エージェント安全性は完了率の外にある

何が新しいか非敵対的な通常タスクでもagentが情報漏えいを起こすかを、MCP環境とリスク別rubricで評価する。

なぜ重要かGmail、Slack、Notion、MCP操作では、タスク成功とデータ取扱い成功を分けないと危険を見落とす。

読む観点resource、recipient、data class、宛先妥当性をtool logに残す設計へ落とす。

何が新しいか共有メモリのutilityだけでなく、access controlとactive forgettingを同時に測る。

なぜ重要か`trade_discipline` と `Daily _Writing` では、現在有効な記憶、過去傾向、削除済み情報を分ける必要がある。

読む観点memory itemへowner、scope、validity、deleted_at、source_eventを追加する。

何が新しいか低権限ツールで十分な場面でも、agentが高権限ツールを選ぶ問題をToolPrivBenchで測る。

なぜ重要か`mcp-notion-server` ではreadで足りる場面のwrite、dry-runなしの更新が本番リスクになる。

読む観点全toolにprivilege level、side effect、dry-run、approval、低権限代替を付ける。

何が新しいかcoding agentを最大100 interaction turnsでstress-testし、長い変更列でどこまで品質を保つかを見る。

なぜ重要か週次リサーチ自動化やCodex作業は、調査、生成、検証、配信、記録の連鎖で壊れやすい。

読む観点step、acceptance check、retry count、evidence pathをrun logに残す。

何が新しいか約40万Claude Codeセッションから、人間がplanning、agentがexecutionを担う分業を分析している。

なぜ重要かCodex自動化でも、ドメイン制約と成功条件を人間側が明示するほど成果が安定する。

読む観点「小さいタスク」だけでなく、採用判断、禁止事項、検証方法をセットで渡す。

何が新しいかMac上の定型手順を実演し、再利用可能なskillへ変換する導線が追加された。

なぜ重要か週次配信やUI操作を含む確認作業を、説明ではなく実演からskill化できる可能性がある。

読む観点機密情報を含めず、短く完結したworkflowと検証条件だけを記録する。

何が新しいかagentをファイル構造、typed tools、approvals、skills、connections、evals、durable executionで定義する。

なぜ重要か`mcp-notion-server` のtool manifest、承認、credential設計に参考になる。

読む観点全面移行ではなく、filesystem-firstな権限metadataと短命token発想だけを流用する。

何が新しいかRAGの攻撃面がretriever編集へ広がり、graph/evidence構造化の重要性が増している。

なぜ重要か`stock_screening` のSEC検索やNotion論文DBでは、retriever versionとsource idを残す必要がある。

読む観点graph RAG本格導入ではなく、固定質問セットと検索ログの回帰評価から始める。