Agent-Safe Change Control (ASCC)

本日より稼働中。 すべての ASCC トラックは出荷され稼働しています — 最後のウェーブは 2026-07-17（cli-v0.1.46 以降）に完了しました。ケイパビリティは成熟を続けています。 壊れた点があればお知らせください。

ASCC は Kisenon のエージェント安全システムです。サンドボックス化はその一部です。主張を 一言で言えば、AI エージェントの変更が封じ込められ、レビュー可能で、巻き戻し可能な唯一の Postgres です。

この堀は構造的なものであり、機能のチェックリストではありません。cp は本番への唯一の 書き込み手であり、promote はすべてのエージェント変更が通過する単一の統制された チェックポイントです — こっそり回避してマージできるブランチではありません。その下に 2 つの保証が成り立ち、いずれも決定論的で、信頼の経路に LLM は存在しません。

• エージェントはフォークへのスコープ限定・非スーパーユーザー認証情報で接続し、 main に書き込める認証情報を保持することは決してありません。
• すべてのステートメントは読み取り専用のアクションログに帰属付けられます — 要約では なく、実際の SQL です。

ライフサイクル

エージェントの変更は 5 つのステージを通過します。これが以下のすべての背骨です。

安全に入る → 観察可能に作業する → ゲートを通してプロモートする → 巻き戻し可能に着地する → 事後に証明する。

何を恐れていますか?

トラック

各トラックは 1 つの保証です。属するステージごとにグループ化されています。

Enter — エージェントがどう入るか、境界付きで。

• SCOPE — レーン由来の権限。認証情報は自分のレーンにしか触れられません。
• LEASH — サンドボックスごとのステートメント、コンピュート、実時間の予算。
• MASK — マスク済みフォーク。PII はエージェントが見るフォークに決して入りません。

Guardrails と Masked forks を参照してください。

Work — 実行中に見えるもの。

• キャプチャ + すべてのステートメントのライブアクションログ。
• DIFF — 変更の決定論的で人間が読める差分。
• BLAST — 被害範囲のドライラン: 測定されたロック、継続時間、行数。

Sandboxes & promote を参照してください。

Gate — 着地前に promote がチェックするもの。

• LINT — ステートメント集合の静的リスク分類。
• POLICY — プロジェクトごとの promote ポリシー階層。

Guardrails を参照してください。

Land — 変更が main にどう到達するか、巻き戻し可能に。

• promote — セルフサービスまたは人間による承認。
• UNDO — ワンクリックで巻き戻し可能な promote。
• EMIT — 決定論的な up/down マイグレーション。

Sandboxes & promote を参照してください。

Prove — 事後に提示できるもの。

• LEDGER — 何が着地したかのオフライン検証可能な署名付きアテステーション。

Sandboxes & promote を参照してください。

どの機能も弱められない不変条件

すべての ASCC 機能の下には、3 つのハードコードされた promote ゲートが存在します。どの トラックもこれらを緩めることはありません。

• 緑判定要件 — 変更はサンドボックスで合格していなければなりません。
• volatile ガード — 再生結果が信頼できないステートメントは拒否されます。
• フェイルクローズドなシーケンスギャップチェック — 帰属付けされたステートメント列に ギャップがあると、素通しさせるのではなく promote をブロックします。

機能はその上に摩擦を加えることはできます。これらを差し引けるものはありません。

ここから始める

初めてですか? Sandboxes & promote から始めてください。エージェントを 接続する前に、よくある落とし穴 — これらの保証をひそかに無効化する アンチパターン — を読んでください。