Notarized Agents: Receiver-Attested Confidential Receipts for AI Agent Actions
Dieses Paper stellt Sello vor, ein Protokoll, das eine manipulationssichere Beobachtbarkeit von KI-Agenten gewährleistet, indem es Service-Empfänger dazu bringt, Aktivitätsquittungen an den Agenteneigentümer zu signieren und zu verschlüsseln, wodurch die Notwendigkeit entfällt, dem Agenten oder dessen Betreiber zu vertrauen.
Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen
Das Kernproblem: Der Fuchs, der die Henne bewacht
Stellen Sie sich vor, Sie stellen einen Roboter-Butler (einen KI-Agenten) ein, der zur Bank geht, ein Haus kauft oder Ihre Krankenakten verwaltet. Sie möchten genau wissen, was er getan hat.
Derzeit ist der einzige Weg, dies zu überprüfen, den Roboter zu fragen: „Was hast du gemacht?“ und sein Tagebuch zu lesen. Die Arbeit argumentiert, dass dies eine schreckliche Idee ist. Wenn der Roboter gehackt wurde, fehlerhaft ist oder beschließt zu lügen, kann er einfach sein eigenes Tagebuch so umschreiben, dass dort steht: „Ich habe nichts Unrechtmäßiges getan“, während er in Wirklichkeit Ihr Geld stiehlt. Der Roboter ist sowohl der Akteur als auch der Erzähler. Er hat keinen Grund, die Wahrheit zu sagen, und Sie haben keine Möglichkeit zu beweisen, dass er lügt.
Die Lösung: Der „Notar“-Ansatz
Die Arbeit schlägt vor, das Skript umzudrehen. Anstatt dass der Roboter den Bericht schreibt, schreiben die Orte, die der Roboter besucht, den Bericht.
Denken Sie an einen Rechtsvertrag in alten Zeiten. Wenn ein Geschäft abgeschlossen wurde, unterzeichneten die beiden Parteien nicht nur; sie brachten einen unabhängigen Zeugen (einen Notar) mit, der weder der einen noch der anderen Partei angehörte. Der Notar stempelte das Dokument, um zu bestätigen: „Ich habe gesehen, dass dies geschehen ist.“
In der Welt der KI bedeutet das:
- Der Agent: Der Roboter (das verfolgte Objekt).
- Die Dienste: Die Banken, Krankenhäuser oder Websites, die der Roboter besucht (die Zeugen).
- Der Besitzer: Sie (die Person, die den Roboter engagiert hat).
Wie das „Sello“-Protokoll funktioniert
Die Autoren haben ein System namens Sello entwickelt, das wie ein digitaler Notar fungiert. So funktioniert es Schritt für Schritt:
- Der Besuch: Ihr Roboter geht zu einem Dienst (z. B. einer Bank-API), um eine Transaktion durchzuführen.
- Der Zeuge unterschreibt: Die Bank wartet nicht darauf, dass der Roboter berichtet, was passiert ist. Stattdessen schreibt der Computer der Bank sofort eine Notiz: „Ich habe gesehen, dass dieser Roboter reinkam und nach X gefragt hat.“
- Der geheime Umschlag: Die Bank legt diese Notiz in einen speziellen, unknackbaren digitalen Umschlag. Entscheidend ist: Nur Sie (der Besitzer) besitzen den Schlüssel, um ihn zu öffnen. Die Bank weiß nicht, was darin steht, und der Roboter kann ihn nicht sehen.
- Das öffentliche Register: Die Bank sperrt diesen versiegelten Umschlag in ein öffentliches, manipulationssicheres digitales Protokoll (wie ein riesiges, öffentliches Blockchain-Ledger).
- Die Prüfung: Später gehen Sie zum öffentlichen Register. Sie finden den Umschlag, verwenden Ihren privaten Schlüssel, um ihn zu öffnen, und lesen genau das, was die Bank gesehen hat.
