？
チェックサム	ダウンロードしたバイト列に変更はありましたか？
Agent Runtime Proof	ローカルで実行中のプロセスは、承認したアーティファクトの期待値に結び付いていますか？

ARP は署名、来歴、SBOM、サンドボックス化、ホストポリシーに取って代わるものではありません。承認済みファイルと、実際に動作しているプロセスとの間の隔たりを埋めます。

プライバシーと安全性の境界

ARP の対象範囲は意図的に限定されています：

• ローカルプロセスとローカルファイルのみ；
• CLI、ローカル stdio MCP、およびオプションの起動時 Witness；
• エージェントとホストの状態を読み取り専用で観測；
• デーモン、ネットワークリスナー、修復アクション、設定への書き込みなし；
• Across Agents Assistant、Across Context、Across Orchestrator、Across Autopilot への依存なし。

MCP の応答には、生の argv、環境変数の値、コマンドライン、ファイルの内容、認証情報、トランスクリプトは含まれません。保証事項と制限事項の詳細は docs/data-handling.md、 docs/privacy-model.md、および docs/threat-model.mdをご覧ください。

CLI と Witness

1 つのプロセス、または範囲を限定した現在のユーザーのインベントリを検査します。

agent-runtime-proof inspect --pid 1234 --format json
agent-runtime-proof inspect --all --limit 100

バイトを透過的に扱う起動 Witness を通じて、ローカルコマンドを実行します。

agent-runtime-proof witness --expectation expectation.json -- command arg

Witness はプロセスの識別情報とコンテンツアドレス方式の起動レシートを記録し、 プロトコルのバイトを書き換えることなく stdin/stdout を中継します。プロセスの作成を 担うホストは、sdk/witness を通じて同じ契約を組み込むことができます。

終了コードは、検査、doctor、または MATCHED の場合は 0、確定的な 否定判定の場合は 2、UNKNOWN の場合は 3、入力が無効な場合は 64、 内部エラーの場合は 70 です。JSON モードでは標準出力に 1 つの JSON 値を出力し、 サニタイズされた診断情報は標準エラーに出力します。

対応プラットフォームと制限事項

リリースアーカイブは macOS 14 以降の arm64、Linux amd64、Windows 11 amd64 向けにビルドされています。インタープリターおよび宣言されたツリーのランタイムの パッシブ検査では、アクティブなエントリーポイントを観測できない場合、保守的な判定を行います。 ディスク上のダイジェストだけで、ロード済みランタイムとの一致を報告することはありません。

リモートアテステーション、デーモン、ネットワークリスナー、修復アクション、Agent の設定書き込みは、引き続き v1 の対象外です。

アーキテクチャと受け入れ基準

同じ契約とアプリケーション層が、CLI、MCP サーバー、Witness、 データのみの Host Profiles を支えています。技術設計については、 architecture-development-acceptance.md に記載されています。

受け入れ記録：

• Phase 0 の契約
• Phase 1 の macOS コア
• Phase 1 の Windows コア
• Phase 2 の MCP
• Phase 3 の Witness
• Phase 4 のホストマトリックス
• Phase 5 のオープンソースリリース

メンテナーは、次のコマンドですべてのソースゲートを実行できます。

bash scripts/check.sh

リリースアセットには、CycloneDX SBOM、SHA-256 チェックサム、GitHub アーティファクト アテステーションが含まれます。公開状態は、ローカルの受け入れ記録ではなく、公開されている GitHub Release によって判断されます。

エージェント信頼性ツールキット

ARP は、ローカルファーストの小規模な信頼性ツールキットを構成する独立した要素の 1 つです。

• Agent Recall Trail は、非公開の Agent メモリをレビュー済みの共有知識から分離します。
• Agent Runtime Proof は、実行中の Agent または MCP ランタイムが、承認したアーティファクトと一致することを検証します。
• Agent Residue Evidence は、テストやビルドによって残されたタスク単位のファイル、プロセス、リスニングポートを記録します。

各プロジェクトは個別にインストールでき、それぞれ独自の信頼境界を保ちます。

コミュニティ

コントリビューションや、ホスト／ランタイムに関する独立した事例を歓迎します。Codex または DSH との連携について、 サニタイズした情報を共有する場合は、ホスト、バージョン、起動関係、観測された 証明の境界を設計パートナー向け issueでお知らせください。 DSH ユーザーは、公式コミュニティディスカッションにも 参加できます。 CONTRIBUTING.md、CODE_OF_CONDUCT.md、 SUPPORT.md をお読みください。脆弱性は SECURITY.md の説明に従って非公開で報告してください。公開 issue に シークレットや機微なプロセスデータを記載しないでください。

Apache-2.0 ライセンスです。LICENSE をご覧ください。