モジュール XXIII — モデル運用

モジュール XXIII は、モデルスタックのうち所有モデルを扱う側です。モジュール X （models & providers）が利用するモデルのリファレンスカタログとルーティングを ガバナンスするのに対し、このモジュールは自組織が所有し運用するモデルを ガバナンスします。具体的には、バージョン管理されたレジストリ、デプロイ可能な バージョンを決定する署名済みモデルのアドミッションゲート、それらを提供する ローカル推論デプロイです。このモジュールは追跡とガバナンスを行いますが、 モデルのトレーニング、ファインチューニングジョブの実行、推論処理自体は決して 行いません。

このモジュールのコンソールサーフェスは、Intelligence グループの Model Operations です。所有モデル、データセット、ファインチューニングジョブ、 アドミッション、デプロイ、AIBOM seal ledger のタブがあります。サプライヤーの GPAI ポスチャ（プロバイダー単位）は Models & providers にあり、エージェントの サプライチェーンは別のビューです。どちらも所有モデル単位ではなく、プロバイダー 単位またはエステート単位の関心事項です。

このモジュールの構成

相互に連携する 3 つのサーフェスがあり、すべてデニークローズドで監査されます。

• 所有モデルとバージョン。 自組織が所有するモデル（hosted、fine_tuned、 imported）のレジストリです。各モデルにはアーティファクトを指定する不変の バージョンがあります。バージョンを記録した後、その署名済みアーティファクト をアドミットします。バージョンの行自体は決して変更されません。
• アドミッション。 テナントごとのトラストポリシーと、記録された判定 の履歴です。ポリシーには、CA ルートまたは公開鍵（あるいはその両方）と、任意の Sigstore ID および発行者というトラストアンカーを指定します。署名の方式は設定 内容から導出されます（sigstore-keyless、certificate-pki、bare-key）。 空のポリシーは何もアドミットしません。バージョンをアドミットすると、署名 bundle がポリシーに照らして検証され、その判定が記録されます。検証に失敗 した判定も隠されず、事実どおりに記録されます。
• デプロイ。 ローカル推論デプロイ（vLLM、Ollama、llama.cpp など）です。 テナントが署名済みモデルを強制している場合、バージョンを参照するデプロイの 作成または更新時にアドミッションを再検査します。そのバージョンに検証済みの 判定がない場合、またはそのバージョンをアドミットしたトラストルートがポリシー から削除されている場合、デプロイは拒否されます。

リネージと証拠

• データセット。 最小限のデータだけを持つリネージコンポーネントで、名前、任意 のコンテンツ参照とハッシュ、分類、ガバナンスラベルを保持します。データセット の内容は決して保持しません。データセットはテナント全体に属します。任意の モデル参照はリネージを示すポインターであり、デニークローズドで検証されます。 verified は来歴に関する運用者の主張であって、暗号学的な結果ではありません。 コンソールもそのように表示します。
• ファインチューニングジョブ。 外部で実行されたファインチューニング作業と、 それぞれが生成したモデルのバージョンを記録します。コントロールプレーンは トレーニングを開始、キャンセル、実行せず、重みやデータセット内容も保存しません。 これはインベントリレコードであり、トレーニングランチャーではありません。
• AIBOM とモデルカード。 所有モデルから、ライブな CycloneDX AIBOM（または SPDX 3.0.1 シリアライズ）とモデルカード（JSON または Markdown）を生成 できます。いずれも読み取り専用です。生成した文書は、seal するまで証拠では ありません。seal は、正規化されたコンテンツハッシュのコミットメントを監査台帳 にアンカーします（常に CycloneDX であり、SPDX は seal できません）。台帳に 保存されるのはハッシュだけなので、seal receipt を受け取る時点が seal 済み文書 を保存できる唯一の機会です。モデル横断の AIBOM seals タブは、それらの コミットメントを保持する永続的な追記専用台帳です。

強制する内容

require_signed が有効な場合、モデルバージョンを参照するデプロイがアドミットされる のは、そのバージョンに検証済みのアドミッション判定があり、アンカーとなった トラストルートが現在も設定されている場合だけです。ポリシーからルートを外す 変更は既存の判定にも遡って作用し、そのルートだけでアドミットされたバージョンの 将来のデプロイ作成/更新が拒否されます。先に現在のアンカーで再アドミットする 必要があります。 これは、エンジンが各判定の signer_roots に記録するのと同じアンカーピンです。 どのルートがバージョンを保証したかを運用者が正確に確認できるよう表示されます。

このモジュールではないもの

• トレーニングやファインチューニングジョブを実行しません。リネージのために その状態を記録します。
• 推論を提供しません。推論を提供するデプロイレコードをガバナンスします。
• 保存済みの判定だけから「現在デプロイ可能」と判断しません。正となるのは デプロイ時にエンジンが行う再検査だけなので、コンソールは過去の履歴だけを根拠に バージョンを trusted または deployable と表示しません。

エージェントのサプライチェーン

独立した Agent Artifacts コンソールビューには、テナントのエステート全体に 関わる 4 種類のアーティファクト、すなわち Agent Skills、.mcpb 拡張、MCP App の ui:// テンプレート、AGENTS.md 指示ファイルを登録します。レジストリが保存する のは ID、来歴、コンテンツのフィンガープリント、ポスチャのメタデータであり、skill の本文、manifest、指示テキストは決して保存しません。ポスチャグレードは、コネクタ の scanner または運用者が記録したスキャン結果であり、コンソールがスキャンを 実行した結果ではありません。グレードがない場合は、未スキャンとして中立的に表示 されます。

この CycloneDX 1.6 agent-supply-chain BOM は、モデル単位のリネージ AIBOM とは 別物です。seal は、正規化されたコンテンツハッシュのコミットメントを独立した models.agent_aibom 台帳へ追記します。一方、返却された receipt が seal 済み文書 の唯一のコピーとして残ります。カバレッジは登録済みアーティファクトだけです。 登録されていないアーティファクトは表現されません。