BoB by Canopy Seed
← ナレッジ
論文 書き起こし

BoBClaw：ハーネス優先の主権的エージェント基盤

技術ホワイトペーパー。BoB が、あなた自身が所有するコモディティモデル上で、いかにして frontier-class の長期タスク実行と検証可能な推論を実現するか。

概要

今日、多数の言語モデルを使う支配的な方法はアグリゲーションである。すなわち、指名したモデルへリクエストをルーティングする単一のエンドポイントだ。これはもはやコモディティである。それは「すべてを一箇所で」という課題を解決するだけであり、それ以上のものではない。そして、あなたのワークフローが依存するその一つのモデルが廃止されたり、価格を改定されたり、あるいは 2026年6月12日 に起きたように政府命令で削除されたりしたとき、それは何の保護も提供しない。

BoBClaw はアグリゲーションの上位に位置するレイヤーである。それは単一のテーゼの上に構築されたハーネス優先のエージェント基盤だ。すなわち、信頼性と能力はモデルではなく、足場（スキャフォールド）に属する。 モデルを差し替え可能な CPU として扱い、差別化された価値、すなわち検証、オーケストレーション、記憶、ガバナンスを、その周囲のハーネスに置く。正しく行えば、適切にオーケストレーションされ、敵対的に検証されたコモディティおよびオープンウェイトのモデル群は、エージェント的な作業にとって本当に重要な二つのもの、すなわち 長期タスクの実行 と 検証可能でセキュリティグレードの推論 を、frontier コストのごく一部で、ベンダーロックインなしに、そして輸出禁止され得るものを何一つ含まずに提供する。

これはポジションペーパーではない。ここで説明される基盤は、その大部分が自らを構築した。4回の自律的で数時間に及ぶエンジニアリング実行を通じて、それはコモディティ推論上で、それぞれ一桁ドルのコストで、ゼロリグレッションのまま789個の新規テストを生み出した。その検証の背骨、すなわち実在するモデルフリーの誠実性ハーネスは、ライブ実行の仕込みセットにおいて敵対的に仕込まれた偽の主張をすべて捕捉し、また、指向的な敵対的レビューはマージ前に実在するホストレベルのリモートコード実行の経路を捕捉した。アーキテクチャそのものが論拠である。

0. この瞬間：レンタルした能力は、剥奪され得る能力である

2026年6月9日、Anthropic は Fable 5 と Mythos 5 を、同社としてこれまでで最も高性能なモデルとしてリリースした。その3日後、6月12日午後5時21分（東部時間）、米国政府は輸出管理指令を発し、Anthropic に対して 米国内外を問わず、あらゆる外国籍の者、これには Anthropic 自身の外国籍従業員も含まれるが、そのアクセスを停止するよう要求した。コンプライアンスを選択的に行うことはできなかったため、モデルは すべての顧客に対して 停止された。表明された懸念は、Fable 5 の ソフトウェア脆弱性を自律的に特定し悪用する 能力を露呈させかねないジェイルブレイクであった。

この出来事の形をよく味わってほしい。

これはもはや、ヘッジすべき仮想的なリスクではない。それは、あなたのエージェントを単一のレンタルされた frontier モデルの上に築くことの、実証された障害モードである。今やすべての真剣な構築者が答えなければならない問いはこうだ。そのモデルが禁止され、廃止され、あるいは手の届かない価格になった日、あなたのエージェントは一体何なのか？

アグリゲーターの答えは「別のモデルへルーティングする」だが、もしあなたのワークフローが Fable クラスの能力に依存していた のなら、より弱いモデルへのルーティングは劣化であって、継続性ではない。BoBClaw の答えは異なり、それがこの論文の主題である。その能力は、そもそも一つのモデルの中に存在したことがない。

1. アグリゲーションは最低条件；製品はその上位レイヤーである

モデルアグリゲーターは、多数のモデルに対して一つの API を提供する。それは真に有用であり、真にコモディティ化されている。OpenRouter、LiteLLM、その他数十がそれを行っている。それは「小さな城」だ。すべてを一箇所で。それは弱いモデルを強くはしないし、それ自身で多段階の作業を成し遂げもせず、あなたを主権的にもしない。それはただアクセスを仲介するだけだ。

