C->>A: Authenticated OpenAI-compatible or Anthropic request
A->>W: Size, canonicalization, WAF, session, rate-limit
W-->>C: Fail-closed response + durable error evidence when rejected
W->>U: Forward only after admission
U-->>A: Complete response or bounded SSE events
A->>L: Non-stream: hash, sign, append, flush, fsync
L-->>A: Non-stream durable evidence status
A->>Q: Optional bounded response analysis
A-->>C: Non-stream response + portable MMR proof headers
A-->>C: Stream events through bounded queue
A->>L: Stream terminal summary, sign, append, flush, fsync
L-->>A: Terminal commit complete
A-->>C: Protocol terminal marker

厳密なライフサイクルは以下のとおりです:

1. 呼び出し元を認証し、リクエスト識別子を割り当てます。
2. リクエストサイズの上限を適用し、リクエスト表現を正規化します。
3. WAF、セッション動作、エグレス、レート制限の各コントロールを適用します。
4. 必須コントロールの失敗時は、セキュリティ経路を黙って弱めるのではなく拒否します。
5. 設定済みのアップストリームプロバイダーに転送します。
6. 非ストリーミング呼び出しの場合、レスポンスを取得し、正規ハッシュを計算し、証跡に署名し、WALに追記し、フラッシュして、返却する前に`fsync`します。
7. SSE呼び出しの場合、バイト数を計上した有界キューを通じてサニタイズ済みの論理イベントを中継します。出力された正確なバイトをインクリメンタルにハッシュ化し、終了時にプロトコル終端マーカーを出力する前に、署名済みの終端サマリーを1件コミットします。したがって、初期ストリーミングヘッダーは`X-Aegis-Evidence-Status: pending-terminal`であり、`durable`ではありません。
8. 権威レコードが存在した後、有界ワーカー経路を通じてオプションのレスポンス拡張を実行します。

