EPI – AIエージェントのフォレンジック証拠コンテナ、SCITT対応、EU AI Act対応

EPI（Evidence Packaged Infrastructure）は、AIエージェントの実行プロセスにおける証拠の追跡可能性の問題を解決するオープンソースツールです。AIエージェントが行う決定には法的、財務的、安全上の結果が伴いますが、それらの決定はメモリ内で行われ、一時的なクラウドインフラに記録され、監査人が6ヶ月後に到着する頃には存在しない可能性のあるランタイムに結びついています。EU AI Act第12条はハイリスクAIシステムのプロバイダーにライフサイクルに適した運用ログの維持を求め、FDA 21 CFR Part 11は改ざん防止の監査証跡を要求し、SOC 2 CC7.2は不正活動の記録を求めていますが、これらの規制はいずれも外部レビューのために証拠をどのようにパッケージ化すべきかを定義していません。EPIはそのパッケージ化のギャップを埋めます。

EPIは、AIエージェントの完全な決定トレイル、ガバナンス評価、ツール呼び出し、入出力、承認、環境コンテキストを単一の.epiアーティファクトにパッケージ化します。これは暗号署名され、改ざん防止され、自己完結型のフォレンジックコンテナです。このアーティファクトは、元のランタイムやプロデューサーを信頼することなく、メールで監査人に送信したり、10年間アーカイブしたり、エアギャップマシンで開いたりできます。アーキテクチャは、エンベロープ層（マジックナンバー、バージョン、ペイロードSHA-256を含む）と署名付きZIPペイロードで構成され、manifest.json、steps.jsonl、governance.json、environment.jsonなどが含まれます。ユーザーはpipでepi-recorderをインストールし、デコレータやコールバックを使用してOpenAI、LangChain、LiteLLMなどのフレームワークと簡単に統合できます。また、CLIツールで検証・表示ができ、オフラインビューアも内蔵されています。

コンプライアンス面では、EPIは複数のグローバル規制要件に直接マッピングします：EU AI Act第12条（運用ログをsteps.jsonlとenvironment.jsonで対応）、第19条（技術文書の10年保存を封印された.epiで対応）、第14条（人間による監視の証拠をreview.json承認台帳で対応）；FDA 21 CFR Part 11（監査証跡を署名付きsteps.jsonlとmanifest.jsonで対応）；HIPAA（データの否認防止をEd25519署名で対応）；NIST AI RMF（AIリスク管理文書をgovernance.jsonとanalysis.jsonで対応）；およびAIUC-1（SOC 2 for Agents）の検証可能なリスク評価とHITL監査証拠。EPIはIETF SCITT標準にも準拠し、透明性ログアンカリング用のCOSE Sign1ステートメントを生成し、ソフトウェアサプライチェーン透明性のためのCycloneDX SBOMも保持します。

EPI Labsは現在、規制対象企業向けのパイロットプログラムに参加する企業を募集しており、参加者は直接統合サポート、優先ロードマップ影響力、創設パートナーとしての認知を得られます。EPIはGitHubでMITライセンスのもと公開されており、24スター、4フォーク、最新バージョンは2026年5月15日リリースのv4.1.0です。