リモートアテステーションとは、ある公開プログラムが Trusted Execution Environment（TEE） 内で、公開入力と任意の秘密入力に対して実行され、特定の出力を生成したことを、証明者（prover）が検証者（verifier）に納得させる手続きである。これは 3 つのステップに基づいている。プログラムがロードされると、TEE はエンクレーブ測定値——プログラムのバイナリに依存するハッシュ——を記録する。証明が要求されると、TEE のハードウェアまたはファームウェアに裏付けられたアテステーションサービスが、その測定値と、入力および出力を対象とするカスタムデータのコミットメントとを含むアテステーション文書を生成し、それをプラットフォームによって保護されたアテステーション鍵で署名する。この鍵の証明書チェーンは、プラットフォームのトラストアンカーをルートとしている。検証者はその後、TEE プラットフォームが公開している検証鍵を用いて署名チェーンを検査し、報告された測定値がオープンソースのプログラムについて自ら計算した測定値と一致することを確認し、コミットメントが与えられた入力と出力のハッシュと一致することを確認する。
用法
有効なアテステーションから検証者が知ることは 3 つある。実行されたプログラムは測定値の対象となっているプログラムそのものでなければならないこと。入力と出力は本物であること——プログラムがそれらをアテステーションにコミットするからである。そして、文書そのものは証明者によって改変も偽造もできないこと——プラットフォームのアテステーション鍵で署名されているからである。これらを合わせることで、検証者がマシンを検査したり証明者を信頼したりする必要なしに、アテストされたプログラムのもとで報告された出力の完全性が確立される。
AI の分野では、この手続きは偽造不可能なモデル評価、マーケットプレイスにおける学習データの価値評価、そして出力を特定の入力とモデルに結びつける検証可能な推論に応用されてきた。Proof-of-Guardrail はこれをエージェントの安全性に応用している。測定されるプログラムはオープンソースのガードレールを含むラッパーであり、応答をそのプログラムに結びつけるアテステーションは、応答が生成される前にガードレールが実行されたことの証拠となる。リモートアテステーションが確立しないのは、アテストされたプログラムの質に関することである。正しくアテストされたガードレールであっても誤っていたりジェイルブレイクされたりしうる。AI エージェントにおける Proof-of-Guardrail と、そこから何を信頼すべきか（すべきでないか） が、実行の証明は安全性の証明ではないと明言しているのはそのためである。
関連用語
Trusted Execution Environment（TEE）、Proof-of-Guardrail、AI エージェントにおける Proof-of-Guardrail と、そこから何を信頼すべきか（すべきでないか）