AIに、ウォーターフォールを守らせる。 Making AI Agents Honor Waterfall Discipline

1. 設計思想 Design philosophy

生成量を盲目的に最大化するのではなく、書き込み前の権限を最小化します。最初にワークスペースを分類し、「実装（Claude）」「監査（Codex Auditor）」「採用・ローカルコミット（Supervisor Codex）」「最終リリース（Human Owner）」のように、各役割に付与する権限を明確に分離します。生成された未加工のアーティファクト（raw artifacts）は漏洩リスクを持つものとして扱い、LLMの推論・判断よりも、決定論的なゲート（deterministic gates）を優先します。 We do not maximize generation blindly. We minimize authority before writes, classify the workspace first, and strictly separate authorities among specific actors: Implementation (Claude), Audit (Codex Auditor), Adoption (Supervisor Codex), and Release (Human Owner). Raw artifacts are treated as carrying exposure risk, and we prefer deterministic gates over LLM judgment.

2. なぜ必要か Why this exists

LLMは有能ですが、既定では範囲を広げすぎます。単にGitブランチを切るだけでは、汚れたワークツリー（dirty worktree）や古いプロジェクト状態の継承、クラウド同期における生ログやローカルメタデータの流出を防げません。これらを防ぐため、監査バンドル（audit bundles）やベースSHA識別（base SHA identity）、そして有限の修正ループ（bounded revision loops）を持つガバナンス層が必要です。 LLMs are capable but overbroad by default. Branches alone do not prevent the inheritance of dirty worktrees or old project states. Cloud-sync paths can inadvertently expose raw logs and local metadata. Candidate patches thus require audit bundles, base SHA identities, and bounded revision loops to ensure isolation and security.

3. 上流工程・SLCP・ウォーターフォール語彙との接続 Connecting with Upstream Engineering, SLCP, and Waterfall Discipline

本ガバナンスモデルにおける段階分離（分類 → 実装 → 監査 → 採用 → リリース）は、伝統的なウォーターフォール構造やSLCP（ソフトウェアライフサイクルプロセス）と整合します。たとえば、実装担当エージェント（Claude）が作成した「ソースコードの状態（base SHA）」に対し、独立した監査エージェント（Codex Auditor）が「監査ログ（audit bundle）」を発行します。これらが確定した中間生成物（作業成果物）となり、それがそのまま「正しく作られた」ことを示す監査証拠として機能します。 The strict separation of stages directly maps to a waterfall paradigm where subsequent phases depend entirely on previously locked designs. For instance, an independent auditor (Codex Auditor) issues an "audit bundle" against the "code state (base SHA)" produced by the implementer (Claude). These intermediate outputs become undeniable, auditable provenance for AI-assisted work.

上流統制としてのAIエージェント運用 AI agent governance as upstream control

AIエージェント開発における真の課題は、単にコード生成の精度を高めることではありません。「上流で合意した適用範囲・責任分界・成果物の基準・確認手続を、後工程（エージェント）に逸脱させないこと」にあります。
したがって本モデルでは、classification、Ask Gate、candidate patch、audit bundle、base SHA、bounded revision loop などの各要素を、AI固有のバズワードとしてではなく、構成管理・変更管理・監査証跡といった「上流工程の語彙」で説明可能なガバナンス・オブジェクトとして扱います。 The core issue in AI-assisted development is not only code-generation accuracy. It is whether later phases can be prevented from drifting beyond the scope, responsibilities, work products, and review procedures defined upstream. This model therefore treats classification, Ask Gate, candidate patches, audit bundles, base SHA identity, and bounded revision loops as governance objects that can be explained in the vocabulary of upstream engineering, configuration control, change management, and audit evidence.

