🤖 AI

Verifiable Agentic Infrastructure: Proof-Derived Authorization for Sovereign AI Systems

تقدم هذه الورقة إطار الثقة الموزع (DTF)، وهو بنية تحقق تعمل على تأمين أنظمة الذكاء الاصطناعي السيادية عبر استبدال التفويض القائم على الهوية الثابتة بنموذج ديناميكي قائم على الإجماع، حيث تُشتق سلطة التنفيذ بدقة من براهين تبرير (Justification Proofs) قابلة للتحقق تشفيرياً وسلسلة أدلة (Evidence Chain) غير قابلة للتغيير.

المؤلفون الأصليون: Jun He, Deying Yu

نُشر 2026-05-18

📖 5 دقيقة قراءة🧠 قراءة متعمّقة

CC BY 4.0

المؤلفون الأصليون: Jun He, Deying Yu

البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل

تخيل أنك تدير بنكاً ضخماً عالي الأمن. في الأيام الخوالي، كنت تعطي حراس الأمن لديك (الوكلاء الذكاء الاصطناعي) مفتاحاً رئيسياً يفتح كل الأبواب. كنت تثق بهم لأن لديهم بطاقة تعريفية صحيحة. ولكن إليك المشكلة: هؤلاء الحراس أصبحوا الآن ذكاءً اصطناعياً؛ إنهم سريعون وأذكياء، لكنهم أحياناً يصابون بالارتباك، أو يهلوسون، أو يتم خداعهم. قد يحاولون فتح باب الخزنة حتى عندما لا يحتاجون لذلك، أو قد يحاولون تحريك أموال لا ينبغي لهم لمسها، وكل ذلك وهم يحملون بطاقة تعريفية صالحة تماماً.

النظام القديم كان يقول: "إذا كنت تملك البطاقة، يمكنك الدخول". أما النظام الجديد، الموصوف في هذه الورقة البحثية، فيقول: "امتلاك البطاقة ليس كافياً. أنت بحاجة إلى إذن محدد وموقع لهذه المهمة الواحدة بالضبط، معتمد من قبل لجنة من القضاة، قبل أن تتحرك شبراً واحداً".

تقدم هذه الورقة نظاماً يسمى إطار الثقة الموزع (DTF) لإصلاح هذا الأمر. وإليك كيف يعمل، مقسماً إلى أجزاء بسيطة:

1. المشكلة: فخ "الامتياز المستمر"

حالياً، إذا أراد وكيل ذكاء اصطناعي حذف خادم (Server) أو تغيير إعداد مالي، فإنه يستخدم ببساطة بيانات اعتماده الدائمة. إذا كانت هذه الاعتمادات صالحة، فإن النظام يقول "نعم".

المخاطرة: قد يرتكب الذكاء الاصطناعي خطأً (مثل الاعتقاد بأن الخادم فارغ بينما هو في الواقع يشغل الموقع الإلكتروني للشركة) ويقوم بحذفه. يسمح له النظام بحدوث ذلك لأن لديه "الاعتماد الصحيح".

2. الحل: نظام "إذن العمل"

بدلاً من ترك الوكيل الذكاء الاصطناعي يتصرف بناءً على هويته الدائمة، يفرض نظام DTF عملية جديدة. تخيل الأمر كأنه مشروع بناء عالي المخاطر:

