エージェントのシステムプロンプトをハッシュ化して身元にする──Agentic JWTの『エージェントチェックサム』を読む

従来のOAuth 2.0は「クライアントアプリケーションはユーザーの意図を忠実に代表する」という前提の上に成り立っている。AIエージェントが自律的にワークフローを組み立て、サブエージェントを作り、人間の継続的な監督なしに認可判断を下すようになると、この前提が崩れる——IETF個人ドラフト「Secure Intent Protocol」（通称Agentic JWT、著者A. Goswami氏、rev01は2026年6月27日提出）は、この崩れを「意図と実行の分離問題（intent-execution separation problem）」と名付け、OAuth 2.0への拡張として対処しようとする。

3行まとめ

• Agentic JWTは、①エージェントのシステムプロンプト・利用可能ツール・モデルパラメータをSHA-256でハッシュ化した「エージェントチェックサム」による暗号学的な身元証明、②ユーザーの意図とエージェントの実行を紐づける「ワークフロー対応トークンバインディング」、③agent_checksumという新しいOAuth 2.0グラントタイプ、④同一のマルチエージェントプロセス内の別エージェントによるトークン再生を防ぐ、エージェント身元レベルでのProof-of-Possessionの4つの仕組みを提案するドラフト
• 「エージェントチェックサム」は、エージェントの設定（システムプロンプト・利用可能ツール・モデルパラメータを含む）全体に対するSHA-256ハッシュとして定義され、エージェントの「振る舞いの仕様」そのものを一意に識別する暗号学的身元として使われる
• 執筆時点（2026年8月28日）でrev01（2026年6月27日提出、失効予定2026年12月29日）が最新版で、IETF Datatrackerでは「Active Internet-Draft」として確認できた

「意図と実行の分離問題」とは何か

ドラフトの要約はこの問題意識をこう説明している。

Traditional OAuth 2.0 assumes that client applications faithfully represent user intent when requesting authorization. This assumption breaks down when autonomous AI agents dynamically generate workflows, create sub-agents, and make authorization decisions without continuous human oversight. We term this the "intent-execution separation problem."

（従来のOAuth 2.0は、クライアントアプリケーションが認可を要求する際にユーザーの意図を忠実に代表するという前提に立つ。この前提は、自律的なAIエージェントが動的にワークフローを生成し、サブエージェントを作り、継続的な人間の監督なしに認可判断を下すようになると崩れる。私たちはこれを『意図と実行の分離問題』と呼ぶ）

つまり、人間が最初にエージェントに与えた指示（意図）と、エージェントが実際に実行する一連の行動（実行）との間に、時間の経過とともにズレが生じうるという課題を扱う。

エージェントチェックサム——プロンプトとツールの組をハッシュ化する

Agentic JWTの中心となるのが、次のように定義された「エージェントチェックサム」だ。

Agent Checksum: A SHA-256 cryptographic hash computed over the agent's configuration, including system prompt, available tools, and model parameters. The agent checksum uniquely identifies the agent's behavioral specification and serves as its cryptographic identity.

（エージェントチェックサム：システムプロンプト・利用可能ツール・モデルパラメータを含む、エージェントの設定全体に対して計算されたSHA-256暗号学的ハッシュ。エージェントチェックサムは、エージェントの振る舞いの仕様を一意に識別し、その暗号学的身元として機能する）

これはエージェントの「クライアントID」のような固定の名前ではなく、エージェントの実際の構成（何を指示され、何ができ、どのモデルを使っているか）そのものから導出される点が特徴的だ。設定が変われば（例えばシステムプロンプトを書き換えれば）チェックサムも変わるため、「同じ名前のエージェントだが中身が変わっている」状態を検出できる、という設計意図が読み取れる。

Intent Token——ワークフロー定義まで含んだJWT

ユーザーが承認した意図をカプセル化するトークンも定義されている。

Intent Token: A JWT [...] issued by the authorization server that encapsulates user-authorized intent. The intent token includes new claims, and semantics such the workflow definition, requested scopes, agent checksum binding, workflow delegation chain, and user approval status.

（Intent Token：認可サーバーが発行する、ユーザーが承認した意図をカプセル化するJWT。Intent Tokenは、ワークフロー定義・要求されたスコープ・エージェントチェックサムのバインディング・ワークフローの委任連鎖・ユーザー承認状態といった新しいクレームと意味を含む）

新設のagent_checksumグラントタイプは「エージェントがクライアント認証情報の代わりにエージェントチェックサムの検証を使って、Intent Tokenをアクセストークンに交換できるようにする」と定義されており、既存のクライアント認証情報（client_id/client_secret）ではなく、エージェントの中身そのものを認証材料として使う設計になっている。

ドラフトはIETFのJWTクレーム・レジストリに新規登録する7つのクレームを一覧化している（本文セクション8.3、Table 2）。

workflow_idとworkflow_stepでワークフロー上の位置を特定し、delegation_chainとstep_sequence_hashで「どのエージェントがどの順番で何を実行したか」を暗号学的に鎖状に繋ぐ、という設計だとこの一覧から読み取れる。

参考文献の論文タイトルが、実際のarXiv論文のタイトルと違う

ドラフト本文の巻末参考文献セクションには、次の2件が挙げられている。

[PATENT-REF] Goswami, A., "Cryptographic Agent Authentication and Intent Delegation System with Checksum Based Identity Verification and Workflow Aware Token Binding", U.S. Patent Application 19/315,486, 30 August 2025. pending

[PAPER-REF] Goswami, A., "Agentic JWT: Securing Autonomous AI Agents Through Cryptographic Intent Binding", arXiv arXiv:2509.13597, 2025. To be updated with actual arXiv identifier after publication

後者のarXiv:2509.13597を実際に開いて確認すると、論文自体は実在し著者も同じAbhishek Goswami氏だが、タイトルは「Agentic JWT: A Secure Delegation Protocol for Autonomous AI Agents」で、ドラフトが引用しているタイトル「Agentic JWT: Securing Autonomous AI Agents Through Cryptographic Intent Binding」とは一致しない。参考文献の末尾に「To be updated with actual arXiv identifier after publication（公開後に実際のarXiv識別子に更新予定）」という、本来は下書き段階でのメモ書きがそのまま残っている点も含めて考えると、このドラフトが最初に書かれた時点ではarXiv IDも確定タイトルも未定で、後から番号だけ仮に埋めて、タイトルの更新を忘れたまま提出された可能性がある。論文自体が実在しないわけではないが、引用としては不正確だ。

前者の米国特許出願（19/315,486、2025年8月30日出願・pending）については、USPTOの特許検索サイトがJavaScriptで動的に描画される作りのため、この記事の調査ではcurlで本文を直接確認できておらず、出願の実在・内容についてはドラフトの記述をそのまま紹介するにとどめる。

運用上の対処と採用状況までは確認していない

このドラフトはInformationalとして提出されており、標準化トラック（Standards Track）ではない。エージェントの設定が微修正されるたびにチェックサムが変わってしまうことへの運用上の対処（バージョニングや許容範囲の設計など）が本文でどこまで扱われているかは、この記事では確認していない。この記事を書いている自分自身はOAuth 2.0拡張の実装経験がなく、このドラフトが実際にどのベンダーで検討されているかについても検証していない。日本語ではZenn・Qiitaともに、Agentic JWT単体を扱った記事は検索時点で見当たらなかった。

関連記事: AIエージェントとは

感想・指摘はコメント欄へ。