💬 NLP

The Decomposition Is the Fingerprint: Per-Component Identity for Agent Skills

Dieses Papier stellt eine kompakte, lokalitätssensitive Methode zur komponentenweisen Fingerabdruckbildung für KI-Agenten-Fähigkeiten vor, die Multi-Bank-SimHash verwendet, um Signaturen fester Größe zu generieren, was die Identifizierung von Skill-Lineage und strukturellen Beziehungen durch Paraphrasierung oder Refactoring ermöglicht, während gleichzeitig unabhängige Neuerstellungen unterschieden werden, und dies alles, ohne die Notwendigkeit der verhaltensbasierten Sicherheitsüberprüfung zu ersetzen.

Ursprüngliche Autoren: Hongliang Liu, Yuhao Wu, Tung-Ling Li

Veröffentlicht 2026-07-01

📖 5 Min. Lesezeit🧠 Tiefgang

CC BY 4.0

Ursprüngliche Autoren: Hongliang Liu, Yuhao Wu, Tung-Ling Li

Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen

Stellen Sie sich vor, Sie verwalten eine riesige Bibliothek von „Skills“ für KI-Agenten. Dies sind nicht nur Bücher; es sind digitale Werkzeugkästen, die Anweisungen (Prompts), Code und Verbindungen zu anderen Werkzeugen enthalten. Wenn mehr Menschen solche Skills erstellen, wird die Bibliothek unübersichtlich. Derselbe Skill könnte kopiert, umbenannt, in einem anderen Stil neu geschrieben oder in eine andere Programmiersprache übersetzt werden.

Das große Problem? Wie wissen Sie, ob zwei Skills tatsächlich dasselbe sind, auch wenn sie oberflächlich betrachtet unterschiedlich aussehen?

Der alte Weg: Der „Fingerabdruck“, der bricht

Traditionell verwenden wir zur Überprüfung, ob zwei Dateien identisch sind, einen kryptografischen Hash (wie einen digitalen Fingerabdruck). Aber diese Methode ist zu sensibel. Es ist, als würde man ein Foto von einem Gesicht machen, aber wenn die Person ihre Haare nur einen Zentimeter länger trägt oder eine Brille aufsetzt, sieht das Foto völlig anders aus. In der digitalen Welt macht eine Änderung von nur einem einzigen Buchstaben in einem Prompt oder die Umbenennung einer Funktion den „Fingerabdruck“ komplett neu. Das ist nutzlos, um Duplikate zu finden, die lediglich leicht verändert wurden.

Der neue Weg: Der „komponentenbasierte“ Fingerabdruck

Die Autoren schlagen eine neue Art von Fingerabdruck vor, der intelligent und modular ist. Anstatt den gesamten Skill als einen großen Klumpen zu betrachten, zerlegt er ihn in drei verschiedene Teile:

Der Prompt: Die Anweisungen in natürlicher Sprache.
Der Code: Die eigentliche Logik und die Funktionen.
Die Tools: Die Liste der APIs oder externen Werkzeuge, die es verwendet.

So funktioniert ihr System, erklärt anhand einer einfachen Analogie:

1. Der „Übersetzer“ (Embedding)

Zuerst fungiert das System wie ein superintelligenter Übersetzer. Es liest den Prompt, den Code oder die Tools und wandelt sie in einen „Bedeutungsvektor“ um.

Analogie: Stellen Sie sich vor, Sie haben einen Satz auf Englisch und denselben Satz auf Französisch. Ein normaler Scanner sieht darin völlig unterschiedliche Zeichenketten. Dieser „Übersetzer“ versteht jedoch, dass sie dasselbe bedeuten, und vergibt dieselbe „Konzept-ID“. Er macht dies auch für Code und versteht, dass calculate_sum und add_numbers dieselbe Aufgabe erfüllen.

2. Der „Kompressor“ (Multi-Bank SimHash)

Die „Konzept-ID“ ist immer noch zu groß, um Millionen von Skills einfach zu speichern. Also komprimiert das System sie in eine winzige, fest definierte digitale Signatur (nur 120 Bytes bzw. 320 Bits).

Analogie: Denken Sie daran, dass man ein hochauflösendes Foto einer Person nimmt und es zu einem winzigen, 320-Pixel-großen Icon schrumpft. Auch wenn es winzig ist, kann man beim Vergleich zweier Icons immer noch erkennen, ob es dieselbe Person ist. Entscheidend ist: Wenn die Person das Hemd wechselt (eine kleine Änderung), bleibt das Icon erkennbar.