الخطوة 1: النية (المخطط الهندسي)
الوكيل الذكاء الاصطناعي لا يقوم بالفعل مباشرة. بل يقدم أولاً مقترحاً: "أريد إيقاف تشغيل الخادم X".
الخطوة 2: برهان التبرير (تقرير السلامة)
قبل الموافقة على هذا، يقوم النظام تلقائياً بإنشاء برهان تبرير. هذا ليس مجرد سجل دردشة لما كان يفكر فيه الذكاء الاصطناعي، بل هو وثيقة مهيكلة وقابلة للقراءة آلياً تقول:
- ماذا سنفعل؟ (إيقاف تشغيل الخادم X)
- لماذا يعد هذا آمناً؟ (الخادم X لا يوجد عليه حركة مرور، وهو مملوك للفريق B، وليس جزءاً من تبعية حرجة).
- ما هي الحدود؟ (هذا الخادم فقط، لمدة 5 دقائق فقط).
الخطوة 3: الإجماع (لجنة القضاة)
هذا البرهان لا يعتمده شخص واحد أو كمبيوتر واحد. بل يُرسل إلى سرب من المقيمين. تخيل لجنة من الخبراء المختلفين:
- أحدهم يتحقق من القواعد (السياسة).
- والآخر يتحقق مما إذا كان الخادم فارغاً بالفعل (الحالة).
- والآخر يتحقق مما إذا كان الأمر شديد الخطورة (المخاطر).
- وقد يكون أحدهم بشرياً للقرارات الكبيرة.
  جميعهم ينظرون إلى نفس البرهان. إذا اتفقوا جميعاً (أو وصلوا إلى إجماع محدد)، يتم اعتماد الإجراء. إذا قال أحدهم "انتظر، هذا الخادم في الواقع حرج"، فإن العملية برمتها تتوقف.
الخطوة 4: هوية التنفيذ (تصريح مؤقت)
بمجرد موافقة اللجنة على البرهان، ينشئ النظام تصريحاً مؤقتاً لمرة واحدة فقط. هذا التصريح محدود بصرامة، حيث يقول: "يمكنك إيقاف تشغيل الخادم X فقط، ولمدة 5 دقائق فقط. ولا يمكنك لمس أي شيء آخر".
الخطوة 5: سلسلة الأدلة (الصندوق الأسود)
كل خطوة — المقترح، البرهان، أصوات القضاة، التصريح المؤقت، والنتيجة النهائية — تُسجل في سجل غير قابل للتغييرا ودائم. إذا حدث خطأ ما لاحقاً، يمكن للمدققين إعادة تشغيل القصة بأكملها لمعرفة سبب اتخاذ القرار بالضبط.

3. لماذا يهم هذا الأمر؟

تزعم الورقة أن هذا النظام يغير قواعد الثقة:

الطريقة القديمة: ثق في الوكيل (الشخص الذي يحمل البطاقة).
الطريقة الجديدة: ثق في العملية (البرهان، القضاة، والسجل).

حتى لو كان الوكيل الذكاء الاصطناعي مرتبكاً أو تعرض للاختراق، فلا يمكنه التسبب في ضرر لأنه لا يستطيع الحصول على "إذن العمل" دون موافقة اللجنة. وحتى لو حصل على الإذن، فإنه لن يستطيع إلا القيام بالشيء المحدد المذكور فيه فقط.

4. النتائج (ما وجدته الورقة)

اختبر المؤلفون هذا النظام في بيئة سحابية محاكية مع 10,000 إجراء.

السلامة: أوقف النظام 100% من الإجراءات "غير الآمنة" (مثل محاولة حذف خادم مستخدم بالفعل). الأنظمة القديمة سمحت بنحو 14% من هذه الأخطاء الخطيرة بالتسلل.
الاحتواء: قلل النظام من "نطاق الانفجار". فبدلاً من منح الذكاء الاصطناعي صلاحية الوصول إلى 450 خادماً، حصل فقط على الوصول إلى الخادم الواحد الذي تمت الموافقة عليه.
السرعة: استغرقت العملية برمتها (التحقق من البرهان، الحصول على أصوات القضاة، وإصدار التصريح) حوالي 58 ميلي ثانية في المتوسط. هذا سريع بما يكفي بحيث لا يبطئ سير العمل.
القابلية للتدقيق: تمكنوا من إعادة تشغيل 99.9% من القرارات بشكل مثالي بمجرد النظر إلى السجلات، بينما تركت الأنظمة القديمة فجوات كبيرة في القصة.

ملخص الاستعارة

تخيل خزنة بنك.