4. 6つの役割と境界 Roles & Authority Boundaries

役割 (Role) Role	権限と境界 Authority & Scope
Human Owner	Merge, Push, Deploy, Publishの最終権限を持つ。本番データ・認証情報・法的決定権を管理。 Controls merge, push, deploy, publish, production data, credentials, and legal/privacy/brand decisions.
Supervisor Codex	タスクのルーティング、パッチの検証と採用、ローカルコミットを実行。※デプロイは行わない。 Routes tasks, adopts accepted patches, verifies work, and creates local commits. Cannot deploy.
Codex Auditor	独立した読み取り専用（read-only）のレビュワー。構造化された監査結果を返す。 Independent read-only reviewer. Returns structured deterministic findings.
Candidate Implementer (Claude)	パッチ候補のみを作成する実装者。 Produces patch-only candidates without adoption authority.
Antigravity Visual Pod	UI/UX/ブラウザのレビュースペシャリスト。既定では読み取り専用で、バックエンドやDB・パッケージ変更を行わない。 UI/UX/graphic/browser review specialist. Defaults to review-only; does not change backend, auth, or DB logic.
Local Tooling Pod	決定論的なエビデンス（テスト実行結果など）を生成する。 Generates deterministic execution evidence.

責任分界と受入 Responsibility boundaries and acceptance

本モデルでは、作成者（producer）、評価者（reviewer）、採用者（adopter）、リリース権限者（release authority）という古典的かつ確実な職責の分離に従っています。
Human Ownerは、ビジネス側のオーナー・発注者・最終受入責任者に相当しますが、単一の法的な役割と完全に同一視されるものではありません。一方で、Candidate Implementerは純粋なパッチ生成者（作業成果物の作成者）であり、採用権限を持ちません。Supervisor Codexは承認されたパッチをローカル環境で採用（コミット）できますが、本番環境へのプッシュやデプロイ、公開の権限は規定により遮断されています。また、Codex Auditorは実装から独立した読み取り専用（read-only）の監査者としての客観性を維持します。 This follows the classical separation between producer, reviewer, adopter, and release authority. The Human Owner is analogous to the business-side owner, ordering party, and acceptance authority (though not identical to any specific legal role). The Candidate Implementer is strictly a patch producer, possessing no acceptance authority. The Supervisor Codex can adopt accepted patches locally but cannot push, deploy, or publish by default. The Codex Auditor must remain read-only and strictly independent from the implementation.

非機能要求としてのAI運用 AI operations as non-functional requirements

生のプロンプト、標準出力・標準エラー出力（stdout/stderr）、スクリーンショットやブラウザ録画、ローカルパスやクラウド同期パスといったデータは、単なる「実装の副産物（詳細）」ではありません。これらは機密性（confidentiality）、追跡可能性（traceability）、監査可能性（auditability）、および運用管理上の要請といった非機能要求（運用要求・情報管理要求）として厳格に扱われます。
.agent-runs/ ディレクトリに出力されるデータは、あくまで生の実行時証拠（raw runtime evidence）であり、一般に公開すべき成果物ではありません。そのため、機密情報を除去した「無害化されたサマリ（sanitized summaries）」のみが、デフォルトでコミット履歴に残るアーティファクトとして許可されます。 Raw prompts, stdout/stderr, screenshots, browser recordings, local paths, and cloud-sync paths are not merely implementation details. We treat them as critical concerns regarding confidentiality, traceability, auditability, and operational control (non-functional requirements). Therefore, .agent-runs/ is designated as raw runtime evidence, not public deliverable material. By default, only sanitized summaries are committed as historical artifacts.

5. 中核契約 Core contracts

システムを安全に動作させるための機械的なガバナンスルールです： Mechanical governance rules required to operate the system securely:

• 設計分類（classification）前にコードを書かない No writes allowed before classification is finalized
• 汚れたリポジトリ（dirty repo）では動作を停止する Hard stop enforced if the repository is dirty
• 生成途中の生データ（.agent-runs/）はコミットせず、無害化されたサマリ（sanitized summaries）のみをコミットする Raw artifacts in `.agent-runs/` are ignored; only sanitized summaries are committed