## コア契約

| コントロール | 実装された動作 | 証跡と境界 |
|---|---|---|
| 証跡の永続性 | 非ストリーミングの管理対象呼び出しでは、コアプロキシは返却前にリクエスト/レスポンスの証跡をコミットし、`X-Aegis-Evidence-Status: durable`を出力します。ストリーミングSSEは`pending-terminal`で開始し、プロトコル終端マーカーの前に署名済みの終端サマリーが1件コミットされ、終了後に証明が取得されます。 | `tests/test_p0_release_gates.py`、`tests/test_proxy_streaming.py`、プロキシ障害経路テスト、WAL整合性テスト。対象ファイルシステムとストレージプロバイダーは、デプロイ検証が依然として必要です。 |
| 永続的な終端エラー | アップストリームの非2xxレスポンス、サーキットオープン経路、ネットワーク障害は、証跡境界が利用可能な場合に永続的なエラー証跡経路を使用します。 | `tests/test_enterprise_durable_evidence.py`およびv3.1.0リリース証跡。受付後のストレージ障害は、成功レスポンスではなく、フェイルクローズの運用インシデントです。 |
| チェーン整合性 | 監査ノードは、先行ノード、リクエストハッシュ、レスポンスハッシュ、Merkleルート、署名、スキームメタデータをバインドします。 | `aegis/core/crypto_audit.py`および`verify_integrity()`。改ざんの検出は、不変の外部ストレージと同じではありません。 |
| 強力な署名 | 厳格な台帳は、一時的なEd25519フォールバックを拒否します。HMAC-SHA256、設定済みPKCS#11、または設定済みネイティブ署名は、選択されたポリシーを満たす必要があります。レガシーHSMインターフェースは、ソフトウェアキーを導出する代わりにフェイルクローズするようになりました。 | 署名者テストと厳格な起動ゲート。モックされたPKCS#11テストはアダプター証跡のみであり、HMACは対称であり、HSM相互運用性、キーの非エクスポート性、FIPS検証、または第三者による否認防止は確立されていません。 |
| キーローテーション | エンタープライズ署名者は、1つのアクティブキー、履歴検証キー、明示的な有効期限、非秘密の`key_id`メタデータを持つ、原子的でバージョン管理されたHMACキーリングをサポートします。 | `aegis_server/crypto/keyring.py`、`tests/test_keyring_rotation.py`。本番環境での主張には、3レプリカのデプロイ証跡が依然として必要です。 |
| レート制限 | Redisバックエンドの分散制限は、バックエンドが利用できない場合にフェイルクローズします。開発用のインメモリ制限は、本番環境の代替にはなりません。 | レートリミッターテストとデプロイ設定。Redis/TLS/HAの動作はデプロイ環境に依存します。 |
| エンタープライズIDとテナントバインディング | 未リリースの候補版は、設定済みAPIキーマッピング、厳格なOIDCクレーム、または明示的にピン留めされたmTLS証明書から不変のプリンシパルを導出します。テナント/セッションヘッダーは、証跡テナントまたはクォータキーを選択しません。 | `aegis/auth/`、`aegis/proxy/dependencies.py`、認証統合テスト。IdP、TLS終端装置、証明書ライフサイクル、Redisの受け入れはデプロイ環境に依存したままです。現在のmTLSソースはリーフピンモードであり、普遍的なPKI検証ではありません。 |
| 確定セグメントのアーカイブ | ローテーションされたJSONL WALセグメントは、バージョン管理されたマニフェストを受け取り、SHA-256、バージョン、ロックモード、保持検証を備えたオプションのS3 Object Lockアダプターを通じてアップロードできます。オプションのRFC 3161受け入れには、明示的なCAファイルに対するOpenSSL検証が必要です。 | `aegis/storage/`、`aegis/anchoring/`、および対象を絞ったテスト。これは、対象の受け入れなしには、規制上のWORM、法的許容性、または外部時間の保証ではありません。 |
| プライバシー安全なテレメトリ | クローズドスキーマのセキュリティイベントは、プロンプト/レスポンス/トークンテキスト、埋め込み、生のテナント/セッション識別子、署名者名、例外文字列を省略します。オプションの有界SQLiteスプールは、サポートされているSIEMエンコーディングにエクスポートします。 | `aegis/telemetry/`およびプライバシーセンチネルテスト。ダウンストリーム配信、保持、アクセス制御、運用SLOは外部のものです。 |
| 機能レポート | `aegis.crypto`は、実装済み、オプションのランタイム、スタブ、外部検証必須の状態を区別する機械可読なインベントリを公開します。 | `aegis/crypto/capabilities.py`および対象を絞ったテスト。現在のZK APIは非実物のテストスタブであり、ポータブルMMR証明はO(log n)で増加し、FIPS検証は主張されていません。 |
| TEEアテステーション境界 | TEEデバイスノードは、検出のみとして報告されます。呼び出し元が作成したレガシーレポートは拒否されます。注入された検証者は、正確な測定、署名者、ナンス、鮮度、デバッグ、TCB、レポートデータポリシー評価のために、認証された正規化クレームを提供できます。 | `aegis/core/tee_manager.py`およびハードウェアモジュールテスト。リポジトリは、エンクレーブローダー、ベンダークォート解析、証明書/担保検証、ホストルートの機密性、または対象アテステーションの受け入れを実装していません。 |
| 差分プライバシー境界 | 内部ラプラスカウントプリミティブは、感度1とシステムCSPRNGを、追加/削除1レコードの隣接性の下での1回のリリースに使用します。 | `aegis/core/dp_analytics.py`および決定論的テスト。DP HTTPエンドポイントは公開されていません。繰り返しのリリースには、永続的なアカウンタント、安定したデータセット/クエリID、メモ化、およびここでは実装されていないレビュー済みの寄与境界が必要です。 |
| ファジング機能境界 | ファジングは、`cargo`、`cargo-fuzz`、プライベートワークスペース、有界の解析可能なマニフェスト、およびすべての正確に制限された通常のターゲットファイルが存在する場合にのみ利用可能です。実行状態は、クリーン、クラッシュアーティファクト、ツールエラー、タイムアウト、利用不可を区別します。 | `aegis/core/fuzzing_harness.py`および対象を絞ったテスト。現在のツリーにはcargo-fuzzワークスペースやKaniハーネスがなく、測定されたカバレッジは依然として利用できず、有界テストは網羅的な証明ではありません。 |
| アドバイザリAIコンテキスト | `AGENTS.md`、`llms.txt`、`.aegis_ai_context/`は、コーディングアシスタントにリポジトリナビゲーションとクレーム境界を提供します。 | これらのファイルはアドバイザリデータです。認可を上書きしたり、ランタイム動作を確立したり、マージされたソースをリリースに変えたりすることはできません。 |
| リクエスト境界 | 過大なボディは、通常のアプリケーション処理の前に拒否されます。 | P0/P1リリーステスト。制限は、デプロイされたプロバイダーとストリーミングポリシーに合わせてサイズ設定する必要があります。 |
| WAF | NFKC正規化、ゼロ幅ストリッピング、クリティカルパターンブロック、構造深度ガード、重み付きローカル分析がアプリケーション境界で実行されます。 | `tests/data/waf_corpus_v1.json`および`tools/security/run_waf_corpus.py`。イングレスHTTP/2解析はアプリケーション境界の外側にあります。 |
| エグレス | 正規の許可リストは、スキーム、ユーザー情報、不正なポート、サポートされていない形式、承認されていないエンドポイントを拒否します。 | `aegis/proxy/egress_guard.py`およびテスト。これは、ファイアウォール、名前空間、NetworkPolicy、またはクラウドエグレスコントロールを置き換えるものではありません。 |
| カーネルコントロール | 厳格な起動は、SeccompおよびLSM/AppArmor/SELinux機能を要求でき、明示的なサンドボックスモード外での強制の欠如を拒否します。 | `aegis/core/seccomp_guard.py`、`aegis/core/lsm_guard.py`、デプロイテスト。対象カーネルは依然として受け入れテストが必要です。 |
| レスポンス拡張 | 分析は有界で、観測可能で、必要な場合はセッションごとに直列化されます。これはオプションであり、永続的な証跡契約を弱めることはできません。 | アナライザーおよびキューテスト。実際のI/O飽和下でのキューの動作は、バックプレッシャーランブックに記載されています。 |
| ポータブル包含証明 | すべての新しい台帳レコードは、自己完結型の`aegis-mmr-inclusion-v1`証明、リーフダイジェスト、順序付けられたピーク、ルートを格納します。非ストリーミングレスポンスはこれらを`X-Aegis-MMR-*`ヘッダーとして返します。ストリーミング呼び出しは、認証されたポスト終端証明リンクを公開します。 | クロス言語ゴールデンベクターおよびWALリプレイ/改ざんテスト。有効な証明は、宣言されたMMRルートへの包含を確立します。それ自体では、外部タイムスタンプ、保持、または法的許容性を確立しません。 |

