💻 computer science

Witnessd: Proof-of-process via Adversarial Collapse

Dieses Paper stellt Witnessd vor, ein System, das durch die Kombination von Jitter-Siegeln, Verifiable Delay Functions und mehrschichtiger Validierung einen „Proof-of-Process“ etabliert, um vage Zweifel an KI-generierter Urheberschaft in falsifizierbare Anschuldigungen gegen spezifische, unabhängig vertrauenswürdige Systemkomponenten zu transformieren.

Ursprüngliche Autoren: David Condrey

Veröffentlicht 2026-02-03

📖 5 Min. Lesezeit🧠 Tiefgang

CC BY 4.0

Ursprüngliche Autoren: David Condrey

Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen

Stellen Sie sich vor, Sie haben ein Dokument und jemand behauptet: „Ich habe dies selbst, von Hand, zu dieser spezifischen Zeit geschrieben.“ In der digitalen Welt überprüfen wir dies normalerweise durch eine digitale Signatur. Aber eine Signatur ist wie ein Siegel aus Wachs auf einem Brief; sie beweist, dass Ihnen der Wachsstempel gehört, nicht aber, dass Sie den Inhalt des Briefes persönlich geschrieben haben. Sie könnten einen Roboter benutzt haben, um den Brief zu schreiben, und dann Ihr Siegel darauf gesetzt haben.

Dieses Paper stellt eine neue Methode vor, um zu beweisen, dass ein Mensch tatsächlich ein Dokument getippt hat, anstatt es nur zu signieren. Sie nennen dieses System Witnessd, und der Kern der Idee ist etwas, das sie „Adversarial Collapse“ nennen.

So funktioniert es, unterteilt in einfache Konzepte:

1. Das Problem: Das „Siegel“ vs. die „Hand“

Derzeit, wenn man beweisen möchte, dass man etwas geschrieben hat, signiert man es. Aber da KI immer besser im Schreiben wird, sagt eine Signatur uns nicht, ob ein Mensch oder eine Maschine die Arbeit verrichtet hat.

Der alte Weg: „Ich habe den Schlüssel, also habe ich dies signiert.“ (Beweist Eigentum, nicht Kreation).
Der neue Weg: „Ich habe den Beweis, dass meine Finger physisch in einem bestimmten Rhythmus die Tasten getroffen haben.“ (Beweist den Prozess).

2. Die Lösung: Das „Jitter-Siegel“ (Die unsichtbare Tinte)

Das Paper führt ein winziges, unsichtbares Werkzeug ein, das Jitter Seal genannt wird. Betrachten Sie dies als einen „Geister-Fingerabdruck“, der beim Tippen auf dem Dokument zurückbleibt.

Wenn Sie auf einer Tastatur tippen, bewegen sich Ihre Finger mit leicht unterschiedlichen Geschwindigkeiten. Das System misst diese winzigen Pausen zwischen den Tastenanschlägen (Mikrosekunden). Aber hier kommt der clevere Teil: Es zeichnet nicht nur die Zeit auf; es erstellt einen geheimen, unknackbaren Code basierend auf:

Welchen Tasten Sie gedrückt haben (gruppiert nach Handzonen).
Dem Rhythmus Ihres Tippens.
Dem exakten Inhalt des Dokuments in diesem Moment.

Es injiziert eine winzige, kaum wahrnehmbare Verzögerung (wie ein Blinzeln) in das System, die mathematisch an Ihr Tippen gebunden ist. Wenn jemand versucht, das Dokument später zu fälschen, kann er diesen „Geister-Fingerabdruck“ nicht rekonstruieren, weil er nicht den geheimen Schlüssel besitzt und nicht in Echtzeit getippt hat.

Die Analogie: Stellen Sie sich einen Musiker vor, der ein Lied spielt. Eine Aufnahme beweist, dass das Lied existiert. Aber wenn Sie beweisen wollen, dass der Musiker tatsächlich gerade live spielt, könnten Sie auf die winzigen Atemzüge achten, die er zwischen den Noten nimmt. Man kann diese Atemzüge nicht faken, ohne vor Ort zu sein. Das Jitter Seal ist wie das Aufzeichnen dieser Atemzüge und das Verriegeln sie in das Notenblatt.

3. Die Strategie: „Adversarial Collapse“

Dies ist der wichtigste philosophische Punkt des Papers. Normalerweise, wenn jemand ein Dokument anzweifelt, sagt er: „Es könnte gefälscht sein!“ Dies ist ein vager Zweifel, der schwer zu widerlegen ist.

