Local LLM Vault ― 入力純化ゲート
原本は、
境界を越えない
越えるのは、純化され・型付けされ・ポリシーに縛られた Slot だけ。原本データそのものは、一度も境界を越えない。多くのガードレールは「出力してから検査する」。この方式は入口で純化する。
RoleSlot Transfer Protocol / SlimeGate
この設計が本当に与えるもの
モデルの出自が、機密性に関して意味を持たなくなる
金庫の中で走り、外へ出る線が物理的に一方通行で、出るものが純化・型付け・ポリシー拘束された Slot だけなら ―― 信用していないモデルでも、持ち出せません。 逆に、出自が西側のクラウドモデルは egress があるので、それだけでは安全になりません。
「どのモデルなら信用できるか」
＝ベンダー選定の問題。避ければ避けるほど能力が落ちる。安全側に振りすぎて使えない、が起きる。
「どのモデルでも構わない」
＝境界の問題に落ちる。最強のモデルを、出自を問わず使える。 制限ではなく、能力の解放。
ただし正直に言えば、金庫だけでは半分です。 Vault が閉じるのは持ち出しであって、出力の操作ではありません。ウェイトに細工されたモデルは、外へ何も送らなくても内側で嘘の答えを出せます。そこを閉じるのが、対になるもう一方 ――
入口と出口の両端
主権サンドイッチ ― 出させない ＋ 信じさせない
出させない
原本は境界を越えない。越えるのは型付き Slot か、封印された参照だけ。透過トンネルは選択肢に存在しない。
両方揃って初めて「出自を問わない」と言えます。 片方だけでは言えません。AI主権は、モデル選定からではなく入力純化から始まります。
境界で何が起きるか
4つのゲート ― 全部 YES なら Slot、一つでも NG なら封印
既知の文法へ落とせるか
意味の器が定義されているか
誰が・何に使えるかを固定できるか
後から決定論的に再現できるか
→ Slot 化して通す
→ 原本を封印し、参照だけ渡す
→ fail-closed（止める側に倒す）
いきなり最大強度を強制しません。純化レベルは段階導入で選べます。選べない床は「型付き Slot か、封印参照か」の二択だけ ―― 未知のものは封印して参照を渡すので、ハードに止まりません。捨てられず・止められず・強度を選べる。 安全側に振りすぎて使えなくなる、を構造で避けています。
保証をポリシーでなく配線に置く
双方向に見えるのは、論理層だけ
物理的に一方通行の線が、4本。 1本の線に双方向を相乗りさせません。各向きは独立に純化・審査されます。逆向きペアは結線しない ―― 一方通行は「線側の性質」であって、ソフトの約束ではありません。
4 本の物理一方通行線（RS-422 ／ 光ダイオード）は設計であり、実機評価は次段階です。 PoC#1 の相互情報量 I(S;R) はプロセス内ループバックでの測定で、物理層では未測定。 金庫内のモデル名は例示で、構成は選択自由です。
ACK 生成器を別ノードに出せます。バリデータの判定結果が ACK 生成器へ到達する経路が物理的に存在しない構成にできる。「拒否で再送要求を出さない」が、実装の規律ではなく配線の帰結になります。
多芯1本に収めず、分離します。審査で価値を生むのは目視と導通試験だからです。「この線は片方向、逆ペアは結線されていない」を1本ずつ示せる。束ねると開けないと確認できません。
ACK ノードはフレームのバイト列を受け取って CRC を計算するので、中身は見えます。ただし判定結果を受け取る経路が無いので、使えません。「見えない」とは言いません。
何を通し、何を通さないか
転送クラス ― どのクラスでもない生バイトは、通さない
「とりあえずトンネルを掘る」は選択肢にありません。通るものは必ずいずれかのクラスに属します。
正準形のまま、そのまま渡す。
正準化できない本体は外の保管庫に封印し、ハッシュ付きの参照だけ渡す。原本は外に残る ―― 法的原本問題の答え。
承認された抽出器の出力だけ（PDF→条項、画像→検出、CSV→型付レコード）。抽出器は外側で走り、決定論的に再現できる。