BoBClaw はその上位レイヤーである。その価値は「すべてを一箇所で」を 超えた すべてであり、それは三つの追加要素の上に成り立つ。

  1. 検証は、安価なモデルを信頼できるものにする。 コモディティモデルの出力は、それがいつ誤っているかを知るあなたの能力と同程度にしか良くない。BoBClaw は、あらゆる重大な主張とあらゆるアクションを、それが成立を許される前に 異なるモデルファミリーによって敵対的にチェックされる べき仮説として扱う（§4）。これこそが「安価だが信頼できない」を「安価で信頼できる」へと変えるものである。
  2. オーケストレーションは、実際の作業を成し遂げる。 単一のルーティングされた呼び出しは、一つの問いに答える。艦隊、すなわち頂点のプランナー、マネージャー、ワーカー、そしてクリティックが、耐久的な台帳の上で協調して、プロジェクト を完遂する。分解し、扇形に展開し、構築し、テストし、修復し、検証し、マージする（§3、§5）。
  3. 能力クラスの規律は、それを主権的にする。 ロジックの中でバックエンドは一切名指しされない。ロールはフォールバックチェーンを伴う 能力クラス を要求する。モデルを禁止されても、キーを失っても、価格の急騰を目にしても、そのクラスは次のプロバイダー、必要ならローカルへと再解決される。システムは、それをオーケストレーションしているものを含め、いかなる単一ベンダーの喪失をも生き延びる（§9）。

ハーネス優先のテーゼ

従来の枠組みは、モデルを製品として、その周囲のコードを接着剤として扱う。BoBClaw はこれを反転させる。ハーネスが製品であり、モデルは差し替え可能な CPU である。 信頼性、自律性、記憶、ガバナンスは足場の性質であり、他のあらゆるシステムと同様に工学的に設計され、テストされる。モデルは生の知性を供給し、ハーネスはその知性を 信頼でき、所有できる ものにするすべてを供給する。

その帰結が、この論文の中心的な主張である。frontier モデルを所有せずとも、frontier-class のエージェント的成果は得られる。所有すべきはハーネスである。

誠実な範囲。 我々は、BoBClaw の基盤モデルが同条件のベンチマークで Fable 5 の生の知性に匹敵すると主張しないし、この論文はそのような測定を一切行わない。主張はより狭く、擁護可能である。すなわち、エージェント作業にとって重要な成果、持続的な多段階実行と検証可能でセキュリティグレードのレビューは、輸出管理の対象ではなく、また対象になり得ないモデル上で、オーケストレーションと検証を通じて再現可能に達成できる、というものだ。

2. システム概観

BoBClaw は、四つの協調するサービスと、少数の補助デーモンから成る。

サービス役割デフォルトポート
coreオーケストレーションエンジン。コンパイルされたエージェントグラフ。ルーティング、ディスパッチ、ワーカー／マネージャー／クリティックのトポロジー、モデルバックエンド、検証の背骨、記憶、予算、そして耐久的な台帳。7825
gatewayREST + WebSocket API とウェブ UI。JWT/TOTP 認証、会話、プロジェクト、承認、チーム、ルーティングビュー、記憶の検査。7826
claude-pipelineCLI 駆動のプランニング層のためにサブプロセスとして呼び出される薄いラッパー。(サブプロセス)
appKotlin Multiplatform のデスクトップクライアント、日常の主力。ストリーミングチャット、会話履歴、アーティファクトキャンバス、ルーティング／JOAT ビュー、そしてチームビルダー。(ネイティブ)

補助デーモン（すべて任意で、すべて差し替え可能）：Postgres（本番状態；ホットパスでは SQLite）、Qdrant（ベクトル）、Redis（スロットルのピンと短 TTL のヘルスキャッシュ）、そして埋め込み、抽出、オンデバイス推論のための ローカルモデルホスト（llama.cpp / Ollama / LM Studio）。

実質的なすべては core のコンパイルされたグラフ の内側で起きる。ユーザーのターンが入り、face/バックエンドへルーティングされ、ディスパッチされ、任意で艦隊に扇形展開され、検証され、システムの真の記憶である追記専用の台帳へコミットされる。残りの各節では、その「アグリゲーションの上位レイヤー」を構成するグラフの各部を辿っていく。