Warum das eine große Sache ist (Die 4 Superkräfte)
Die Arbeit behauptet, dass Sello einzigartig ist, weil es vier Dinge kombiniert, die kein anderes System besitzt:
- P1: Der Zeuge unterschreibt, nicht der Roboter. Die Signatur stammt von der Bank (dem Empfänger), nicht vom Roboter. Selbst wenn der Roboter gehackt wird, kann er die Signatur der Bank nicht fälschen.
- P2: Nur Sie können es lesen. Der Beleg ist verschlüsselt, sodass weder die Bank, das öffentliche Register noch der Betreiber des Roboters den Inhalt lesen kann. Nur Sie können den Umschlag öffnen.
- P3: Das öffentliche Protokoll. Der Beleg wird in ein öffentliches „Transparenzprotokoll“ veröffentlicht. Das bedeutet, die Bank kann den Beleg nicht nachträglich verstecken. Wenn sie versuchen, ihn zu löschen, beweist das öffentliche Protokoll, dass er vorhanden war.
- P4: Sie finden es selbst heraus. Sie fragen den Roboter nicht nach den Belegen. Sie nutzen einen speziellen Code (der aus Ihrem Autorisierungstoken abgeleitet ist), um die Belege im öffentlichen Protokoll selbst aufzuspüren.
Die „Find My AirTag“-Analogie
Die Arbeit vergleicht dies mit Apples „Find My“-Netzwerk.
- Der AirTag ist der Roboter. Er ist „dumm“ und hat keine Internetverbindung. Er kann nicht nach Hause telefonieren.
- Die iPhones sind die Dienste. Wenn ein iPhone an einem AirTag vorbeiläuft, sendet es heimlich eine verschlüsselte Nachricht: „Ich habe diesen AirTag hier gesehen.“
- Der Besitzer ist der Einzige, der diese Nachricht entschlüsseln kann.
- Das Ergebnis: Der Besitzer weiß, wo der AirTag ist, obwohl der AirTag selbst nie gesprochen hat. Sello macht dasselbe für KI-Agenten.
Was Sello NICHT löst (Die Einschränkungen)
Die Autoren sind sehr ehrlich darüber, was dieses System nicht leisten kann:
- Der „Silent“-Angriff: Wenn der Roboter beschließt, keine Dienste zu besuchen (z. B. wenn er einfach nur herumsteht und nichts tut), werden keine Belege erstellt. Das System kann nicht beweisen, dass der Roboter etwas nicht getan hat, wenn er mit niemandem interagiert hat.
- Der „Kollusions“-Angriff: Wenn der Roboter und die Bank zusammenarbeiten, um einen Beleg vorzutäuschen, kann das System dies nicht verhindern. Wenn der Roboter jedoch mit vielen verschiedenen Diensten interagiert, ist es für sie schwieriger, alle in perfekter Einheit zu lügen.
- Das „Warum überhaupt?“-Problem: Derzeit haben Banken und Dienste keinen Grund, diesen Mehraufwand zu betreiben. Sie werden diese Belege nicht unterschreiben, es sei denn, ein Gesetz zwingt sie dazu oder Kunden verlangen es. Die Autoren geben zu, dass dies die größte Hürde ist.
Zusammenfassung
Die Arbeit argumentet, dass wir KI-Agenten nicht vertrauen können, uns die Wahrheit über ihre Handlungen zu sagen. Stattdessen müssen wir den unabhängigen Diensten, mit denen sie interagieren, vertrauen, damit diese als Zeugen fungieren. Indem diese Dienste einen Beleg unterschreiben, verschlüsseln und veröffentlichen, erhält der Besitzer eine „manipulationssichere Spur“, die der Agent nicht fälschen kann – selbst wenn der Agent vollständig kompromittiert ist.
Die Autoren nennen dies „Notarisierung für KI-Agenten“ und haben einen Prototyp namens Sello entwickelt, um zu beweisen, dass es funktioniert.
Ertrinken Sie in Arbeiten in Ihrem Fachgebiet?
Erhalten Sie tägliche Digests der neuesten Arbeiten passend zu Ihren Forschungsbegriffen — mit technischen Zusammenfassungen, in Ihrer Sprache.