現場監督と記録係

012 つのリポジトリ

02Context Pointer OS

会話履歴をコンテキストに詰め込む代わりに、Context Pointer（#ctx）で情報を mount / swap / 保護する、長文脈エージェント向けの仮想メモリ層です。

git clone https://github.com/kagioneko/context-pointer-os
cd context-pointer-os
export PYTHONPATH=$PYTHONPATH:$(pwd)/src
python3 src/cpos/demo_core.py

--- [BOOTLOADER] Starting Runtime Sequence ---
[BOOT] Step 1: >MEM:LOAD #ctx7 !9  (System State)
[BOOT] Step 2: >MEM:LOAD #ctx20 !9 (Agent Identity)
...
--- [WATCHDOG IRQ] SYSTEM ANOMALY DETECTED ---
System Status after Watchdog IRQ: Stable (corruption=0.0)

命令は 2 種類。4 文字の機械語 AIT（[Domain][ID][Action][Priority]、例 m1l5 = Memory ctx1 Load 優先度5）と、人間向けのアセンブリ EAP（例 >MEM:LOAD #ctx1 !5）。

03Engine-Zero の構成

User / Agent Input
        |
  Context Router   classify: relationship / task / hybrid / dangerous
        |
  +-------------+-------------+---------------+----------------+
  | Context     | Task Tape   | State/Runtime | Security Gates |
  | Pointer OS  | append-only | short-lived   | auth / policy  |
  +-------------+-------------+---------------+----------------+
        |
  Review-Gated Execution Pipeline
        |
  Persistence Boundary
    Store:       hashes, sizes, statuses, pointers, audit metadata
    Never store: secrets, raw stdout/stderr, raw diff, request bodies

関係の記憶・タスクの実行履歴・短命なランタイム状態を分けて持ち、層をまたぐ情報は管理されたポインタと審査済みの Task Tape イベントだけで渡します。失敗したコマンドや一時的な状態で長期記憶が汚れないようにするためです。

04起動とプリフライト

git clone https://github.com/kagioneko/cpos-engine-zero
cd cpos-engine-zero
python3 -m venv .venv
.venv/bin/pip install -r requirements.txt

# 起動前の点検（プロファイル・Docker・HMAC 鍵・クライアント証明書など）
.venv/bin/python -m cpos.preflight --profile hardened

# 点検と設定の適用は別。サーバーにもプロファイルを明示する
CPOS_SECURITY_PROFILE=hardened .venv/bin/python server.py   # PORT（既定 8080）。certs/ に証明書があれば HTTPS

05セキュリティプロファイル

CPOS_SECURITY_PROFILE で姿勢を切り替えます。プロファイルが設定するのは既定値だけで、個別に明示した変数が優先されます。現在の姿勢と検証結果は GET /security-profile で確認できます。

このほか、HMAC・Bearer トークン・mTLS フィンガープリント・IP 許可リスト・レート制限のミドルウェアがあります。

06サンドボックス

検証は既定で強化した Docker サンドボックスの中で動きます（CPOS_SANDBOX_MODE）。

Docker のフラグ：--read-only --cap-drop ALL --security-opt no-new-privileges --network none --memory / --cpus --pids-limit、/tmp は noexec の tmpfs、プロジェクトは /app に読み取り専用でマウント。上限は CPOS_SANDBOX_MEMORY / CPOS_SANDBOX_CPUS / CPOS_SANDBOX_PIDS_LIMIT で調整します。

07審査つき実行ループ

危ない段階はすべて審査を通し、失敗は「自動で再実行」ではなく、メタデータだけのやり直し計画になります。

GitHub PR dry-run
  -> GitHub diff review
  -> Sandbox patch plan
  -> Sandbox execution review
  -> Isolated sandbox run
  -> Completed result metadata
  -> Retry review -> Replan template -> Diff intake checklist
  -> Auto Fix Candidate -> Diff Review Draft
  -> Human-supplied GitHub diff review
  -> Back to sandbox execution

• この計画・審査の段階では、branch・commit・push・PR は作られません
• diff の本文は審査・実行の入力として受け取りますが、Task Tape には保存しません
• stdout / stderr の本文は保存せず、ハッシュ・サイズ・終了コード・状態フラグだけを残します
• 検証コマンドは許可リスト方式で、シェルのメタ文字は拒否されます

人間の確認待ちは GET /human-escalations にまとまります。承認・却下は、それぞれの審査の持ち主のエンドポイント（例 /sandbox/executions/<task_id>/reject）に戻して行い、承認の窓口を二重に作りません。

08外部エージェント連携

別のエージェント（Codex 系など）の横に、防御用のランタイムとして置けます。外部エージェントは「やりたいこと」や「やった結果」をメタデータとして送り、CPOS はそれを記録して、危ないものを確認待ちに回します。外部エージェントのコマンドを CPOS が実行することはありません。

POST /agent-adapter/intake          # command_request / execution_result などを送る
GET  /agent-adapter/actions         # 審査待ちの契約
GET  /agent-adapter/execution-results
GET  /human-escalations

承認は「この契約を確認した」という意味で、「今すぐ実行してよい」ではありません。入門は docs/EXTERNAL_AGENT_5_MIN_GUIDE.md、スキーマは docs/AGENT_ADAPTER_SCHEMA.md、秘密を含まない送信例は examples/payloads/。

MCP 対応は意図的に控えめです。コネクタ定義は静的に検査・審査されてから登録され（リモートは https:// を必須とし、https://user:token@host のように URL に資格情報を埋め込んだ定義は拒否。認証情報は環境変数の秘密ファイルで渡すのが前提）、実行要求は dry-run（メタデータのみ）。実際の MCP ツール実行は既定で無効です。

09取扱上の注意

10関連パーツ