Probabilistic brain, deterministic hands: the architecture behind AI-native trade

A few weeks ago we explained why we’re rebuilding Standage as a single AI-native platform — one intelligent layer that takes an intent (“sell this sake to a buyer in London and get paid safely”) and runs the whole arc of a trade, instead of handing the SME five separate tools to stitch together.

That post argued the why. This one is about the how — the actual architecture — because “AI-native” is worthless as a slogan and only means something as a set of engineering decisions. And in trade, those decisions are unforgiving: the system moves title and money, so being confidently wrong is not a UX bug, it’s a loss. Here is how we think a trade platform has to be built so that intelligence and consequence can coexist.

The core principle: probabilistic brain, deterministic hands

The single most important decision is a separation. A large language model is a brilliant reasoner and an unreliable executor. It is superb at understanding a messy request, planning steps, and interpreting ambiguity — and inherently probabilistic about facts and actions. So we put the model where its strength is and never where its weakness is.

The model plans. It does not transfer title, move money, or decide a discrepancy by “just generating” the answer. Those are executed by deterministic tools with hard contracts — a payment instruction, an e-B/L transfer, a KYC check — each of which either succeeds verifiably or fails loudly. The probabilistic brain decides what to do; deterministic hands do it, and the hands cannot be talked into an action they weren’t built to allow. Nearly every serious failure of “agentic” systems comes from blurring this line. We keep it bright.

The four layers

1. The intent & orchestration layer. This is the top. It takes the user’s goal in plain language, decomposes it into a plan — discovery, documents, compliance, freight, settlement — and sequences the work. Industry is converging on exactly this shape: an orchestrator that owns task decomposition, state persistence, and failure recovery. That last part matters more than the demos admit — the gap between a system that reaches production and one that dies in the pilot is retries, circuit-breakers, and clean fallback when a step fails. A trade can take weeks, so this layer is built to hold state over long, asynchronous, resumable workflows, not a single chat turn.

2. The tools layer. Each capability — settlement, e-B/L transfer, forwarding quotes, sanctions screening — is exposed to the model as a tool with a strict, typed contract, increasingly via the emerging open standard for this, the Model Context Protocol (introduced by Anthropic in late 2024 and, by early 2026, supported across Anthropic, OpenAI, Google, Microsoft and AWS with tens of millions of monthly downloads). MCP matters to us for one unglamorous reason: it lets the intelligence and the machinery evolve independently. We can improve the settlement engine, or swap a compliance provider, without rewriting the brain — and the brain reaches every capability through one consistent, auditable interface instead of a tangle of bespoke integrations.

3. The knowledge layer. This is where our real asset lives. Standage came out of Japan’s sogo shosha tradition, and the platform’s edge is the encoded trade expertise — which document triggers which step, what a given market’s buyers expect, when an L/C is overkill, which settlement rail fits which corridor. Technically this is retrieval-augmented generation done seriously: the model reasons over grounded, current, company-specific knowledge rather than its own generic priors. This is not a cosmetic add-on — in domain tasks, grounding a model in the right knowledge is the difference between roughly a quarter of answers being right and the high eighties. In trade, that range is the difference between a tool and a toy.

4. The verifiable-rails layer. The foundation, and the part most “AI platforms” simply don’t have. The orchestrator is only as trustworthy as the ground truth beneath it. So the documents it acts on are digital-native and provable, not scanned images it has to guess at, and the money it moves is programmable and authorised, not a manual bank errand. This is what lets an agent operate safely: it acts on facts it can verify, not text it interprets.

Where the human stays in the loop

The architecture is deliberately not “full autonomy.” Guardrails and human approval are wired in structurally, not sprinkled on — the pattern the whole industry is now standardising: pause before any irreversible or high-value action and require explicit authorisation. In our world the irreversible steps are obvious — transferring title, releasing a payment, committing to a contract. The platform runs the ninety percent that is safe, reversible orchestration on its own, and surfaces the decisions that genuinely carry consequence to a human, with the full context assembled. Automation of the errand; human judgment on the commitment.