## ローカル評価のためのクイックスタート

ローカルパスは、開発、テスト、証跡リプレイ用です。本番デプロイプロファイルではありません。```bash
git clone https://github.com/JuanLunaIA/aegis-latent-core.git
cd aegis-latent-core
python3 -m venv .venv
. .venv/bin/activate
python -m pip install --require-hashes -r requirements.lock
python -m pip install --no-deps -e .
python -m compileall -q aegis aegis_server
pytest -q

`development` は現在の設定モデルで受け入れられる唯一の非厳格モードです。古い `permissive` 値と `uvicorn aegis.main:app` コマンドは陳腐化しています。プロバイダーキー、ベアラートークン、署名シークレット、WAL レコード、または顧客ペイロードをソース管理に置くことは絶対にしないでください。

## マージソース SDK

[`sdk/python`](https://github.com/juanlunaia/aegis-latent-core/blob/HEAD/sdk/python) 内のマージソース Python ディストリビューションは、公式の OpenAI および Anthropic クライアントをサブクラス化するドロップイン統合です。既存のリクエスト/レスポンスモデル型と同期/非同期リソース API は維持されつつ、Aegis のテナント、セッション、ベアラー認証ヘッダーが構築時に注入されます。ネイティブの Anthropic `/v1/messages` イングレスには `AEGIS_PROVIDER=anthropic` が必要です。これは、OpenAI オブジェクトに変換するのではなく、Anthropic Messages のレスポンス形状を保持します。

[`sdk/typescript`](https://github.com/juanlunaia/aegis-latent-core/blob/HEAD/sdk/typescript) 内のエッジ互換マージソース TypeScript パッケージは、Web Crypto で `aegis-mmr-inclusion-v1` 証明を検証し、プロバイダーペイロードを再宣言するのではなく、プロバイダー固有のラッパーとコンストラクターオプションを提供します。公式の OpenAI および Anthropic パッケージはピア依存関係であるため、それらのネイティブリソース、リクエストパラメータ、レスポンスモデル、ストリーミングイテレータ、リトライ、エラー型は引き続き権威を持ちます。両 SDK は `sdk/shared/` 配下の同じ凍結された証明ベクトルを消費します。

未リリースの Python SDK 候補には、プライバシーを最小化した LangChain および LlamaIndex コールバックアダプターも含まれています。外部の信頼できるパブリッシャー、環境、署名付きタグ、リポジトリ変数の前提条件が設定されない限り、公開ワークフローは無効化されています。[`docs/DEVELOPER_INTEGRATIONS_GUIDE.md`](https://github.com/juanlunaia/aegis-latent-core/blob/HEAD/docs/DEVELOPER_INTEGRATIONS_GUIDE.md) を参照してください。```python
from aegis_sdk.openai import OpenAI

client = OpenAI(
    aegis_api_key="gateway-token",
    gateway_url="https://aegis.internal",
    tenant_id="tenant-42",
)
response = client.chat.completions.create(
    model="gpt-4.1-mini",
    messages=[{"role": "user", "content": "hello"}],
)

