Cloudflare、AppleやMicrosoftが使用するプライバシープロトコルのデバッガをオープンソース化、AIエージェントも視野に

AppleのiCloud Private Relayのようなプライバシーサービスを利用するたびに、あなたは「誰もあなたの身元とオンライン上の行動を同時に見ることができない」ように設計されたシステムを信頼しています。Oblivious HTTP（OHTTP）やMASQUEといったプロトコルを使用して構築されたシステムは、信頼を独立して運用されるインフラに分割することでこれを実現します。

しかし、そのプライバシーの約束には代償が伴います：問題が発生した場合、どこで起こったのかを特定するのが難しいのです。リクエストは宛先に到達するまでに複数の独立したシステムを経由し、それぞれが異なる事業者によって運営され、全体像を見られる事業者は存在しません。障害を追跡するにはすべての関係者を調整する必要があり、トラフィック自体は暗号化・エンコードされているため手動での検査は遅くエラーが発生しやすくなります。

Cloudflareは、インターネットの基盤を提供する企業として、この問題を解決するのに最も適した立場にあります。同社はPrivacy ProxyとPrivacy Gatewayを運営しており、これらはAppleのインターネットプライバシーサービスやMicrosoftのEdge Secure Network VPNなどのプライバシーツールの背後にある信頼分割インフラです。たとえば、Appleはリレーの半分を自社で運用し、CloudflareのPrivacy Proxy製品がもう半分を運用します。Apple側はリクエストの発信元を特定できますが、宛先サイトを読み取ることはできません。Cloudflare側はユーザーの元のIPアドレスを受け取らないため、リレーを通じて宛先をユーザーに結びつけることはできません。両方を組み合わせることで、AppleやCloudflareを含め、誰も特定のユーザーを特定の宛先に結びつけられないという保証が得られます。

しかし、この設計こそがトラブルシューティングを非常に難しくしている理由でもあります。障害を診断するために必要な可視性は、システムが意図的に拒否する可視性そのものなのです。そこでCloudflareは「privacy-client（pvcli）」、OHTTPおよび将来的にはMASQUEトラフィック向けのコマンドラインデバッガをMITライセンスで公開しました。

ギャップを埋める pvcliの背景にあるのは、大企業だけが自力で解決できる問題に対処するというアイデアです。この種の信頼分割インフラのテストとデバッグには、深いプロトコル知識とカスタムツールが必要であり、AppleやMicrosoftのような大企業には投資可能でも、小規模チームには手が届きません。Cloudflareのシステムエンジニア、Fisher Darling氏は、健康アプリFlo Healthのオンボーディングを例に挙げます。Cloudflare側とFlo側がそれぞれ実装し、統合は「ほぼ機能した」ものの、両社は予期していなかった運用上のエッジケースに対処するのに多くの時間を費やしました。

「異なる事業者がプロトコルインフラの異なる部分を運用する必要がある場合、プライバシープロトコルのデバッグは極めて困難です」とDarling氏はThe New Stackに語ります。「多くの手作業、カスタムスクリプト、そして情報が限られた中でのトラブルシューティングが必要です。」 pvcliは、Darling氏が言うところの「AppleやMicrosoftの規模に遠く及ばない」企業が、プロトコルの専門家になることなく、あるいは独自のツールを一から作成することなく、プライバシープロキシトラフィックをテスト・デバッグできるようにするものです。開発者はコマンドラインからpvcliを自社のインフラに対して実行するか、ohttp.infoのような公開サービスを使って実際のデプロイに組み込む前に試すことができます。

エージェントを意識した設計 人間向けのデバッグツールは通常、ユーザーが出力を読み、コマンドを一つずつ実行し、問題の原因を推論することを想定しています。Darling氏は、pvcliは別のユーザーも想定して設計されたと言います：AIエージェントです。AIシステムがより多くの個人データを扱うにつれて、新たなプライバシーの課題が生まれています。「AIエコシステムにおける現在の大きな問題は、ユーザーの個人データに対して推論を実行し、その情報を推論プロバイダーに漏らさないようにするにはどうすればよいか、ということです」とDarling氏は述べます。そのための単一の解決策はなく、OHTTP、機密仮想マシン、バイナリ透過性ログなどの「プロトコルと技術の組み合わせ」が必要です。OHTTPはそのパズルの一部であり、pvcliはローンチ時点でこの部分をデバッグするために構築されています。そのコマンド構文は広く使われているcurlに倣っており、エージェントがリクエストを自ら構築・デバッグしやすくなっています。

「pvcliは明示的にエージェントベースのデバッグのために設計されました」とDarling氏は言います。「たまたま人間もcurlに似たインターフェースを好むというだけです。」

オープンソースの意義 多くのオープンソースツールと同様、pvcliはCloudflare内部のプロジェクトとして始まり、いずれコミュニティに公開されることを前提としていました。「私たちの哲学は、より良いインターネットは協力的に構築されるというものであり、オープンソース化は簡単な決断でした」とDarling氏は語ります。Cloudflareは主に自社のプライバシー製品のデバッグとテストに使用してきましたが、今回のリリースに先立ち、非公開の顧客グループによるベータテストも実施されました。

誰がpvcliを最も活用するかについて、Darling氏は「身元とリクエスト内容を分離することでユーザーを保護したい」あらゆる企業、特に医療、金融、その他規制の厳しい分野で需要があると考えています。