🤖 AI

Right to History: A Sovereignty Kernel for Verifiable AI Agent Execution

Diese Arbeit stellt das Prinzip des „Rechts auf Geschichte" vor, das durch den in Rust implementierten Souveränitätskern PunkGo technisch umgesetzt wird, um für auf persönlicher Hardware laufende KI-Agenten eine manipulationssichere, verifizierbare und regulierungskonforme Protokollierung aller Aktionen zu gewährleisten.

Ursprüngliche Autoren: Jing Zhang

Veröffentlicht 2026-02-25

📖 4 Min. Lesezeit☕ Kaffeepausen-Lektüre

CC BY 4.0

Ursprüngliche Autoren: Jing Zhang

Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen

Stell dir vor, du hast einen sehr intelligenten, aber manchmal etwas chaotischen persönlichen Assistenten. Dieser Assistent (ein "KI-Agent") erledigt Dinge für dich: Er schreibt E-Mails, ändert Dateien, ruft Dienste auf oder führt Code aus.

Das Problem bisher: Wenn der Assistent etwas tut, gibt es keinen unbestechlichen Zeugen. Du kannst ihm nicht beweisen, was er genau getan hat. Wenn er versehentlich deine Fotos löscht oder eine E-Mail an die falsche Person schickt, kannst du nur auf sein Wort vertrauen. Und wenn du auf deinem eigenen Computer arbeitest (nicht in der Cloud eines großen Unternehmens), gibt es gar keine Firma, die die Aufzeichnungen führt.

Dieses Papier von Jing Zhang nennt dieses Problem das "Recht auf Geschichte" (Right to History). Es schlägt vor, dass du als Mensch das Recht hast, eine fälschungssichere, lückenlose Aufzeichnung aller Handlungen zu haben, die dein KI-Assistent in deinem Namen auf deinem eigenen Gerät durchführt.

Hier ist die Erklärung des vorgeschlagenen Systems, PunkGo, mit einfachen Analogien:

1. Der "Unbestechliche Notar" (Der Kernel)

Stell dir vor, dein Computer ist ein großes Büro. Der KI-Assistent ist ein Mitarbeiter, der viel tun darf. Aber bisher hatte dieser Mitarbeiter die Schlüssel zu allen Schränken und konnte seine eigenen Protokolle schreiben.

PunkGo führt einen neuen Charakter ein: einen strengen, unbestechlichen Notar (den "Sovereignty Kernel").

Der Assistent darf nichts direkt tun. Er muss dem Notar sagen: "Ich möchte diese Datei ändern."
Der Notar prüft sofort: "Darfst du das? Hast du genug Energie dafür? Ist das erlaubt?"
Wenn ja, führt der Notar die Änderung im Hintergrund durch und schreibt sie sofort in ein magisches Buch.

2. Das "Magische Buch" (Die Merkle-Baum-Protokolle)

Das Herzstück des Systems ist ein digitales Protokollbuch, das auf einer Technologie namens Merkle-Baum basiert (die gleiche Technik, die bei Banküberweisungen und Blockchain genutzt wird).

Die Analogie: Stell dir vor, du schreibst jeden Eintrag in ein Buch. Aber jedes Mal, wenn du eine neue Seite hinzufügst, wird der gesamte Text der vorherigen Seite in einen einzigartigen, mathematischen "Fingerabdruck" verwandelt, der an die neue Seite geheftet wird.
Warum ist das wichtig? Wenn jemand (selbst der KI-Assistent oder ein Hacker) versucht, eine alte Seite im Buch zu ändern, um die Geschichte zu verfälschen, passt der Fingerabdruck der nächsten Seite nicht mehr. Das Buch "schreit" sofort: "Jemand hat hier manipuliert!"
Das bedeutet: Die Geschichte kann niemals im Nachhinein geändert oder gelöscht werden, ohne dass es sofort auffällt.

3. Der "Energie-Geldbeutel" (Energie-Budget)

Damit der Assistent nicht einfach wild herumtoben kann, hat er einen Energie-Geldbeutel.

Jede Handlung kostet "Energie" (Rechenleistung). Ein einfaches "Ansehen" kostet wenig, das "Löschen einer Datei" kostet viel.
Der Assistent kann nicht mehr tun, als in seinem Geldbeutel ist.
Die Falle: Wenn der Assistent versucht, den Notar zu täuschen oder zu viele Anfragen zu stellen, um das System zu testen, kostet ihn das Energie. Wenn der Geldbeutel leer ist, kann er nichts mehr tun. Das verhindert, dass er das System überlastet.