3. Die „dreiteilige ID-Karte“ (Das Triple)

Dies ist die wichtigste Innovation des Papers. Anstatt die drei Teile (Prompt, Code, Tools) in einen einzigen Wert zu pressen, behält das System sie als drei separate Zahlen auf einer ID-Karte.

Analogie: Stellen Sie sich einen Sicherheitsausweis mit drei separaten Fotos vor: eines vom Gesicht der Person, eines von ihrer ID-Nummer und eines von ihrer Berufsbezeichnung.
- Wenn jemand die Berufsbezeichnung ändert, aber das Gesicht und die ID-Nummer gleich bleiben, wissen Sie, dass es dieselbe Person mit einer neuen Rolle ist.
- Wenn jemand das Gesicht ändert (den Code umschreibt), aber die Berufsbezeichnung (den Prompt) beibehält, wissen Sie, dass es eine andere Person ist, die dieselbe Aufgabe erledigt.
- Wenn alle drei Teile übereinstimmen, handelt es sich um einen perfekten Klon.

Was dies löst

Durch die Trennung dieser drei Teile kann das System komplexe Fragen beantworten, die ein einfacher „Ja/Nein“-Hash nicht beantworten kann:

Cloning (Klont): „Ist dies eine Kopie jenes Skills?“ (Alle drei Teile stimmen überein).
Repurposing (Umwidmung): „Wird derselbe Code für einen anderen Zweck verwendet?“ (Code stimmt überein, Prompt ist anders).
Reimplementation (Neuimplementierung): „Ist dies dieselbe Idee, die auf eine völlig andere Weise geschrieben wurde?“ (Prompt stimmt überein, Code ist anders).
Tampering (Manipulation): „Hat jemand heimlich einen Virus in einen vertrauenswürdigen Skill eingeschleust?“ (Das System sieht, dass das „Gesicht“ und die „Berufsbezeichnung“ zu einem vertrauenswürdigen Skill passen, aber die „ID-Nummer“ (der Code) hat sich leicht verändert. Es markiert es als modifizierte Kopie).

Die „Sicherheitswarnung“

Das Paper unterscheidet sehr klar: Dieses System identifiziert, was ein Skill ist, nicht, ob er sicher ist.

Analogie: Dieses System ist wie eine Polizeidatenbank, die ein Auto als „2020 Toyota Camry“ erkennt. Es kann Ihnen sagen: „Dieses Auto ist eine modifizierte Version eines bekannten Modells, und der Motor wurde ausgetauscht.“
Es kann jedoch nicht feststellen, ob das Auto rücksichtslos fährt oder ob der neue Motor gefährlich ist. Dafür ist eine andere Art von Test erforderlich (Verhaltensüberprüfung).
Die Autoren stellten fest, dass viele bösartige Skills lediglich „manipulierte Kopien“ sicherer Skills sind. Ihr System erfasst sie als „modifizierte Kopien“, aber ein Mensch oder ein anderes Sicherheitstool muss entscheiden, ob die Modifikation gefährlich ist.

Warum es wichtig ist

Diese Methode schafft ein „Register“ für KI-Skills. Sie ermöglicht es Plattformen:

Duplikate zu stoppen: Finde Skills, die dieselben sind, aber unterschiedlich aussehen.
Die Abstammung zu verfolgen: Wissen, woher ein Skill stammt und wie er sich verändert hat.
Manipulationen zu erkennen: Feststellen, wenn ein vertrauenswürdiger Skill heimlich verändert wurde.
Platz zu sparen: Der neue Fingerabdruck ist 77-mal kleiner als die ursprünglichen Daten, was es ermöglicht, Millionen von Skills sofort zu durchsuchen.

Kurz gesagt: Das Paper argumentt, dass wir, um das Chaos der KI-Skills zu bewältigen, einen Fingerabdruck benötigen, der Bedeutung und Struktur versteht, und nicht nur einen Scanner, der nach exakten Buchstabenübereinstimmungen sucht. Und indem sie die Teile getrennt halten, erhalten wir ein viel klareres Bild davon, wie die Skills miteinander in Beziehung stehen.