既知文法のテキストを、章・見出し・本文・リンク・コード・表の型付きブロック木に分解して渡す。
CSV を表スキーマへ昇格し、型付けとPIIポリシーを適用。数式インジェクションは境界で禁止・エスケープ。
数字には、測定条件と生成物を必ず添える
実証状況 ― 済んだものと、まだのもの
当社では、対外に出す数値に corpus_sig（測定規模）・判定基準・生成物パス の3点を必ず添えます。添えられないものは、書きません。
ARQ の制御戻り線を、通信路の事実（CRC と連番）だけの関数として構成すると、逆信号は転送内容と統計的に独立になる ―― これを相互情報量で実測しました。
| 正しい設計 | I = 0.0001 ± 0.0003 bit ― 帰無フロアと区別不能（＝漏れていない） |
| 誤った設計 | 秘密の 88% が逆信号だけで復元可能（I = 0.883 ± 0.010 bit、H(S)=1.0 bit） |
| corpus_sig | 50 seeds × n=5000（アブレーション 30 seeds × n=5000） |
| 判定基準 | G1 帰無と区別不能 ／ G3 設計差の95%CI下限 0.884 bit > 0 ／ G5 逆信号関数のシグネチャに内容・判定結果が存在しない（静的検査） ―― G1–G5 全 PASS |
| 生成物 | PoC1_結果報告書.md sha256:1b3b41cd1a16f112… analysis/mi_results.csv・invariant_assert.txt・runs/{A,B}_seed3000.jsonl |
| 再現 | python3 poc1.py --n 5000 --seeds 50 |
| 測定条件 | プロセス内ループバック（物理層非依存）。RS-422 実機では測定していません。 |
ブラウザの開発者ツールで送信ゼロを確認できる公開デモが動いています（L1）。設定による非送信の言明も併せて公開（L2）。実配信経路での実測で、外部取得ログが増えないことを確認済みです。デモを開く →
物理的一方通行（結線図＋逆方向送信試験ログ）、移植ゼロ（同一 Slot →同一ハッシュ）、実機での再測、実効スループット。いずれも未測定のため、数値を掲載していません。
「拒否で再送要求を出さない」を配線の帰結へ格上げする構成。設計は確定、実装・実証は未着手です。
規格上の上限値と、本実装の実測値は別物です。実測を取るまで、どちらの数字も掲載しません。
対外主張の規律
当社が、自分に禁じている言葉
強い言葉は、実体より広くなった瞬間に審査で崩れます。だから先に、自分で書いておきます。
再送制御のための戻り線がある以上、系は完全な一方通行ではありません。
IP が通らないことと、外部の意思が内側の実行に届かないことは別問題です。安全を生んでいるのは線ではなくバリデータ。線が保証するのは逆流が物理的に起きないことだけ。
CRC は誤り検出であって、暗号的な改ざん耐性ではありません。
実証したのはプロトコル層の命題で、測定はプロセス内ループバックです。
なお、市販の IP／RS-422 変換器（シリアルデバイスサーバ）は境界には使いません。RS-422 区間を IP の通り道に変えるのがその製品の価値であり、導入した瞬間に「IP 経路が存在しない」が偽になるためです。既設設備との接続点として、金庫の外側で使うのは有効です。
今日から試せます
非送信の証明は、4段の梯子になっています
開発者ツールで確認。公開デモで稼働中
外部接続を持たない構成の公開。公開デモで稼働中
外向き通信の遮断＋通信記録の提示（本番導入）
この Vault がここに当たります
いきなり RS-422 の話から始める必要はありません。まず L1／L2 を無料デモで体感し、必要になった段で L3／L4 へ上がる ―― 同じ梯子の、上と下です。
企業内でローカル AI を、徹底的に使い切るために
「どのモデルなら安全か」で消耗するのをやめ、境界を決めてしまう。 そうすれば、能力で選べるようになります。構成のご相談・PoC のご依頼を承ります。
お問い合わせ → 対になる「締め具」を見る →