Google SAMとStanford DeLM — エージェントP2Pネットワークのキルスイッチとセキュリティの脅威

クラウドとオンプレミスを跨ぐマルチエージェント環境において、中央のオーケストレーターを介さずエージェント同士が直接通信するP2Pアーキテクチャが新たな選択肢として台頭しています。最近Googleのエンジニアが公開したSovereign Agent Mesh（以下SAM）プロジェクトと、スタンフォード大学による分散型言語モデル（Decentralized Language Model、以下DeLM）の研究は、この流れを牽引する代表的なオープンソースアーキテクチャです。しかし、この新しい分散型構造はインフラのボトルネックを解消する一方で、中央統制網によるリモートキルスイッチの懸念、データ汚染の危険性、そしてゼロトラスト検証の間で深刻なアーキテクチャ上の妥協を迫っています。

Google SAM：「主権」なき主権ネットワークとリモートキルスイッチの議論

最近Googleのエンジニアが公開したSAMは、P2P方式でエージェント間のセキュアなトンネルを提供するとして注目を集めましたが、ソースコード解析を通じて中央集権的な制御装置とリモートキルスイッチの存在が明らかになり、ガバナンスに関する激しい議論が巻き起こっています。libp2pとBiscuitトークンを組み合わせて設定不要の暗号化トンネルを構築し、MCPツールを柔軟に共有できる革新的なオーバーレイメカニズムを提示したものの、その基盤に設計された中央統制ロジックは、「分散型」という呼称を無意味なものにしています。

theCUBE Researchが公開したアーキテクチャの分析結果を見ると、コントロールプレーンの管理者APIパスであるPOST /admin/revokeを通じて特定のノードを強制終了するメカニズムがソースコードレベルで確認されます。ローカルノードが定期的なハンドシェイクを要求した際にブロックリストに含まれている場合、コントロールプレーンは403エラーを返し、受信したローカルデーモンプロセスは即座に自己終了するように構成されています。

さらに、暗号化認証情報の役割を果たすBiscuitトークンの有効期限が厳格な24時間に設定されている点も致命的なガバナンス上の脅威です。もし中央コントロールプレーンとの通信が1日でも途切れると、ローカルノードは更新失敗のログを残し、プロセスを強制停止させる自己破壊ロジックを実行します。ここにルーターとの接続がわずか3分途切れるだけでノードが停止するという制約が加わり、ネットワークの不安定さや断絶が発生した状況において、自律的なP2Pネットワークの回復力を期待することは困難です。

結局のところ、クイックスタートガイドが推奨するパブリックテストネットに依存してエージェント網を構築するバックエンドおよびインフラエンジニアは、単一の制御権限に完全に依存するインフラリスクを負うことになります。これはP2Pメッシュが目指す「エージェントの完全なる主権」と正面から対立するものであり、セキュリティ境界と自律性が重要視されるエンタープライズ環境であればあるほど、パブリックネットワークを完全に遮断し、独自のコントロールプレーンを構築するDIYのセルフホスティング設計が不可欠であることを示しています。

Stanford DeLM：オーケストレーターなきコラボレーションと「共同メモリ」のセキュリティ境界

スタンフォード大学の研究陣が公開したDeLMは、中央のオーケストレーターなしで共有コンテキストとタスクキューを介し、エージェントが非同期的に協力する分散型アーキテクチャです。各エージェントは独立してタスクを割り当てられて処理した後、実行ログの代わりに核心内容のみを圧縮した「Gist」を共有コンテキストに記録します。不必要な通信のボトルネックと重複する推論を排除することで、既存のマルチエージェントシステムと比較してレイテンシと推論コストを最大50%削減する成果を証明しました。

しかし、この効率的な「共同メモリ」モデルは、すべての参加ノードが単一の信頼ドメインに属しているという前提で動作します。すべてのエージェントが共有コンテキストを直接読み書きするため、たった一つのエージェントが悪意を持って改ざんされたり乗っ取られたりするだけで、ネットワーク全体に脅威が拡散します。攻撃者が共有タスクキューに異常な作業を注入したり、歪められたGistを入力したりすれば、他のエージェントはそれを正常な進行状況として信頼してしまい、連鎖的に誤った動作を実行する「タスクインジェクション攻撃」に対して無防備にさらされることになります。

DeLMはこれを防ぐため、データを共有コンテキストに書き込む前に信頼性を確認する「承認時検証（Admission-Time Verification）」を経て書き込むように設計されています。しかし、現在の検証モデルはエージェント自体の判断の整合性のみをチェックしており、当該ノードの署名や正当な書き込み権限の有無を暗号学的に確認してはいません。したがって、オーケストレーターが存在しない分散環境でセキュアな境界を構築するには、情報の出所を証明し、個々のノードの権限を詳細に制御する分散型トークンシステムの導入が必要です。

実戦インフラへの適用：DIYモードによるセルフホスティングとBiscuit検証の導入

開発者がP2Pエージェントネットワークを本番環境へ導入する際にリモート制御や強制終了のリスクを排除するには、SAMの標準的な公開メッシュサービスの代わりに「DIYモード」を選択し、コントロールプレーンを社内インフラで直接ホスティングする必要があります。中央サーバーを経由せず、企業内の内部ネットワークや隔離されたプライベートクラウド環境に独自の仲介ノードを構築すれば、外部ベンダーによる制御リスクを確実に遮断できます。これは、標準的なパブリッククラウドのコントロールプレーンに依存することで発生するガバナンスの従属問題を解決するための実質的な手段です。

中央オーケストレーターが存在しないDeLMのような分散協力構造では、個別のエージェントノード単位の精密なセキュリティ制御がさらに重要になります。これを実現するために、libp2pで暗号化トンネルを接続しつつ、各ノードに非対称鍵ベースのBiscuitトークン検証システムを組み合わせるべきです。Biscuitトークンは中央サーバーの助けを借りずとも、トークン自体に権限制限ルールを柔軟に付与して下位トークンを発行できる、暗号学的な権限委譲機能をサポートしています。

これを活用すれば、エージェントが他のノードを呼び出す際に許可されるツールの範囲とデータアクセス権限を、実行時に最小限のレベルへ隔離することが可能です。受信ノードはオフライン状態であっても独自の非対称鍵でトークンの署名と制約条件を独立して検証できるため、分散ネットワーク全体にステートレスなゼロトラストセキュリティを即座に実装できます。

結びに：コントロールプレーンの主導権を自ら握る方法

AIエージェントネットワークは、既存の中央集権的なAPIゲートウェイから脱却し、ローカルファーストなP2Pメッシュ構造へと進化しています。分散型構造はインフラのボトルネックを解消してくれますが、同時に「統制権の喪失」という新たなアーキテクチャ上の課題を突きつけます。開発者は、分散構造が持つ情報の汚染リスクと、利便性の背後に隠れたリモート制御リスクとの間で、明確なバランスを見つけ出す必要があります。

SAMとDeLMが露呈した限界のように、単に分散プロトコルを導入するだけでは、完全な主権とセキュリティを保証することはできません。真の自律性を確保するには、開発者自らがコントロールプレーンを社内インフラでセルフホスティングし、Biscuitのようなトークンベースの精密なアクセス制御を実装する必要があります。インフラのブラックボックスを減らし、制御の主導権を直接握ってこそ、安全なエージェントネットワークを完成させることができます。