APIキーを渡さないエージェント委譲基盤を公開

ACPは、エージェントが単一ユーザーのローカルツールではなくなった段階で生じる空白を狙っている。著者によれば、既存のマルチエージェントフレームワークやMCP、Google A2Aなどの標準は、異なる所有者間で使うと3つの壁にぶつかる。資格情報の露出、検証不能な分離主張を伴うセッションの混同、そしてインバウンドポートの開放やVPN共有の必要性だ。

設計はそれぞれに直接応じている。資格情報はホスト側に留まりリクエスト時にのみ注入されるため、ワーカー内でのメモリダンプやリモートコード実行では何も得られない。双方がリレーへアウトバウンド接続するため、どちらも待ち受けポートを開かない。受領書の署名が実効的な分離レベル（サブプロセス、コンテナなど）を束縛するため、コンテナ分離を主張しながらサブプロセスで動くワーカーは検証ゲートで拒否される。

安全性の主張だけに頼らず、環境ダンプ、シェルインジェクションのペイロード、リレー盗聴、SSRF、契約の1バイト改ざんという5つの攻撃シナリオを実行するレッドチームスイートを同梱し、すべて遮断されたと報告している。Cloudflare Workers上の公開リレーとAGENTS.md、SKILL.mdファイルにより、Claude Code、Codex、Cursorで署名付き委譲のデモをすぐに試せる。