3. 艦隊オーケストレーション：ロール、チーム、そして脱相関

アグリゲーションは 呼び出し をルーティングする。BoBClaw は チーム内のロール をルーティングする。

ロール。 作業は三つのロールで表現される。apex（タスクを分解し結果を統合するプランナー／オーケストレーター）、worker（労働を行うサブエージェント）、そして critic（敵対的な監査者）だ。ロールは、呼び出し箇所でハードコードされるのではなく、ルーティング層（core/teams.py）によって具体的なバックエンドへ解決される。

バックエンド。 この基盤は、意図的に異種混成にされた広範なプロバイダー群と会話する。llama.cpp 経由のローカル Qwen、DeepSeek V4（安価な労働の主力）、Kimi（プラン層の調整）、GLM（監査／クリティック層）、Gemini、Claude ファミリー（CLI サブスクリプションまたは API）、Codex、MiniMax、Ollama、LM Studio、そして OpenCode のローカルプール。新しいバックエンドは core/backends/ 配下へのファイルローカルな追加であり、一つが追加されても削除されてもトポロジーは変わらない。

チームとプロファイル。 チーム はロール→バックエンドのロースター（例：apex=Kimi、worker=DeepSeek、critic=GLM）である。プロファイル（すなわち「face」、約19個が出荷済み）は、ロールに how を重ねる。システムプロンプト、優先およびエスカレーション用バックエンド、姿勢、そして境界だ。チームは YAML としてユーザーが記述可能であり、プロファイルは検証されバージョン管理される。これこそが、同じタスクを、コードではなく設定によって、安価な単一ワーカーとして、数十のファンアウトとして、あるいは複数席が熟議する評議会として実行できるようにするものである。

クロスファミリーの脱相関、検証を意味あるものにする設計原則。 バックエンドは ファミリー（FAMILY_BY_BACKEND）へとグループ化される。規則はこうだ。クリティックは、それが監査するアクターとは異なるファミリーから来なければならない。 DeepSeek のワーカーが別の DeepSeek インスタンスによってチェックされることは決してない。それは GLM または Claude によってチェックされる。同一ファミリー内のエスカレーションは構造上禁じられている。相関した誤り、すなわちモデルが自らと同種の誤りを自信満々に追認してしまう障害モードは、望みで済ませるのではなく、設計によって排除される。この原則こそが、§4 に牙を与えるものである。

ヘルス認識ルーティング。 ライブのヘルスプローブ（core/health_probe.py、起動時に配線される）は、各バックエンドの実際の呼び出し経路を模倣し、結果を短時間キャッシュし、フェイルオープンする。優先バックエンドがスロットルされたりダウンしたりしているとき、ルーターは停止するのではなくエスカレーションチェーンを辿る。

4. 検証の背骨：安価が信頼できるものになる場所

これが差別化要素だ。ほとんどのシステムは生成し、そして提示する。BoBClaw は生成し、そして 脱相関されたクリティックに対して敵対的に検証し、そして提示する。そして「検証できなかった」を、暗黙のパスではなく、一級の、失敗ではない結果として扱う。

背骨は四つの部分から成り、それぞれがテスト済みのモジュールであり、リサーチレーンと GUI レーンの 両方 で使われる。

測定された結果、正確に述べる。 誠実性の指標それ自体が測定可能である。false_pass_rate（core/ses/falsepass.py）は実在するモデルフリーのハーネスであり、意図的に仕込まれた、もっともらしいが誤った 主張のうち、クリティックが誤って通過させてしまう割合を採点する。ライブのエンドツーエンド実行において、実在するクロスファミリーのクリティックは 仕込みセットに対してゼロの偽通過 を出した。しかしそのセットは小さく、手作業で作成されたもの（ほんの数項目）であったため、誠実な主張は「ハーネスは偽通過率を 測定 し、クリティックは仕込みセットに対してクリーンな成績を出した」であって、「保証された0%の率」ではない。それを堅牢化するには、より大きく、第三者が実行可能な仕込みコーパスが要る。いずれにせよ論点は揺るがない。安価なモデルは 信頼される のではなく、デフォルト失敗のバイアスを持って、異なるファミリーによって チェックされる のである。

5. ビルドレーン：隔離された検証ゲートを伴う契約優先の構築

ビルドレーンは「セキュリティグレード」レビューの最も明快な実証である。なぜなら、ここではシステムがモデルの書いたコードを実行するからだ。

グラフ経路はこうだ。build_request → plan_contracts → dispatch → worker ×N → join → verify → {repair → verify}* → END。

