メモリとセットアップを信頼境界に戻す

何が新しいか外部コンテンツからメモリを書き換えさせる攻撃と、すでにメモリへ植え込まれたpayloadが将来セッションへ影響する攻撃を分けて評価します。

なぜ重要かCodex自動化、Daily Writing、trade_disciplineは長期状態を使うため、メモリは便利な文脈ではなく信頼境界です。

読む観点保存元、承認、差分、取り消しをどう残すか。既存メモリの棚卸しをどう回帰テスト化するか。

何が新しいかREADME、requirements、Makefileを少し変えるだけで、agentをuntrusted registryや脆弱versionへ誘導できることを示します。

なぜ重要か同じモデルでもharnessによって止めたり通したりします。安全性はモデル単体ではなく、実行ハーネス込みで決まります。

読む観点依存関係の名前、source、versionをinstall前に決定的に検査するpre-install gate。

何が新しいか`reviewed`、`tested`、`DONE` をagentの主張ではなく、freshで機械検証可能な証拠に結びつけます。

なぜ重要か週次レポート自動化の「保存した」「配信した」も、ファイルパス、deploy結果、送信結果の証拠で扱うべきです。

読む観点ライフサイクル状態をclaimとして扱い、gate-admissible evidenceがあるときだけ遷移させる。

何が新しいかFrontier Task、Evidence Graph、Coverage Map、Failure Memoryで検索進捗を外部化し、agentの探索停滞を抑えます。

なぜ重要か週次リサーチ、SEC/決算調査、Notion文献登録は、確認済み・未確認・失敗queryを会話履歴の外へ出すと再現性が上がります。

読む観点SearchOS全体ではなく、Coverage MapとFailure Memoryだけを小さく取り入れる。

何が新しいか静的RAG有用性と、agentic searchで次の検索を開く因果的有用性がほぼ独立であることを示します。

なぜ重要かstock_screeningでは、直接答えを含まない文書でも、競合名や論点を拾って次の調査queryを開くことがあります。

読む観点sourceがfinal answerに使われたかだけでなく、next queryを生んだかを記録する。

何が新しいか要求解釈、計算モデル、検証記録、solver出力、最終報告をartifact chainとして評価します。

なぜ重要かLLMアプリの評価は最終文章だけでは足りません。途中のartifactが実行可能か、検証済みかを見る必要があります。

読む観点stock_screeningやtrade_disciplineで、最終レポート前のartifact assertionを3から5個に絞る。

何が新しいかself-playでred-teaming modelを訓練し、prompt injectionやagent攻撃のscenarioを自動生成して防御改善に使います。

なぜ重要かWeb、メール、Slack、Notion、ローカルファイルを横断するagentには、外部入力由来の攻撃fixtureが必要です。

読む観点自前導入ではなく、悪意あるmemory、README、Notionページ、Slack本文のfixture化から始める。

何が新しいかCodex CLIの危険コマンド検出、lifecycle hooks、Programmatic Tool Callingなど、agent loop前後に決定的処理を置く材料が増えています。

なぜ重要か週次自動化やstock_screeningのbounded processingは、tool結果のfiltering、joining、validationをコード側で畳む設計に向きます。

読む観点hookは完全な強制境界ではないため、危険コマンド、外部送信、依存導入、memory updateだけに狙いを絞る。

何が新しいかpromptに混ぜるべきでないtenant、credentials、session dataをruntime/tool contextへ分け、trace、retry、tool lifecycleを観測対象にしています。

なぜ重要かmcp-notion-serverのDB IDやtoken、trade_disciplineの戦略設定は、modelが推論する文章ではなく実行contextです。

読む観点prompt、runtime context、tool context、trace metadata、artifact stateを分ける。