Die Autoren sagen: Versuchen Sie nicht zu beweisen, dass es zu 100 % echt ist. Versuchen Sie stattdessen, es unmöglich zu machen, es zu bezweifeln, ohne spezifisch zu werden.

Sie haben das System wie eine Festung mit fünf verschiedenen Mauern aufgebaut, hinter denen jeweils ein anderer Typ von Wächter steht:

Das Jitter Seal: Beweist, dass Sie getippt haben.
Zeit-Locks (VDFs): Beweisen, dass tatsächlich Zeit vergangen ist (man kann den Beweis nicht „speed-runnen“).
Öffentliche Uhren: Verankern die Zeit an Dingen wie dem Bitcoin-Netzwerk oder offiziellen staatlichen Zeitservern.
Doppelprüfung: Überprüft, ob die Tastenanschläge von der physischen Tastatur und der Computer-Software kamen.
Hardware-Locks: Nutzt den eingebauten Sicherheitschip des Computers (TPM), um die Maschine selbst zu verifizieren.

Der „Collapse“ (Zusammenbruch):
Wenn ein Skeptiker sagt: „Dieses Dokument ist eine Fälschung!“, zwingt das System ihn dazu, aufzuhören zu raten und stattdin zu beschuldigen. Um den Beweis zu brechen, kann er nicht einfach sagen: „Es ist eine Fälschung.“ Er muss sagen:

„Der Hacker hat den geheimen Schlüssel zwischen 14:00 Uhr und 14:15 Uhr gestohlen.“
„Das Bitcoin-Netzwerk wurde an diesem spezifischen Datum manipuliert.“
„Der Hardware-Chip des Computers wurde vor dem Tippvorgang physisch manipuliert.“

Wenn sie nicht den spezifischen Mechanismus, die Zeit und die Methode des Angriffs benennen können, „kollabiert“ ihr Zweifel, weil die Beweise gegen vage Anschuldigungen standhalten.

4. Was es beweist (und was nicht)

Das Paper ist sehr klar über die Grenzen:

Es beweist: Ein Mensch hat die Zeichen physisch in Echtzeit auf einer Tastatur getippt.
Es beweist NICHT: Dass der Mensch die ursprünglichen Ideen hatte.
Es beweist NICHT: Dass der Mensch nicht Text von einer KI kopiert und eingefügt hat.

Die „Tipper-Lücke“: Wenn ein Mensch sich hinsetzt und Text abtippt, der von einer KI generiert wurde, wird das Witnessd-System immer noch sagen: „Ja, ein Mensch hat diese Zeichen physisch auf eine Tastatur getippt.“ Es beweist die Handlung des Tippens, nicht die Quelle der Gedanken.

5. Die Ergebnisse

Die Autoren haben dieses System über 31.000 Mal getestet.

Echtes Tippen: Bestand zu 100 % der Fälle.
Falsche Versuche: Scheiterten zu 100 % der Fälle.
Geschwindigkeit: Der „Geister-Fingerabdruck“ ist so schnell (Mikrosekunden), dass Menschen ihn nicht spüren können, aber Computer können ihn sofort verifizieren.

Zusammenfassung

Das Paper schlägt eine neue Art vor, digitalen Dokumenten zu vertrauen. Anstatt zu fragen: „Ist diese Signatur gültig?“ (was nur beweist, dass Ihnen der Stempel gehört), fragt es: „Hat ein Mensch dies physisch getippt?“, indem es nach unsichtbaren, mathematisch verriegelten Rhythmen im Tippen sucht.

Wenn jemand versucht zu argumentieren, das Dokument sei gefälscht, zwingt das System ihn dazu, aufzuhören zu sagen „Es könnte gefälscht sein“ und stattdessen zu sagen: „Der Computer wurde in genau dieser Sekunde mit dieser spezifischen Methode gehackt.“ Wenn sie diese spezifische Geschichte nicht beweisen können, bleibt die Beweiskraft bestehen.

Technisches Resümee: Witnessd: Proof-of-Process via Adversarial Collapse

1. Problemstellung

Aktuelle digitale Beweissysteme leiden unter einer fundamentalen Lücke zwischen Besitz (Ownership) und Prozess. Während digitale Signaturen den Besitz eines Schlüssels und die Attestierung von Inhalten belegen, verifizieren sie nicht, ob ein Mensch den Inhalt physisch erstellt hat. Ein Angreifer könnte Text mittels eines Sprachmodells generieren, Zwischenzustände des Dokuments im Nachhinein konstruieren und jeden Hash signieren, wodurch eine gültige Signaturkette entsteht, die jedoch nichts über den Ursprung des Inhalts aussagt.