約束ではなく、証明。 ライブのエンドツーエンド実行において、8個の契約が、ビルドされ、実行され、8/8のテストに合格する8個の実装を生み出した。完全にサンドボックスで隔離されてだ。それに続く、フルブランチに対する最大努力の 指向的 コードレビューは、実在するホストレベルの RCE、すなわちホスト上で審査されない契約署名がインポートされていたものを捕捉し、加えて偽のグリーン経路と、あるパース破損を、すべて マージ前に 捕捉した。セキュリティ姿勢は二層であり、どちらの層もモデルを信頼しない。RCE を 捕捉した（検出）のは 指向的な敵対的レビュー であり、実行時にモデルの書いたコードを 封じ込める（緩和）のは Docker サンドボックスである。誠実な枠組みはこうだ。ゲートは悪い振る舞いを 前提とし、レビューはそれを 狩る。自律的なゲートが自力で RCE を検出したのではない。

6. リサーチレーン：引用された推論、主張ごとに検証される

リサーチレーンは、反復的なラウンド再構築を伴うオーケストレーター＝ワーカーのループであり、そこは含意ゲート（§4）がユーザーに見える保証となる場所だ。

したがって出力契約は異例に強い。ページまで生き残った数値は、その引用出典を脱相関されたクリティックによって再読されており、裏付けられなかった数値は、自信に満ちた捏造ではなく、明示的な既知の未知として現れる。

7. GUI コンピュータ利用レーン：行動し、そして世界が変わったことを検証する

実際の UI を操作することは、エージェントが紙の上では「成功」しながら現実では失敗することが最も多い場所である。BoBClaw の GUI レーン（core/gui/）は、同じハーネス優先、デフォルト失敗の規律を、ピクセルとアクセシビリティツリーに適用する。

内側のループは capture → ground → act → verify であり、いかなるモデルも導入される前の、決定論的でモデルなしのロジックとして、床（フロア）から先に構築される。

このパターンは三つのレーンすべてで一貫している。モデルは提案し、決定論的なゲートと脱相関されたクリティックが処分する。「完了」は検証された事後条件に対して勝ち取られる。

8. 記憶と知識の基盤

耐久的な記憶を持たないエージェントは、同じ結論を永遠に再導出する。BoBClaw の記憶は、推論が 一度コンパイルされ、そして最新のまま保たれる よう設計されている。

知識アーキテクチャ（v1.0 知識ホワイトペーパーで敷かれた基礎であり、いまやこのシステムの一部）。知識は、クエリごとに生の文書から再検索されるのではなく、構造化された永続的なストアへとコンパイルされる。人とプロジェクトは、文脈を蓄積していく一級のエンティティである。そして lint エージェントの階層、すなわち継続的で低コストな監視のための小さな2B未満のモデル、実質的な分析のための中規模モデル、システム横断的なパターン認識のための frontier モデル、が免疫系として働き、知識ベースの一貫性を保ち、エージェントが自らの運用履歴から改善できるようにする。

ランタイム記憶モジュール（core/memory/）。追記専用の L0 イベントログ（SQLite）、バックグラウンドの L1 事実抽出（小さなローカルモデル）、フィンガープリントベースの重複排除、そしてディスパッチ前に関連する事実をプロンプトへ継ぎ込む想起ステップ、そしてこれは フェイルオープンする。欠けたベクトルはスキップされ、致命的になることは決してない。

単一の耐久的基盤（LKS）への収束。 並行する記憶実装を永遠に維持するのではなく、BoBClaw は、ガードされた読み書きブリッジ（core/memory/lks_adapter.py、write_fence.py）を通じて、その記憶を Local Knowledge Substrate へと収束させつつある。ゼロベクトルガード、コレクションにバージョンを刻印する埋め込みフィンガープリント、読み取りアダプター、そして単一書き込み者の書き込みフェンス、これらが一つのベクトルストアへと統合される。

台帳が記録の正本である（core/ledger/、core/harness/）。状態は追記専用の git ネイティブなコミット DAG であり、マージ時に軌跡ごとに一つのコミットとなる。文脈は、モデルのコンテキストウィンドウにたまたま残っているものを信頼することによってではなく、台帳をスライスすること によって再構築され、構造化された失敗ノートは常に圧縮を生き延びる。スーパーバイザー（core/harness/supervisor.py）は、死んだサブエージェントをリトライ可能なエラー（「ペットではなく家畜」）として扱い、台帳からリプレイして再開できる。これが、人間がコンテキストを子守りすることなく長期タスクの自律性（§9）を可能にする耐久層である。