النظام القديم: الحارس لديه مفتاح رئيسي. إذا قال "أحتاج لفتح الخزنة"، فإنه يفتحها. إذا كان يمر بيوم سيء أو تم خداعه، تفتح الخزنة.
نظام DTF: يتعين على الحارس ملء نموذج. يقوم فريق من ثلاثة مدراء بمراجعة النموذج للتأكد من أن الخزنة بحاجة للفتح وأن الأمر آمن. إذا وافقوا، تقوم آلة بطباعة مفتاح وحيد الاستخدام، مقصوص بالليزر، لا يناسب إلا باب تلك الخزنة تحديداً ولمدة 5 دقائق. يستخدم الحارس ذلك المفتاح، وتقوم كاميرا بتسجيل كل ثانية من العملية. إذا حاول الحارس استخدام ذلك المفتاح على باب مختلف، فلن يدور القفل ببساطة.

تجادل الورقة بأنه بالنسبة لوكلاء الذكاء الاصطناعي الذين يديرون أنظمتنا الحرجة (مثل البنوك، أو شبكات الطاقة، أو الخوادم السحابية)، نحن بحاجة للتوقف عن الثقة في "الحارس" والبدء في الثقة في "العملية".

ملخص تقني: البنية التحتية الوكيلية القابلة للتحقق – التفويض المشتق من الإثبات لأنظمة الذكاء الاصطناوي السيادية

1. بيان المشكلة

تعتمد أنظمة السحابة والمؤسسات الحديثة على نماذج تفويض ترتكز على الهوية، بافتراض أن المستدعين الذين يمتلكون بيانات اعتماد صالحة هم آمنون لتنفيذ الأوامر. هذا الافتراض يفشل في سياق وكلاء الذكاء الاصطناعي المستقلين، الذين يمكنهم توليد إجراءات صحيحة تركيبياً ولكنها غير آمنة دلالياً. إن منح الوكلاء أذونات واسعة ودائمة يخلق مخاطر تشغيلية كبيرة، لا سيما في أنظمة الذكاء الاصطناعي السيادية حيث يتفاعل الوكلاء مع البنية التحتية الحيوية، والبيانات المنظمة، وسير العمل المالي.

بينما تعمل الركائز "المحكومة بالنية" (مثل OpenKedge) على التخفيف من ذلك عبر التدخل في إجراءات الوكيل — عبر مطالبة الوكلاء بتقديم مقترحات للتقييم بدلاً من تعديل الحالة مباشرة — إلا أنها تترك فجوة حرجة: وهي أن قرار التفويض نفسه غالباً ما يكون غير قابل للتدقيق ويمثل نقطة فشل واحدة. المشكلة الجوهرية التي يعالجها البحث هي كيفية جعل قرار تفويض "النية" قابلاً للتحقق، وموزعاً، وقابلاً لإعادة التشغيل. وتحديداً، يطرح البحث الأسئلة التالية: ما هو الكائن المستقر الذي يوافق عليه المقيمون؟ كيف يتم اشتقاق السلطة المؤقتة من سجل موافقة بدلاً من دور ثابت للمستدعي؟ وما الذي يجب حفظه لإعادة بناء سبب وجود سلطة التنفيذ؟

2. المنهجية: إطار الثقة الموزع (DTF)

يقترح المؤلفون إطار الثقة الموزع (DTF)، وهو طبقة تحقق مصممة لركائز التعديل المحكومة. ينقل DTF مركز الثقة من الفاعل (الوكيل) إلى دورة حياة القرار. وهو يفرض ثابتاً تفويضياً مقتضباً: لا تنفيذ عالي المخاطر بدون كائن إثبات، ولا سلطة مشتقة بدون إجماع، ولا تعديل صالح منفصل عن الدليل.

