エージェントは一週間動き続けた。月曜の朝、管理者は何を開くのか。

GembaOS は、AI エージェントを職務権限規程・稟議・監査のもとで運用するための実行基盤です。ポリシーによる権限判定、パラメータに紐づくワンタイム許可証、人の承認記録を、オンプレミスまたはプライベート VPC 上で提供します。

エージェントの統制について書かれたものの多くは、行為の瞬間を扱っています。このエージェントはこの変更をしてよいか、誰が押印するか。出発点としては正しく、四つのゲートはそのためにあります。しかし管理者が暮らしているのはそこではありません。管理者はエージェントが一週間動いた後にやって来て、別の問いを立てます。うちには何があるのか、誰が責任を負うのか、自分の判断を待っているものは何か、何が変わったか、何と何が繋がっているか、あのパスワードは何日使っているか。この記事は、その問いに GembaOS が用意した六つの画面を、ローカルデモを一度動かして撮った画面とともに歩きます。

どの画面にも二つの原則があります。すべて導出であること。手順書、テナントの規則、能力パック、そして実行基盤がどのみち保持している記録から作られ、維持すべき第二の一覧はなく、入力する項目もありません。そして、どの数字も上方に丸めないこと。裏付けのない数はそのまま示され、どの数字も背後の記録に開きます。

従業員が仕事を預け、受付票を受け取る

従業員のページは一つの入力欄から始まります。やってほしいことを書く。アシスタントが、その人が起動できる業務のどれに当たるかを提案し、GembaOS がその提案を、本人が起動できる業務と実際に書いた文面に照らして確かめます。判別できなければ候補を示して尋ね、推測はしません。本人が依頼するまで何も始まりません。返ってくるのは受付票です。どの業務が受けたか、票番号、誰が担当か、次に何が起きるか。同じ依頼を二度預けても、同じ受付票が返ります。

ここではサポート担当が規程の調査を依頼し、撮影時点で調査は済んで報告されていたため、受付票は「完了」と示しています。人の判断が要る依頼なら、誰が待っているかが書かれます。

統制の総覧

総覧は管理者が最初に読む画面です。エージェント台帳から見た守備範囲と責任者、待っている例外（未解決の不足と主機が印を付けた実行）、人の判断を待つ稟議、押印なしで通ったものと抽査の有無、そして審査待ちのルール変更。期間は 7 日・30 日・90 日です。

責任者なし 3 と要確認 5 は実在の状態です。トークン未設定のパートナーエージェントが 2 つ、リンク材料未設定のワーカーが 3 つ。タイルはそう言い、列挙します。緑の数字に畳み込みはしません。

エージェント台帳

会社が責任を負うエージェントごとに一行。GembaOS が動かす手順書パイプライン、ゲートウェイ経由で呼ぶパートナーエージェント、会社が自分のホストで動かすワーカー、そして手で登録したもの。各行は責任者とその名前の出所、そして導出され決して上方に丸められない統制の段階を示します。登記のみ（書いてあるだけ）、観察のみ（呼び出しは見えるが止めない）、部分統制（応答はするが閉じられない）、統制下（宣言した操作はゲートウェイ経由で許可証のもとでしか動かない）。操作員は行に責任者を名指しできます。人がここで加えるのはそれだけで、記録に残ります。

公開前に検査されるルール変更

手順書や役割への指示の変更は、一つの公開単位として進みます。画像は、ルールが単独で押印する帯の上限を引き上げる下書きです。検査は済んでいます。バージョンは必ず進める。差分は宣言から読み取って平易な言葉で書かれる（緩和：自分で押印する帯の範囲が広がる）。そしてこの手順書が記録した判定を、記録された事実のまま新ルールで判定し直す。再送も返金も送信もしません。ここでは過去の 4 件はいずれも同じ帯に落ちます。次の段階は別の人の承認で、起草者は自分の公開を承認できません。

公開されると、進行中の作業は開始時のルールで続き、変更された経路で待っている稟議は差し戻されて再判断され、押印済みの稟議はそのまま残り、差戻しは理由必須の新しい公開単位で、すでに起きた効果は一つも取り消しません。

リスク台帳

各手順書を自身の設定から読みます。触れるデータ、できること（読む・書く・実行する・取り消せない実行）、誰が起動でき、データが SaaS のモデルや外部システムへ出るか、人がどれだけ見るか。等級は固定の表で決まり、期待する統制を名指しし、行はどれが満たされているかを示します。誰も点数を入力せず、モデルも提案しません。ある次元を動かす公開があれば、誰かが見直すまで「覆核後に変わった」と行に表示されます。

台帳の下では、レッドチームも台帳です。各用例は攻撃する経路（注入、越権、承認の回避、押印後に動いた事実、ツール契約の変更、引き継ぎ後の行為、待機モデルの外部流出）、手順書とその責任者、再現方法、そして実行後には主機がどのイベントで拒んだかを名指しします。突破された用例は名前つきの修正を受け、次に防御された実行が再検証になります。合格率は結果ではありません。

接続台帳

このテナントが繋いでいる外部システムを、起動時に読んだパック・ワーカー・モデル提供元・各サービスから導きます。各行はリンクの構成要素を変数名と設定有無で示し、値は決して出しません。エンドポイント未設定で組込みフィクスチャが応答していればそう示し、GembaOS がそこで何をどの押印のもとで行えるか、記録上の呼び出しからこれまでの稼働、各シークレットの経過日数を示します。その下に ID 失効。離任者ごとに、離任処理の瞬間に何が失効したか。

この仕組みがしないこと

• **点数は付けません。**等級は手順書の宣言に対する表で、統制の段階はパックとゲートウェイから導かれます。設定が管理者の期待より少ないことを言っていれば、画面もそれだけを言います。
• **シークレットのローテーションはしません。**指紋が変わった日を記録し、会社のローテーション方針より古いものに印を付けます。ローテーションは会社の行為です。
• **一人の言葉でルールを公開しません。**起草者は自分の公開を承認できません。
• **公開デモにはありません。**画像はローカルデモから撮っています。各自が自分としてサインインする環境で、gemba demo を起動してコンソールを開くと、左のレールに六つの画面があります。

---

アーキテクト向け

• 導出であって一覧ではない：台帳、リスク台帳、接続台帳は読み出し時に設定と実行基盤の記録から組み立てられます。書き込むのは、申告された責任者、覆核、シークレットの指紋だけです。
• 公開単位は手順書と指示の束：モデル、職務権限表、役割、各システムの契約はハッシュで留め、束とともに移動しません。検査は複製を用意し、起動時の検査を走らせ、宣言の差分を取り、記録済みの判定を記録済みの入力の純関数として判定し直します。
• 接続台帳の資格情報ストアは変数ごとにハッシュの 16 進 12 桁と初認識日・最終変更日を持ちます。ローテーションは変数名を記す管理台帳のイベントで、値は決して記しません。
• レッドチームの実行はデータディレクトリに保存され、コンソールは用例ごとに未実行・防御・突破・修正記録済み・再検証済みに畳みます。