Technisches Resümee: Pro-Komponenten-Identität für Agenten-Skills

1. Problemstellung

Da Large Language Model (LLM) Agenten zunehmend zur Laufzeit Fähigkeiten (Skills) erwerben und ausführen – gebündelte Prompts, ausführbarer Code und Tool-Deklarationen, die aus Marktplätzen oder von anderen Agenten stammen – stehen Plattformen vor einer kritischen Governance-Herausforderung: der Identität. Aktuelle Methoden zur Bestimmung, ob zwei Skills derselbe sind, erfüllen die spezifischen Anforderungen des Agenten-Ökosystems nicht:

Kryptografisches Hashing: Versagt, da es nicht rewrite-invariant ist; eine einzige Zeichenänderung (Paraphrasierung, Umbenennung, Refactoring) verändert den Digest vollständig und zerstört die Ähnlichkeit.
Fuzzy Hashing (z. B. ssdeep, TLSH): Basiert auf räumlicher Byte-Lokalität, welche Skills aufgrund semantischer Umformungen fehlt. Diese Methoden erreichen bei umgeschriebenen Skills nur Zufallsniveau (AUC 0,53–0,63).
Rohe Embeddings: Während sie semantische Ähnlichkeit präzise erfassen, speichern sie Vektoren im Kilobyte-Bereich, denen die konstante Größe und Bit-Indexierbarkeit fehlen, die für skalierbare Register erforderlich sind.
Standard SimHash: Wurde für die Deduplizierung einzelner Dokumente entwickelt, verfügt über keine Komponenten-Dekomposition und kann nicht zwischen „gleicher Code, anderer Zweck“ und „gleicher Zweck, anderer Code“ unterscheiden.

Der Kern des Problems ist die Notwendigkeit eines kompakten, lokalitätssensitiven Fingerabdrucks, der rewrite-invariant, komponenten-lokalisierbar und kalibriert ist und in der Lage ist, Skill-Familien statt nur exakte Byte-Übereinstimmungen zu identifizieren.

2. Methodik

Die Autoren schlagen eine pro-komponentenbasierte, lokalitätssensitive Fingerabdruck-Pipeline (Abbildung 1) vor, die einen Skill vor dem Hashing in seine Bestandteile zerlegt.

2.1 Dekomposition

Ein Skill $S$ wird als strukturiertes Artefakt behandelt, das aus textuellen Komponenten besteht:

Prompt: Natürliche Sprachinstruktionen.
Code: Ausführbare Implementierung.
Tools: API- oder Tool-Deklarationen.
(Optionale Komponenten wie Konfiguration oder Beispiele werden ebenfalls unterstützt.)

2.2 Konvergente Transformation (Embedding)

Jede Komponente wird unabhängig mittels eines gelernten Text-Encoders $E(\cdot) \to \mathbb{R}^d$ (speziell Google's text-embedding-005, $d=768$ ) eingebettet. Dieser Encoder fungiert als konvergente Transformation, die funktional äquivalente Komponenten (trotz Paraphrasierung, Umbenennung oder Refactoring) in geometrisch nahe beieinander liegende Vektoren abbildet. Das Embedding-Modell liefert die Rewrite-Invarianz.

2.3 Multi-Bank SimHash

Um Kompaktheit zu erreichen, wird jedes 768-dimensionale Embedding mittels SimHash [5] in Bits projiziert.

Mechanismus: Für jede Komponente werden 320 unabhängige Zufлshyperebenen gezogen. Das Vorzeichen des Skalarprodukts zwischen dem Embedding und jeder Hyperebene bestimmt ein einzelnes Bit.
Struktur: Die 320 Bits werden in fünf 64-Bit-Wörtern („Banks“) gepackt.
Ergebnis: Eine feste 120-Byte-Signatur (3 Komponenten × 40 Bytes pro Komponente) für den Skill. Entscheidend ist, dass die drei Komponenten-Codes niemals zu einem einzigen Skalar innerhalb des Fingerabdrucks kollabiert werden; sie bleiben ein Triplett.

2.4 Vergleich

Zwei Skills werden komponentenweise mittels Hamming-Distanz verglichen.

Ähnlichkeit für eine Komponente: $sim = 1 - \frac{\text{popcount}(F_A \oplus F_B)}{320}$ .
Der Vergleich ist $O(1)$ und extrem schnell (Mikrosekunden), unter Nutzung von Bitweise-XOR- und Population-Count-Instruktionen.
Anwendungen können das Triplett aggregieren (z. B. Maximum für Recall, Minimum für striktes Klonen oder gewichtete Mittelwerte) basierend auf spezifischen Registry-Anforderungen.

