Hard Stop: 不正なエージェント実行に対するカーネルレベルのプリエンプションと封じ込め

NvidiaのOpen Agent Safety Platform（2026年9月28日）に関する注記: Nvidiaが新たに発表したSentryアーキテクチャは、アウトオブバンドのBlueField DPUを利用してミリ秒スケールのエージェント封じ込めを実現している。Hard Stop はソフトウェア定義の代替手段を提供する。インラインeBPF LSMフックと cgroup v2 を活用することで、このリファレンス実装は市販のLinuxハードウェア上で完全にソフトウェアのみで 5マイクロ秒未満 のプリエンプションを達成し、専用シリコンを必要とせずに真のゼロリーク封じ込めを提供する。

概要: アウトオブバンドの Epistemic Andon Cord なしに連続実行ループで動作する自律型生成AIは、存在論的な運用上の危険である。Hard Stop は、アウトオブバンドの離散事象システム（DES）監督、同期リアクティブ（SR）センチネル、およびサブミリ秒（<0.154 ms）のPOSIX/eBPFプリエンプションバスを組み合わせたデュアルプレーン監督制御アーキテクチャを導入し、標的から外れたソケットトラフィックや不正なシステムコールがハイパーバイザ境界を越える前に、決定論的なプロセス凍結を実証する。

中核不変条件: 認識論的自己参照的無効化

原則: 確率的言語モデルは、それ自体の決定論的安全アービタとして機能することはできない。

形式的には、非ゼロの誤り率 $\epsilon > 0$ を持つ確率モデル $M$ で構成される任意の内部自己評価安全ループは、複合誤り確率 $P(\text{error}) \ge 1 - (1 - \epsilon)^k$ を継承する。決定論的安全保証は、ランタイム、cgroup、およびカーネル境界で直接動作する アウトオブバンド監督制御アーキテクチャ を厳密に要求する。

アーキテクチャ概要

                         [ Agent Generative Loop ]
                                    │
                            Tool Dispatch Stream
                                    │
 ┌──────────────────────────────────▼──────────────────────────────────┐
 │                 Out-of-Band Epistemic Sentinel Bus                  │
 │  • Egress Domain Meet (D ∩ D_eval = ∅)                              │
 │  • Path Traversal & SSTI Lexical/LSM Tripwires                      │
 │  • Execution Surface Boundary Verification                          │
 └──────────────────────────────────┬──────────────────────────────────┘
                                    │ Invariant Breach (<0.154 ms)
                                    ▼
 ┌─────────────────────────────────────────────────────────────────────┐
 │               Sub-Millisecond Physical Preemption Bus               │
 │  1. Immediate Non-Cooperative SIGSTOP / Cgroup Freeze (<0.026 ms)   │
 │  2. Out-of-Band Lock-Free Write-Ahead Log (WAL) State Extraction    │
 │  3. Asynchronous LangGraph interrupt() Snapshot (0 Leaked Tokens)   │
 └─────────────────────────────────────────────────────────────────────┘

実証システムテレメトリ

ベンチマークは Kalibera & Jones (2013) の2レベル階層プロトコル に基づいて実施: E=15の独立したOSプロセス起動（起動ごとに新しいASLR）、I=50/3のウォームアップ反復を破棄、M=100/20のプロセスごとの測定反復、B=2,000の階層ブートストラップ再サンプリング。統計は95% CI付きのノンパラメトリック中央値である。

方法論: Kalibera, T., & Jones, R. (2013). Rigorous benchmarking in reasonable time. ISMM '13. https://doi.org/10.1145/2464157.2464160
python benchmark_latency.py を実行して再現する。結果は benchmark_results.jsonl に記録される。

クイックスタートと検証

実証ベンチマークランナーと検証スイートを実行して、サブミリ秒のプリエンプションタイミングを再現する:

# Clone the repository
git clone https://github.com/joseluispino/hardstop.git
cd hardstop

# Install requirements
pip install -r requirements.txt

# 1. Run live sub-millisecond preemption and sentinel latency benchmarks
python benchmark_latency.py

# 2. Run the empirical verification test suite (20 tests, 100% pass rate in <0.25s)
pytest -v test_andon_circuit_breaker.py

プラットフォーム要件: Linuxカーネル5.15以上（Ubuntu、Debian、Fedora、Arch）またはWindows Subsystem for Linux（WSL2）。物理プリエンプションはLinuxプロセスグループシグナリング（os.killpg）とPOSIX共有メモリWAL検証を利用する。

検証済みテストスイート（8スイートにわたる20テスト）

• 実行サーフェスガード: ベースラインおよびカスタムのドメイン、パス、システムコール許可リストを検証する。
• Egressドメインミート封じ込め: 不正な外部ドメインおよびリンクローカルAWS IMDS（169.254.169.254）プローブをブロックする。
• 字句およびSSTIトリップワイヤ: Jinja2テンプレートインジェクション、/proc/、/sys/、およびshadowファイルトラバーサルシーケンスを傍受する。
• サンドボックスパストラバーサル: Path.resolve() を介してパスを正規化し、ディレクトリエスケープシーケンスを捕捉する。
• コマンドサーフェス検証: バイナリ許可リストを強制し、禁止ツール（curl、nc、kubectl、tailscale）をブロックする。
• プロセスグループ分離: 非協調的な SIGSTOP/SIGKILL プロセスツリー停止とテアリードWALリカバリを検証する。
• LangGraphノード統合: ゼロトークンリークの状態スナップショットと永続的な割り込み処理を確認する。
• WCET境界不変条件: 実証的なK&Jブートストラップp99上限信頼限界が0.154 ms境界を6倍の余裕でクリアすることを検証する。

リポジトリ構造

• andon_circuit_breaker.py: PosixProcessSupervisor、ExecutionSurfaceGuard、および AndonCircuitBreaker の中核リファレンス実装。
• benchmark_latency.py: サブミリ秒のp50/p95/p99トリップワイヤおよびプリエンプションレイテンシを測定するスタンドアロン実証ベンチマーク。
• test_andon_circuit_breaker.py: 実行可能な検証テストベッド（8スイートにわたる20のユニットテストアサーション）。
• requirements.txt: 最小限のランタイム依存関係（pydantic、pytest）。
• LICENSE: Apache License, Version 2.0（第3条の特許報復保護を含む）。

引用

このアーキテクチャまたはリファレンス実装を研究で参照する場合は、以下を引用してください:

@misc{pino2026hardstop,
  title={Hard Stop: Kernel-Level Preemption and Containment for Rogue Agentic Execution},
  author={Jos{\'e} Luis Pino},
  year={2026},
  eprint={2609.29808},
  archivePrefix={arXiv},
  primaryClass={cs.CR},
  url={https://arxiv.org/abs/2609.29808}
}

特許および法定通知

本明細書に記載された技術およびアーキテクチャ手法は、米国特許商標庁（USPTO）に出願された係属中の特許出願の対象である。Patent Pending。

著者と連絡先

José Luis Pino
独立研究者 — 米国カリフォルニア州ウェストレイクビレッジ

• Email: [email protected]
• ORCID: 0009-0005-4854-3914
• LinkedIn: linkedin.com/in/joseluispino
• X / Twitter: @joseluispino