監査可能なエージェント（Auditable Agents）

要旨: LLMエージェントはツールを呼び出し、データベースを問い合わせ、タスクを委任し、外部の副作用を引き起こします。エージェントシステムが現実の世界で行動できるようになったとき、問題はもはや有害な行動を防げるかどうかだけではありません――それらの行動がデプロイ後においても説明可能なままでいられるかどうかです。私たちは、説明責任（コンプライアンスを判定し、責任を割り当てる能力）、監査可能性（説明責任を可能にするシステムの性質）、および監査（信頼できる証拠から挙動を再構成するプロセス）を区別します。主張は明確です。監査可能性なしには、いかなるエージェントシステムも説明責任を負うことはできません。
これを実運用可能にするために、私たちはエージェントの監査可能性を5つの次元、すなわち「行動の回復可能性」「ライフサイクルのカバレッジ」「ポリシーの検査可能性」「責任の帰属」「証拠の完全性」を定義し、さらに3つのメカニズムクラス（検知・強制・回復）を特定します。これらのクラスにおける時間情報と介入の制約が、実際にはなぜ単一のアプローチでは不十分なのかを説明します。私たちは単一のベンチマークではなく、階層化された証拠によってこの立場を支持します。下限のエコシステム計測は、監査可能性のための基本的なセキュリティ前提でさえ、広く満たされていないことを示します（著名なオープンソースプロジェクト6件で617件のセキュリティ指摘）。実行時の実現可能性の結果は、改ざん耐性のある記録による事前の仲裁（メディエーション）が、中央値でわずか8.3 msのオーバーヘッドしか加えないことを示します。そして制御された回復実験により、従来型のログが欠落している場合でも、責任に関わる情報は部分的に回復できることが示されます。私たちはエージェントシステムのための「監査可能性カード」を提案し、メカニズムクラスごとに整理した6つの未解決の研究課題を提示します。