يعمل الإطار من خلال أربعة عناصر أساسية:

2.1 إثباتات التبرير (JP)

بدلاً من التفسيرات باللغة الطبيعية أو سجلات التدقيق اللاحقة، يستخدم DTF قطعاً هيكلية قابلة للفحص الآلي تسمى إثباتات التبرير. يقوم إثبات التبرير بتشفير أساس القبول للإجراء قبل إصدار السلطة. وهو يحتوي على:

مواصفات التعديل ( $M_t$ ): الإجراء المقترح.
الحالة والسياق المقيّد ( $S_t$ ): لقطة السياق ذات الصلة بالتفويض في وقت اتخاذ القرار.
أساس السياسة ( $\Pi_t$ ): السياسات والقيود المحددة التي تم تطبيقها.
تقييم المخاطر ( $R_t$ ): تصنيف المخاطر وقوة الموافقة المطلوبة.
حدود التنفيذ ( $B_t$ ): الحد الأقصى للنطاق المسموح به (الإجراء، المورد، الوقت، والالتزامات) في حال الموافقة.

2.2 التحقق بالإجماع

يوزع DTF الثقة في عملية التفويض من خلال مطالبة المقيمين المستقلين بالتصديق على نفس كائن الإثبات.

سرب المقيمين: مجموعة متباينة من المقيمين (على سبيل المثال: السياسة، الحالة، المخاطر، المحاكاة، والإشراف البشري) يعالجون نفس إثبات التبرير (JP).
التصديقات: يصدر كل مقيم تصديقاً موقعاً ( $a_i$ ) يشير إلى الموافقة، أو الرفض، أو الامتناع، مع ذكر الاعتراضات الهيكلية.
قاعدة الإجماع ( $q$ ): تحسب قاعدة الحوكمة القرار النهائي بناءً على عتبات النصاب، وتنوع المقيمين، وحقوق النقض (Veto). لا تُمنح السلطة إلا إذا وافق الإجماع صراحةً على الإثبات.

2.3 هوية التنفيذ (EI)

عند الموافقة بالإجماع، يتم اشتقاق هوية تنفيذ.

السلطة المؤقتة: بخلاف الأدوار الثابتة، فإن هوية التنفيذ (EI) هي رمز مؤقت وغير قابل للنقل.
يدخل نطاق هوية التنفيذ في حيز التنفيذ بصرامة ضمن حدود الإثبات المستمدة من الإثبات ( $B_t$ ). ويضمن النظام أن النطاق الفعلي للهوية لا يتجاوز حدود الإثبات.
التنفيذ: في البيئات السحابية، يتم تنفيذ هويات التنفيذ كأوراق اعتماد قصيرة الأجل (مثل جلسات AWS STS) مع سياسات جلسة تقييدية.

2.4 سلاسل الأدلة (EC)

لضمان إمكانية إعادة التشغيل، يحافظ DTF على سلسلة أدلة قابلة للإضافة لكل محاولة تعديل.

الاكتمال: تسجل السلسلة دورة الحياة بأكملها: النية، السياق، السياسة، إثبات التبرير، التصديقات، البيانات الوصفية للحوكمة، القرار، هوية التنفيذ، محاولة التعديل، والنتيجة.
إعادة التشغيل: يسمح هذا الهيكل للمدققين بإعادة بناء أساس التفويض دون الحاجة إلى إعادة محاكاة الاستدلال الداخلي للوكيل.

3. ثوابت النظام

يحدد البحث أربعة ثوابت أساسية لدورة الحياة يفرضها DTF:

التنفيذ المرتبط بالإثبات: لا يتم تنفيذ أي تعديل عالي المخاطر دون إثبات تبرير صالح مقابل.
السلطة المحكومة بالإجماع: لا تُصدر أي هوية تنفيذ ما لم توافق قاعدة الإجماع صراحةً على الإثبات.
عدم التصعيد: يجب أن يكون نطاق السلطة الفعلي لهوية التنفيذ محتوياً داخل الحدود المستمدة من الإثبات.
اكتمال الأدلة: كل اقتراح نية، بغض النظر عن النتيجة، يرتبط بسلسلة أدلة واحدة كاملة هيكلياً.

4. التنفيذ والتقييم

قام المؤلفون بتطبيق DTF فوق ركيزة تعديل محكومة قائمة على OpenKedge ونشروها كمجموعة من الخدمات المصغرة (حوالي 4,500 سطر من لغة Go) على AWS.