`AEGIS_DASHBOARD_API_KEY` はサーバー専用であり、ブラウザバンドルにシリアライズされることはありません。エクスポートエンドポイントは、キーごとのスコープが設定されている場合、`audit:export` スコープを必要とします。各バウンドZIPには、RFC 8785 JCS `manifest.json`、CIDv1で識別される正規のDAG-CBOR `ledger_slice.cbor`、`merkle_proof.json`、`audit_certificate.pdf`、および `VERIFY.sh` が含まれます。証明書は技術的な整合性レポートであり、認証や法的な証拠能力の結論ではありません。

## 厳格なデプロイパス

厳格モードは、本番環境での使用を想定した姿勢です。認証、永続的な証拠、強力な署名、境界付きリクエストボディ、分散型レート制限バックエンド、永続ストレージ、および設定済みのカーネル制御を必要とします。シークレットマネージャーを使用し、WALを永続的で所有者が読み取り可能なパスにマウントしてください。```bash
export AEGIS_SECURITY_ENFORCEMENT_MODE=strict
export AEGIS_API_KEYS='replace-with-a-secret-manager-reference'
export AEGIS_SIGNING_KEY='at-least-32-bytes-of-secret-material'
export AEGIS_RATE_LIMIT_BACKEND=redis
export AEGIS_REDIS_URL='rediss://redis.internal:6380/0'
export AEGIS_REQUIRE_DISTRIBUTED_LIMITER=true
export AEGIS_REQUIRE_DURABLE_EVIDENCE=true
export AEGIS_REQUIRE_LSM=true
export AEGIS_REQUIRE_SECCOMP=true
export AEGIS_MAX_REQUEST_BODY_BYTES=1048576
export AEGIS_BACKEND_URL='https://llm.internal.example/v1'
export AEGIS_WAL_PATH='/var/lib/aegis/aegis.wal.jsonl'

The keyring protocol, overlap window, expiry, rollback, and three-replica acceptance criteria are in [`docs/operations/KEY_ROTATION_RUNBOOK.md`](https://github.com/juanlunaia/aegis-latent-core/blob/HEAD/docs/operations/KEY_ROTATION_RUNBOOK.md). A keyring path is not a secret manager; the deployment must still establish custody, access control, atomic delivery, backup, destruction, and auditability.

## 証拠と署名モデル

ローカル台帳は、追記専用のJSONL WALであり、メモリ内の有界チェーンとオプションのアーカイブセグメントを備えています。各レコードには、リクエストとレスポンスのハッシュ、チェーンリンケージ、Merkleルート、署名メタデータ、およびリクエスト識別子が含まれます。WALは、永続的なレスポンスパスが完了する前にフラッシュされ、同期されます。

サポートされる署名方式はデプロイメントに依存します:

| 署名方式 | 適切な境界 | 重要な制限 |
|---|---|---|
| HMAC-SHA256 | 単一ノードまたは共有シークレットのセルフホスト型デプロイメント | 対称鍵。鍵を保持するすべての検証者が署名も可能。HMACは古典的であり、耐量子性はありません。 |
| HSM/Vaultバックアップ署名方式 | 鍵の分離またはリモート管理を必要とするエンタープライズデプロイメント | 可用性、ポリシー、TLS/mTLS、ローテーション、およびオフライン検証には、対象デプロイメント独自の証拠が必要です。 |
| ネイティブML-DSA-65署名方式 | 実際のRustバックエンドをビルドおよびロードする環境 | 保持されている100万サンプルの候補アーティファクトでは、`sign` に有意なタイミング差は見つかりませんでしたが（`p=0.8521504207157158`）、`verify` のしきい値は満たされませんでした（`p=0.0`）。定数時間の主張は承認されていません。[`docs/security/PQC_CONSTANT_TIME.md`](https://github.com/juanlunaia/aegis-latent-core/blob/HEAD/docs/security/PQC_CONSTANT_TIME.md) を参照してください。 |

Aegisは、ネイティブバックエンドが利用できない場合にML-DSA署名を偽造しません。バックエンドを利用不可として報告し、明示的な実際のフォールバックポリシーを要求します。`p > 0.05` のタイミング結果は、指定された実験条件下で統計的に有意な漏洩が検出されなかったことを意味するだけであり、定数時間実行を証明するものではありません。

## バックプレッシャーと障害セマンティクス

永続的な証拠はホットパスの不変条件です。ストレージまたは `fsync` の停止時には、リクエストパスは設定された境界に従ってブロックまたは拒否される場合があり、権限のある証拠を黙って破棄してはなりません。エンリッチメントキューはオプションの作業を拒否できますが、キューポリシーが管理された受理済みレスポンスを未記録のレスポンスに変えることはできません。

決定論的フォールトインジェクションハーネスは次のとおりです:```bash
PYTHONPATH=. .venv/bin/python tools/benchmarks/run_backpressure_stall.py \
  --duration-s 0.25 --offered-rps 10000 --fsync-delay-ms 2 --max-workers 64 \
  --output evidence/backpressure_stall_report.json