9. 主権と経済性

上記のすべては、アグリゲーション単独では提供できない二つの性質へと収束する。

9.1 派生的性質としての主権

ロジックの中でバックエンドが一切名指しされず、フォールバックチェーンを伴う能力クラスへ解決されるロールのみが存在するため（core/teams.py）、出荷された基盤はいかなる単一のモデルまたはベンダーへのハード依存も持たない。それが正確で擁護可能な主張である。それが意味すること、そして意味しないことを、正確に述べる。

だからこそ、このシステムを定義する仕様書は、この論文が書かれる前に すでにその停止を設計根拠として引用していた。「2026年6月12日の Fable 5 / Mythos 5 の停止は、単一の指令によって、数時間のうちに、展開されたモデルをその全世界のユーザー基盤に対してオフラインにした。」 主権は設計の前提であり、ニュースはそれを裏付けた。

9.2 経済性

高価な層はオーケストレーションと裁定であり、負荷を担う労働はコモディティ価格である。自律的なビルド実行（下記§）で測定し、償却すると：

層役割償却コスト根拠
DeepSeek V4 Flashワーカー、全コード + 294個のテストを執筆< $1真の PAYG 限界費用
KimiApex、ファンアウト調整~$0.46$40/mo プランの1週間の約5%
GLM 5.2クリティック、敵対的監査~$0.15$65/mo プランの1週間の約1%
Claude Opus指揮者 + マネージャー、オーケストレーションのみ~$2$100/mo Max プランの 1週間の約9%
合計,~$3-4約5時間の自律的ビルドに対して

記録された訂正（2026-06-30）： 以前の回顧では Claude 層を 月次 プランに対して償却し、~$9 と報告した。正しい根拠は1 週間 の割当の約9% ≈ ~$2 であり、およそ4分の1であって、これは実行総額を ~$10-11 から ~$3-4 へと引き下げる。Kimi/GLM の行はすでに週次であった。照合済み： 独立監査は訂正後の ~$3-4 の総額を 支持される（算術は健全）と評価する。ただし、真の従量課金の限界費用であるのは DeepSeek のみであり、Kimi、GLM、Claude は定額プランの償却された割合であって、別途計量された課金ではないという注意付きである。

誠実な注意点、率直に述べる：

要点はこうだ。5時間の自律的エンジニアリング実行が、完全に検証され、償却して数ドルで行われ、そして最も高価な構成要素は労働ではなく 差し替え可能な オーケストレーターである。

10. 証拠と限界

構築され、測定されたもの

限界と誠実な範囲

再現性

この基盤は検査可能である。この論文のあらゆる主張は、BoBClaw リポジトリ内のモジュール、テスト数、または実行記録に対応する。検証の背骨（core/verify/、core/ses/）、ビルドサンドボックス（core/build/）、台帳（core/ledger/）、そして tasks/ 配下の回顧および結果文書だ。この論文に付随する claims-ledger 監査は、負荷を担う各数値をその出典に対して記録している。

11. 結論

一つの frontier モデルが政府命令によってオフラインにされた週は、業界の中心的な前提、最良のモデルをレンタルしてその上に築く、が安全でなくなった週である。アクセスは条件付きだ。地理が決定的だ。あなたが所有していない能力は、火曜日と金曜日の間に取り上げられ得る。

BoBClaw は、所有すべき耐久的なものはモデルではなく ハーネス である、という賭けだ。すなわち、脱相関された検証を通じてコモディティモデルを信頼できるものにし、オーケストレーションを通じて生産的にし、能力クラスの主権を通じてあなたのものにする基盤である。アグリゲーションは、他人の城への鍵をあなたに与える。BoBClaw はその上位レイヤーであり、鍵が剥奪されたときにも動き続けるものである。

ドラフト v0.95、負荷を担う主張は独立した claims-ledger 監査（audits/claims-ledger-v1.md）に対して照合済み。付随文書：ビルドストーリー「How BoB Built BoB」（そのドッグフーディング実行、物語形式）。