Bestehende Ansätze versagen in adversariellen Szenarien:

Detektionssysteme verlassen sich auf einen „Ground-Truth-Oracle“, der in umstrittenen Szenarien nicht existiert; ein mit 95 % Genauigkeit arbeitender Detektor ist nutzlos, wenn der Angreifer die 5 % der Fälle kontrolliert, die er gezielt angreift.
Zertifizierung stützt sich auf das soziale Vertrauen in Dritte, welches kompromittiert oder unter Druck gesetzt werden kann.
Kryptographische Integrität (Signaturen) beweist, dass die Bits nach der Signierung nicht verändert wurden, aber nicht, dass die Bits durch einen spezifischen physischen Prozess erzeugt wurden.

Das Paper argumentiert, dass Beweissysteme nicht anhand der Detektionsgenauigkeit oder der Zertifizierungsinstanz bewertet werden sollten, sondern anhand ihrer Fähigkeit, den Raum plausibler Alternativerklärungen zu kollabieren.

2. Methodik

Das Prinzip des Adversarial Collapse

Der zentrale theoretische Beitrag ist das Prinzip des Adversarial Collapse. Das Paper postuliert, dass ein robustes Beweissystem einen Herausforderer dazu zwingt, von vager Skepsis zu spezifischen Anschuldigungen (Specific Allegations) überzugehen.

Kriterium der spezifischen Anschuldigung: Um Beweise anzufechten, muss ein Angreifer einen konkreten Mechanismus benennen, ein begrenztes Zeitfenster identifizieren, ein spezifisches Leistungsniveau implizieren und unabhängig testbare Behauptungen aufstellen.
Adversarial Collapse: Beweise erreichen „Kollaps“, wenn deren Widerlegung die Verknüpfung spezifischer Anschuldigungen gegen mehrere Komponenten erfordert, die über unabhängige Vertrauensannahmen verfügen. Die Anfechtung einer einzelnen Komponente reicht nicht aus; die Anfechtung des Ganzen erfordert die Behauptung einer koordinierten Kompromittierung über distinkte Vertrauensgrenzen hinweg (z. B. Kernel, Hardware, Drittanbieter-Anker).

Der Jitter Seal (Proof-of-Process Primitiv)

Der Jitter Seal ist ein kryptographisches Primitiv, das darauf ausgelegt ist, zu beweisen, dass während der Dokumentenerstellung eine reale physische Tastaturinteraktion stattgefunden hat.

Mechanismus: Das System injiziert imperzeptible Mikrosekunden-Verzögerungen (500–3000 $\mu$ s) in den Dokumentgenerierungsprozess.
Kryptographische Bindung: Jeder Jitter-Wert wird via HMAC-SHA256 aus einem Sitzungsgeheimnis ( $S$ $S$ ) und sechs Bindungskomponenten abgeleitet:
1. Keystroke-Ordinalzahl ( $i$ )
2. Dokument-Hash ( $H_i$ )
3. Zeitstempel ( $t_i$ )
4. Zonentransition ( $Z_i$ ): Kodiert Übergänge zwischen Tastaturregionen (8 Zonen), ohne spezifische Tasten preiszugeben.
5. Intervall-Bucket ( $B_i$ ): Quantisiert die Intervalle zwischen den Tastenschlägen in 10 Bins.
6. Vorheriger Jitter ( $J_{i-1}$ ): Gewährleistet die Kettenintegrität.
Sicherheit: Oh ohne das Sitzungsgeheimnis kann ein Angreifer die Sequenz der Jitter-Werte nicht fälschen. Die Wahrscheinlichkeit, gültige Jitter-Werte für $n$ Stichproben zu erraten, liegt bei $(1/R)^n$ , wobei $R$ der Jitter-Bereich ist.