Why this shape, and not a chatbot

Every architectural choice here traces back to one fact about trade: the cost of a confident error is real money and legal exposure. A chatbot bolted onto existing screens optimises for fluency. This design optimises for being right, provably, at the moments that matter — reasoning on top, deterministic execution below, real domain knowledge in the middle, verifiable rails at the base, and a human on the irreversible calls.

We’re building this in the open, honestly — it’s a direction we’re driving hard toward, with real components already shipping, not a finished product. But the shape is deliberate, and it’s the shape we believe any trade platform will need once the novelty of “we added AI” wears off and the only question left is can you trust what it did. If you want to go deeper on any layer — or pressure-test it — we’d genuinely enjoy the conversation.

Related reading

• Why we’re rebuilding Standage as a single AI-native platform — the vision this architecture serves.
• A scanned Bill of Lading is still paper — the verifiable-rails layer, up close.
• The trade-finance gap is a trust-and-data problem — why the base layer is the whole game.

「AIネイティブ」の中身 ― STANDAGEを動かすアーキテクチャを分解する

数週間前、私たちはなぜSTANDAGEを単一のAIネイティブ基盤として作り直すのかを説明しました ― 意図（「この日本酒をロンドンのバイヤーに売って、安全に代金を受け取りたい」）を受け取り、中小企業に五つのバラバラなツールを縫わせる代わりに、取引の弧全体を走らせる、一つの知的な層。

あの記事はなぜを論じました。今回はどうやって ― 実際のアーキテクチャ ― です。「AIネイティブ」はスローガンとしては無価値で、一連の工学的判断としてのみ意味を持つからです。そして貿易では、その判断は容赦がない ― システムは権利とお金を動かすので、「自信満々に誤る」ことはUXのバグではなく、損失です。知能と結果が共存できるよう、貿易基盤はどう作られねばならないか ― その考えを示します。

中核の原則 ― 確率的な頭脳、決定論的な手

最も重要な一つの判断は「分離」です。大規模言語モデルは、優れた推論者であり、当てにならない実行者です。散らかった要求を理解し、手順を計画し、曖昧さを解釈することには秀でている ― そして事実や行動については本質的に確率的です。だから私たちは、モデルを強みの場所に置き、弱みの場所には決して置きません。

モデルは計画する。権利を移転したり、お金を動かしたり、ディスクレを「ただ生成して」決めたりはしない。それらは、厳格な契約を持つ決定論的なツールが実行する ― 支払指示、e-B/L移転、KYCチェック ― どれも検証可能に成功するか、はっきりと失敗する。確率的な頭脳が何をするかを決め、決定論的な手がそれを行う。そして手は、許されていない行動へと言いくるめられない。「エージェンティック」なシステムの深刻な失敗のほぼすべては、この線を曖昧にすることから来ます。私たちはこの線を、くっきり保ちます。

四つの層

1. 意図とオーケストレーションの層。最上位です。ユーザーの目標を平易な言葉で受け取り、計画へ分解し ― 発見・書類・コンプライアンス・輸送・決済 ― 作業を順序づける。業界はまさにこの形へ収斂しつつあります ― タスク分解、状態の永続化、失敗からの回復を担うオーケストレーター。最後の点はデモが認める以上に重要です ― 本番に到達するシステムと、実証で死ぬシステムの差は、リトライ、サーキットブレーカー、そして工程が失敗したときの綺麗なフォールバックです。取引は数週間かかりうるので、この層は単一のチャット往復ではなく、長く、非同期で、再開可能なワークフローの状態を保つよう作られます。