4. Der "Rote Knopf" (Menschliche Genehmigung)

Manchmal will der Assistent etwas Riskantes tun (z. B. eine große Summe Geld überweisen).

Das System hat eine Pause-Taste. Wenn der Assistent so etwas plant, stoppt er und fragt dich: "Hey, ich will das tun. Ist das okay?"
Du musst als Mensch aktiv zustimmen ("Approve").
Der Clou: Selbst wenn du "Nein" sagst, hat der Assistent schon einen Teil seiner Energie verbraucht, um die Frage zu stellen. Das verhindert, dass er dich mit tausenden von "Sind Sie sicher?"-Fragen nervt, nur um deine Grenzen auszuloten.

Warum ist das revolutionär?

Bisher haben wir Systeme, die sagen: "Hier ist, was der Assistent tun darf."
PunkGo sagt: "Hier ist, was der Assistent tatsächlich getan hat, und hier ist der mathematische Beweis, dass niemand das Buch danach umgeschrieben hat."

Es wandelt das Vertrauen von "Ich hoffe, der Assistent ist ehrlich" in "Ich habe den Beweis, was passiert ist".

Zusammengefasst:
PunkGo ist wie ein digitaler Sicherheitskoffer für deine KI. Der Assistent macht die Arbeit, aber der Koffer (der Notar) hält die Schlüssel und schreibt alles in ein Buch, das man nicht beschreiben kann. So hast du als Mensch immer die Kontrolle und die Wahrheit auf deiner Seite, egal wie clever oder chaotisch dein KI-Assistent ist.

1. Problemstellung

Mit der zunehmenden Verbreitung von KI-Agenten, die im Namen von Menschen Aktionen ausführen (E-Mails senden, Dateien modifizieren, Code ausführen), entsteht eine fundamentale Lücke in der Verantwortlichkeit (Accountability).

Fehlende Nachweisbarkeit: Es gibt derzeit kein System, das einen manipulationssicheren und unabhängig verifizierbaren Nachweis darüber liefert, was ein KI-Agent genau getan hat, wer es autorisiert hat und ob es innerhalb der definierten Grenzen blieb.
Regulatorische Lücke: Neue Vorschriften wie der EU-AI-Act verlangen automatische Protokollierung für hochriskante KI-Systeme. Diese Rahmenwerke gehen jedoch implizit von zentralisierten Anbietern aus. Wenn Agenten auf persönlicher Hardware (Local-First) laufen, gibt es keinen zentralen Log-Server, der die Integrität der Aufzeichnungen garantiert.
Souveränitätsproblem: Bisherige Ansätze wie Agent Contracts definieren nur, was Agenten dürfen, nicht aber was sie tatsächlich getan haben. Betriebssystem-Audit-Mechanismen (z. B. auditd) arbeiten auf Syscall-Ebene und können Aktionen nicht semantisch einem Agenten zuordnen oder menschliche Eingriffe (Human-in-the-Loop) verifizieren.

2. Methodik und Konzept: „Right to History"

Das Paper führt das Prinzip „Right to History" (Recht auf Geschichte) ein. Es erweitert Floridis Rahmenwerk der Informationsethik von Rechten auf Daten über Personen hin zu Rechten auf verifizierbare Aufzeichnungen von Handlungen, die im Namen dieser Personen ausgeführt wurden.

Die Lösung ist PunkGo, ein „Souveränitäts-Kernel" (Sovereignty Kernel), der als Trusted Computing Base (TCB) fungiert.

Kernarchitektur:

Vertrauensmodell: Der Kernel ist die einzige vertrauenswürdige Komponente. KI-Agenten (LLMs), externe Tools und Netzwerkkommunikation gelten als unvertrauenswürdig.
Drei-Schichten-Architektur:
1. Kernel-Schicht (TCB): Verwaltet das Ereignis-Log (Merkle-Baum), Energie-Buchhaltung, Grenzprüfungen und Audit-Beweise. Er ist der einzige Committer (Schreiber), führt aber keine externen Prozesse aus.
2. Agent-Schicht: Führt die eigentliche Logik und Tool-Aufrufe aus und reicht Ergebnisse beim Kernel zur Protokollierung ein.
3. Client-Schicht: Dient als Schnittstelle für Benutzer (Dashboard, Freigabe von Aktionen).

