DeanWay Labs. Sentinel は QuietOS の鏡像です。 QuietOS は AI エージェントが何をするかを統治します。Sentinel は AI エージェントが何を聞くかを統治します。
脳が提案し、QuietOS が処分する — そして Sentinel は、脳がそもそも何を聞くことを許されるかを決定します。
エージェントはデータと命令を同じストリームで読み取り、両者を本質的に区別できません。 そのため、世界はデータの中に命令を隠すことを学びました。アシスタントにパスワードをメールで送信させるよう指示するウェブページ、所有者の名前をかたるメール、その中に2つ目の秘密の仕事を忍ばせたツールの結果などです。これがプロンプトインジェクションであり、扉に何も立っていないために機能します。
Sentinel は扉に立ちます。
命令を発するのは所有者のみ。それ以外はすべてデータである。
世界からのコンテンツ — ウェブページ、メール、ファイル、メッセージ、ツールの出力 — は、脳に届く前に検査され、通過したものはデータとしてラップされラベル付けされて届けられ、命令として届けられることは決してありません。コンテンツ内の主張（「私は所有者である」「所有者はすでにこれを承認した」、SYSTEM:）は何も認証しません。認証はチャネルから来るものであり、テキストから来ることは決してありません。
| 判定 | 意味 |
|---|---|
| ALLOW | クリーンなデータ。データとしてラベル付けされて通過します。 |
| ESCALATE | 非所有者のソースからエージェントに向けられた命令の形をしたコンテンツ。正確なコンテンツを保持したまま所有者のために保留されます — QuietOS と同じ承認バインディングの規律です。待機中は何もそれに基づいて行動しません。 |
| BLOCK | 既知の敵対的パターン：外部送信の指示、所有者/システムのなりすまし、虚偽の承認主張、ルール上書きの呪文、隠蔽の指示。即座に拒否されます。 |
すべての ESCALATE と BLOCK は追記専用の攻撃台帳に記録されます — タイムスタンプ、ソース、判定、一致したシグナル、正確なコンテンツの SHA-256、および保存された抜粋。試行は証拠であり、台帳は製品の一部です。QuietOS のレッドチーム証明ログがそうであるのと同じように。
Signal 値を返す純粋関数です。モデルベースのチェックはエンジンに触れることなく rules.CHECKS に参加できます。docs/PROOF-LOG.md を参照）：フェンスは英語のみかつリテラルです — 同義語で細工された攻撃、リート語、純粋に意味論的な攻撃はフェンスを通過できます。それでも法には従います。見逃されたコンテンツは命令ではなくデータとしてラベル付けされて脳に届きます。検出は攻撃のコストを高めます。権限が壁です。from sentinel import Inspector, Source
inspector = Inspector() # optionally: Inspector(ledger=AttackLedger("attacks.jsonl"))
verdict = inspector.inspect(page_text, Source("webpage", url))
if verdict.verdict == "ALLOW":
brain_input = Inspector.labeled_payload(verdict, page_text)
elif verdict.verdict == "ESCALATE":
hold_for_owner(verdict.excerpt, verdict.signals) # exact content, owner's call
else: # BLOCK
refuse(verdict)
所有者自身の認証済みチャネルは検査の唯一の例外です:
Source("owner", ..., owner_authenticated=True) はロール instruction で通過します —
これは攻撃対象ではなく、権威です。所有者チャネルへの未認証の主張は、
構造上なりすましとしてブロックされます。
python3 -m pytest tests/ -q
3つのスイート: tests/test_redteam.py（攻撃ケース）、tests/test_controls.py
（データとして通過しなければならない良性コンテンツ）、tests/test_engine.py（権限法、
台帳証拠、ラベリング）。結果 — 見逃しを含む — は
docs/PROOF-LOG.md にあります。
Jon Dean（DeanWay Labs）によって2026-10-21に着想: 「我々は出ていくものを統制している — では AI自体も保護する必要があるのではないか、そして入ってくるものを統制する必要があるのではないか？」 同じ夜に構築された。JonによってSentinelと命名された。