2. ツールの層。各能力 ― 決済、e-B/L移転、フォワーディング見積、制裁スクリーニング ― は、厳格で型付けされた契約を持つツールとしてモデルに公開されます。これには台頭しつつある標準、Model Context Protocol（MCP）を用います（Anthropicが2024年末に発表し、2026年初頭にはAnthropic・OpenAI・Google・Microsoft・AWSで対応、月あたり数千万規模のダウンロード）。MCPが私たちに効くのは、地味な理由からです ― 知能と機械仕掛けを独立に進化させられる。決済エンジンを改善したり、コンプライアンス事業者を差し替えたりしても、頭脳を書き直さずに済む ― そして頭脳は、個別実装の絡まりではなく、一つの一貫した監査可能なインターフェースを通じて、あらゆる能力に届く。

3. 知識の層。ここに私たちの本当の資産が宿ります。STANDAGEは日本の総合商社の伝統から生まれ、基盤の強みは、エンコードされた貿易の専門知です ― どの書類がどの工程を起動するか、ある市場のバイヤーが何を期待するか、いつL/Cが過剰か、どの決済レールがどの回廊に合うか。技術的には、これは本気でやる検索拡張生成（RAG）です ― モデルは、自前の一般的な事前分布ではなく、根拠づけられた、最新の、自社固有の知識の上で推論する。これは飾りの追加機能ではありません ― ドメインの課題では、モデルを正しい知識で根拠づけるかどうかが、「正答がおよそ四分の一」と「八割台後半」の差になる。貿易では、その差が「道具」と「おもちゃ」の差です。

4. 検証可能なレールの層。土台であり、多くの「AI基盤」がそもそも持たない部分です。オーケストレーターは、その下にある「真実」の分しか信頼できません。だから、それが行動の対象とする書類はデジタルネイティブで証明可能であり、推測すべきスキャン画像ではない。動かすお金はプログラム可能で認可済みであり、手作業の銀行お使いではない。これこそ、エージェントが安全に動ける理由です ― 解釈するテキストではなく、検証できる事実の上で行動するのです。

人間が、どこでループに残るか

このアーキテクチャは、意図的に「完全な自律」ではありません。ガードレールと人間の承認は、振りかけるのではなく構造的に組み込まれています ― いま業界全体が標準化しつつあるパターンです ― 後戻りできない、あるいは高額な行動の前で必ず止まり、明示的な認可を求める。私たちの世界で後戻りできない工程は明白です ― 権利の移転、支払いの解放、契約の締結。基盤は、安全で可逆なオーケストレーションである九割を自ら走らせ、本当に結果を伴う決定を、文脈をすべて揃えたうえで人間に差し出す。お使いは自動化し、コミットメントには人間の判断を。

なぜこの形で、チャットボットではないのか

ここでのあらゆる設計判断は、貿易についての一つの事実に遡ります ― 自信ある誤りの代償は、現実のお金と法的責任だ。既存画面に後付けしたチャットボットは、流暢さに最適化する。この設計は、重要な瞬間に、証明可能に正しくあることに最適化する ― 上に推論、下に決定論的な実行、真ん中に本物のドメイン知識、土台に検証可能なレール、そして後戻りできない判断に人間。

私たちはこれを、正直に、開いて作っています ― 完成品ではなく、実コンポーネントがすでに動きつつある、全力で進む「方向」です。しかしこの形は意図的で、「AIを足しました」の物珍しさが薄れ、残る問いがそれが何をしたかを信頼できるかだけになったとき、あらゆる貿易基盤が必要とする形だと信じています。どの層でも深掘りしたい ― あるいは厳しく検証したい方は、その対話を心から楽しみにしています。

関連記事

• なぜSTANDAGEを単一のAIネイティブ基盤として作り直すのか ― このアーキテクチャが仕えるビジョン。
• スキャンした船荷証券は、まだ紙だ ― 検証可能なレールの層を、間近で。
• 貿易金融のギャップは、信頼とデータの問題だ ― なぜ土台の層がすべてなのか。