Die Witnessd-Architektur

Witnessd integriert den Jitter Seal mit fünf unabhängigen Verifikations-Checkpoints, um das Prinzip des Adversarial Collapse durchzusetzen:

Layer 0 (Jitter Seal): Beweist den physischen Prozess.
Layer 1 (Verifiable Delay Functions - VDF): Nutzt Pietrzak-VDFs, um eine Mindestzeit zwischen den Checkpoints zu beweisen und so Time-Compression-Angriffe zu verhindern.
Layer 2 (Externe Anker): Verankert Zeitstempel an öffentlichen Drittquellen (Bitcoin-Blockchain via OpenTimestamps oder RFC 3161 TSA), um lokale Manipulation der Systemzeit zu verhindern.
Layer 3 (Dual-Source-Validierung): Validiert Tastenschläge durch den Abgleich von Applikations-Streams (z. B. CGEventPost) mit Hardware-Streams (USB/Bluetooth HID). Ein gültiger Tastenschlag muss in beiden innerhalb von 50 ms erscheinen.
Layer 4 (TPM/Secure Enclave): Optionale Hardware-Attestierung für den Plattformstatus und monotone Counter zur Verhinderung von Replay-Attacken.
Layer 5 (Hash-Kette): Speichert Beweise in einer Merkle Mountain Range (MMR), um eine Append-only-Integrität zu gewährleisten.

3. Zentrale Beiträge

Adversarial Collapse Prinzip: Ein neues Evaluationskriterium für Beweissysteme, das darauf abzielt, spezifische, testbare Anschuldigungen zu erzwingen, statt vager Zweifel.
Jitter Seal: Ein formales Proof-of-Process Primitiv, das die Dynamik des physischen Tippens (Timing, Zonentransitionen) kryptographisch an den Dokumentenzustand bindet.
Witnessd Architektur: Ein mehrschichtiges System, das Jitter Seals, VDFs, externe Anker und Dual-Source-Validierung kombiniert, um unabhängige Vertrauensgrenzen zu schaffen.
Sicherheitsanalyse: Eine Formalisierung residueller Angriffe, die zeigt, dass das Überwinden des Systems spezifische, hochgradige Fähigkeiten erfordert (z. B. Kernel-Kompromittierung, Kollusion mit Dritten) statt generischer Fälschungen.
Empirische Evaluierung: Implementierung und Test des Systems über tausende Versuchsreihen hinweg.

4. Ergebnisse und Evaluierung

Das Paper berichtet Ergebnisse aus 31.000 Jitter-Seal-Versuchen und über 700 Systemtests:

Verifikationserfolg: 1.000 gültige Beweise wurden erfolgreich verifiziert (100 % Erfolgsrate).
Fälschungsfehlversuche: 30.000 Attack-Trials (fabrizierte Jitter, falsche Dokumente, inkorrekte Geheimnisse) scheiterten an der Verifikation (0 % Erfolgsrate).
Fälschungs-Wahrscheinlichkeit: Berechnet auf ca. $(1/2500)^{50} \approx 10^{-170}$ für eine Sequenz von 50 Stichproben.
Performance:
- Jitter-Berechnung: ~286 ns pro Stichprobe.
- Jitter-Injektion: 500–3000 $\mu$ s (für Menschen unmerklich, 5–27× unter der Wahrnehmungsschwelle).
- VDF-Verifikation: ~50 ms (Hintergrundprozess).
- MMR-Append: < 1 ms.

5. Bedeutung und Ansprüche

Das Paper stellt bescheiden fest, dass Witnessd keine Fälschung verhindert, die durch einen ausreichend mächtigen Angreifer (speziell einen Kernel-Level-Angreifer, $C_3$ , der vor der Erfassung präsent ist) erfolgt. Wenn ein Angreifer den Kernel kontrolliert, kann er das Sitzungsgeheimnis extrahieren und Beweise fälschen.

Die Bedeutung des Systems liegt jedoch in der Änderung der Beweislast:

Es wandelt vage Skepsis („Das könnte gefälscht sein“) in falsifizierbare Anschuldigungen um („Der Kernel wurde während des Fensters 14:00–14:47 über CVE-XXXX kompromittiert“).
Es etabliert, dass gültige Beweise voraussetzen, dass ein Mensch den Inhalt physisch getippt hat (selbst wenn es sich um KI-generierten Text handelt). Das System attestiert den Prozess des Tippens, nicht den kognitiven Ursprung der Ideen.
Durch die Forderung nach einer koordinierten Kompromittierung über unabhängige Vertrauensgrenzen hinweg (Hardware, OS, externe Anker) macht das System die Kosten und die Spezifität eines erfolgreichen Angriffs signifikant höher als bei der aktuellen signaturbasierten Provenienz.

Die Autoren kommen zu dem Schluss, dass in adversariellen Kontexten die Fähigkeit, spezifische, testbare Anschuldigungen zu erzwingen, einen distinkten und wertvollen Beitrag darstellt, der das Paradigma von der „Detektion von Fälschungen“ hin zum „Kollaps der plausiblen Leugbarkeit“ verschiebt.