البنية التحتية: يتضمن النظام بوابة النية، محرك التبرير، سرب التقييم (باستخدام وظائف AWS Lambda عديمة الحالة)، وسيط التنفيذ، ومخزن الأدلة (باستخدام Amazon QLDB).
عبء العمل: اختبر التقييم 10,000 تعديل اصطناعي للوكيل عبر ثلاثة سيناريوهات: إنهاء الموارد التدميري، تعديل تكوين الإنتاج، وتنفيذ حالة الطوارئ (Break-glass).
المقارنة المرجعية: تمت مقارنة النظام بـ (B1) بيانات اعتماد IAM الثابتة مع سجلات التدقيق القياسية و (B2) فحص مسبق قائم على السياسة فقط.

النتائج الرئيسية

السلامة: حقق DTF معدل منع أو تصعيد بنسبة 100% لجميع المتغيرات غير الآمنة الـ 2,400 (بما في ذلك الحالة القديمة، والتبعيات المفقودة، واستهداف الموارد المحمية). في المقابل، سمح خط الأساس (B2) المعتمد على السياسة فقط بمرور 14% من التعديلات غير الآمنة.
احتواء السلطة: قلل DTFA متوسط نطاق التنفيذ الفعلي من 450 مورداً (في حالة الاعتمادات الثابتة) إلى مورد واحد معتمد بالضبط لكل طلب، مما يمثل انخفاضاً بنسبة 99.7% في تعرض السلطة.
القابلية للتدقيق: حققت سلسلة الأدلة اكتمالاً بنسبة 100%. استطاع المدققون إعادة بناء دورة حياة التفويض لـ 99.9% من الأحداث دون الحاجة إلى ربط السجلات يدوياً، مقارنة بـ 23.0% لسجلات التدقيق القياسية.
زمن الاستجابة (Latency): بلغ متوسط زمن استجرة القرار النهائي 58.3 مللي ثانية (الوسيط 52.6 مللي ثانية)، مع مئوية 99 تبلغ 171.3 مللي ثانية. ويشير المؤلفون إلى أن هذا العبء مقبول للعمليات عالية المخاطر التي يهيمن عليها زمن استجابة الركيزة ووقت المراجعة البشرية.

5. الأهمية والادعاءات

يزعم البحث أن DTF يوفر بنية تحتية أساسية لجعل التنفيذ الوكيلي محكوماً، وقابلاً للتدقيق، ومحدوداً في عمليات الذكاء الاصطناعي السيادية.

التحول في الثقة: المساهمة الرئيسية هي نقل موضوع التفويض من فاعل دائم إلى دورة حياة قرار مسجل. لا يحتاج النظام إلى الثقة في الاستدلال الداخلي للوكيل؛ بل يتطلب فقط أن تكون سلطة التنفيذ مشتقة من إثبات صريح، وموافقة مستقلة، وإصدار محدد النطاق.
القابلية للتحقق: من خلال هيكلة التفويض كدورة حياة قابلة لإعادة التشغيل من القطع الأثرية (الإثبات، الإجماع، الهوية، الأدلة)، يعالج DTF "فجوة القرار غير القابل للتدقيق" المتأصلة في محركات السياسة التقليدية.
النطاق المتواضع: يذكر المؤلفون صراحةً أن DTF لا يقوم بتوليد سياسة صحيحة، أو يضمن قرارات مثالية عالمياً، أو يحل مشكلة حقن الأوامر (Prompt Injection) داخل الوكيل نفسه. قيمته معمارية: فهو يضمن أن السلطة عالية المخاطر لا يمكن تجسيدها بشكل مشروع دون إثبات مسجل، وموافقة مسجلة، وإصدار محدد النطاق، ودليل دائم. وقد تم التحقق من النتائج ضمن سيناريوهات محكومة معمارياً ومعروفة بفئات التعديل.

يخلص البحث إلى أنه من خلال فرض الثابت: "لا تنفيذ عالي المخاطر بدون إثبات، ولا سلطة بدون إجماع، ولا تعديل صالح منفصل عن دليل"، فإن DTF يحول التفويض من مجرد طموح للتدقيق إلى دورة حياة قابلة للتنفيذ والتحقق.