Formale Grundlagen:
Das System basiert auf fünf System-Invarianten, die durch strukturierte Beweis-Skizzen untermauert werden:

Append-Only (Nur Anhängen): Das Log kann nur erweitert, aber niemals geändert oder gelöscht werden.
Vollständigkeit (Completeness): Jede Aktion, die die Grenzprüfung und Energie-Reservierung besteht, wird im Log erfasst.
Integrität (Integrity): Der Merkle-Root garantiert, dass der Inhalt des Logs unverändert ist.
Grenzdurchsetzung (Boundary Enforcement): Agenten können nur Aktionen ausführen, die in ihren deklarierten Schreibrechten (writable_targets) liegen.
Energie-Erhaltung (Energy Conservation): Jede Aktion kostet Ressourcen; Agenten können nicht mehr verbrauchen als zugewiesen.

Mechanismen:

Merkle-Bäume (RFC 6962): Für manipulationssichere, append-only Logs mit effizienten Inklusions- und Konsistenzbeweisen ( $O(\log n)$ ).
Energie-Budget: Ein Ressourcen-Modell, das Denial-of-Service-Angriffe verhindert und Missbrauch von Freigabe-Mechanismen (Hold) durch Kosten (20% Commitment-Kosten bei Ablehnung) diszipliniert.
Hold-Mechanismus: Ein „Human-Approval"-Workflow, bei dem der Kernel bei bestimmten Aktionen die Ausführung anhält, bis ein Mensch zustimmt. Dies wird im Log als Ereignis festgehalten.

3. Schlüsselbeiträge (Contributions)

Formaler Rahmen: Ein Modell für die Auditierung von KI-Agenten mit drei Primitiven (Actor, Energy, State), vier atomaren Aktionen und fünf Invarianten.
PunkGo Kernel: Eine Implementierung in Rust, die Merkle-Tree-Audit-Logs, Capabilities-basierte Isolation und Energie-Governance vereint. Im Gegensatz zu Systemen wie AIOS, die das LLM als TCB betrachten, setzt PunkGo den Kernel als TCB.
Souveränitäts-Inversion: Der Fokus verschiebt sich von der Frage, wie Agenten Souveränität gegenüber Menschen bewahren, hin zu der Frage, wie Menschen Souveränität über Agenten bewahren (Recht auf Geschichte).
Validierung: Ein Proof-of-Concept, der die Invarianten unter adversarischen Bedingungen bestätigt und Performance-Metriken liefert.

4. Ergebnisse und Evaluation

Die Evaluation wurde auf einer Intel Core i7-14700K Maschine durchgeführt.

Invarianten-Verifikation: Alle fünf Invarianten wurden erfolgreich gegen adversarische Testszenarien (Privilegien-Eskalation, Budget-Erschöpfung, Log-Manipulation) getestet.
- Beispiel: Bei direkter Manipulation des Logs im Speicher wurde die Inkonsistenz innerhalb von 55 ms erkannt.
Performance:
- Latenz: Median von 0,7 bis 1,3 ms pro Aktion (abhängig vom Typ: observe, create, mutate, execute).
- Durchsatz: Ca. 400 Aktionen pro Sekunde (sequentiell).
- Skalierbarkeit: Bei 10.000 Log-Einträgen beträgt die Größe eines Inklusionsbeweises nur 448 Bytes (14 Hashes). Die Generierungszeit liegt bei ca. 19 ms.
Vergleich: PunkGo bietet im Gegensatz zu AIOS oder LangGraph kryptografische Beweise, Capabilities-basierte Isolation und einen formalen Audit-Trail.

5. Bedeutung und Ausblick

Das Paper argumentiert, dass verifizierbare Aufzeichnungen keine optionale Funktion, sondern eine architektonische Grundvoraussetzung für vertrauenswürdige KI-Agenten sind.

Regulatorische Relevanz: PunkGo ermöglicht es Einzelpersonen, die Anforderungen des EU-AI-Act (insb. Art. 12 und 14) auf lokaler Hardware selbst zu erfüllen, ohne auf zentrale Anbieter angewiesen zu sein.
Paradigmenwechsel: Es verbindet die Kryptografie von Certificate Transparency (CT) mit der System-Sicherheit von seL4 (Capabilities) und wendet dies auf die neue Domäne der KI-Agenten-Audits an.
Zukunft: Geplante Arbeiten umfassen die maschinengeprüfte Verifikation (mit Verus), die Integration in Trusted Execution Environments (TEE/SGX) für Schutz vor privilegierten Angreifern und die Optimierung der Merkle-Baum-Generierung für höhere Skalierbarkeit.

Zusammenfassend stellt PunkGo einen fundamentalen Baustein dar, um KI-Agenten von „Blackbox"-Systemen in verifizierbare, rechenschaftspflichtige Werkzeuge zu verwandeln, bei denen der Mensch die letzte Instanz der Kontrolle und Nachvollziehbarkeit bleibt.