3. Wesentliche Beiträge

Pro-Komponenten-Dekomposition: Der primäre Beitrag besteht darin, den Fingerabdruck als Triplett (Prompt, Code, Tools) beizubehalten, anstatt als einzelnen Score. Dies ermöglicht es dem System:
- Zwischen Lineage (strukturelle Ähnlichkeit) und Verhaltensäquivalenz zu unterscheiden.
- Exakt zu lokalisieren, welcher Teil eines Skills wiederverwendet oder manipuliert wurde (z. B. gleicher Code, anderer Prompt = Zweckentfremdung; gleicher Prompt, anderer Code = Reimplementierung).
- Beziehungs-Klassifizierungen (Klone, Varianten, Tool-Wechsel) ohne zusätzliche Modelle zu ermöglichen.
Kompakter, hochgradig fideler Signatur: Die Methode komprimiert ein 24.576-Bit-Embedding in 120 Bytes (77-fache Kompression), während sie das Ranking der ursprünglichen Kosinus-Ähnlichkeit innerhalb von 1 % AUC bewahrt.
Registry-Primitiv: Der Fingerabdruck dient als strukturelle Achse für ein Skill-Register und ermöglicht Duplikaterkennung, Familien-Clustering, Neuheitserkennung sowie die Generierung eines portablen SkillBOM (Software Bill of Materials).
Unterscheidung zwischen Identität und Sicherheit: Das Paper behauptet explizit, dass der Fingerabdruck Identität (Lineage) liefert, nicht Sicherheit. Er kann einen Skill als manipuliertes Kopie eines bekannten benignen Basis-Skills identifizieren, kann aber nicht bestimmen, ob die Kopie bösartig ist.

4. Experimentelle Ergebnisse

Die Autoren evaluierten den Fingerabdruck über mehrere Korpora und Benchmarks hinweg:

Fidelität zum Embedding: Bei 4.950 paarweisen Vergleichen konstruierter Skill-Varianten erreichte der Fingerabdruck einen AUC von 0,974 (95 % KI [0,956, 0,994]). Pro Komponente folgte er der Embedding-Kosinus-Ähnlichkeit innerhalb von 1 % (0,992 vs. 0,993) bei 77-facher Kompression.
Adversarielle Robustheit: In einem Benchmark mit 50 adversariellen Rewrites (einschließlich sprachübergreifender Übersetzung, Obfuskation und vollständiger Umformung) erkannte der Fingerabdruck 45/50 Rewrites, während eine lexikalische TF-IDF-Baseline nur 5/50 erkannte.
Beziehungs-Klassifizierung: Das Pro-Komponenten-Triplett klassifizierte korrekt 62 % der „Same-Group“-Paare als Klone und 24 % als „Tool-Swaps“, mit einer False-Clone-Rate von nur 0,2 % bei Cross-Group-Paaren.
Tamper-Lokalisierung: In einem 906-Skill-Injection-Benchmark identifizierte der Fingerabdruck 83,7 % der bösartigen Skills als Near-Klone bekannter Benign-Skills. Entscheidend war, dass er die Manipulation lokalisierte: Die Ähnlichkeit der Code-Komponente sank (0,92–0,95), während Prompt und Tools hoch blieben, was den Ort der Injection präzise aufzeigte.
Sicherheits-Limitierung: Als alleiniger Sicherheitsdetektor erreichte der strukturelle Fingerabdruck einen F1-Wert von 0,735 (gegenüber 0,946 bei Verhaltensverifikation), was bestätigt, dass strukturelle Identität orthogonal zur verhaltensbasierten Integrität steht.

5. Bedeutung und Ansprüche

Das Paper argumentt, dass Identität die strukturelle Achse eines Skill-Registers ist, verschieden von und komplementär zur Verhaltensverifikation.

Lineage statt Äquivalenz: Der Fingerabdruck beansprucht, „Lineage“ zu identifizieren (ist dies eine Kopie/Variante eines bekannten Skills?) anstatt „Verhaltensäquivalenz“ (tut es dasselbe?). Diese Unterscheidung ist für die Governance entscheidend, da sie Plattformen ermöglicht, Provenienz zu prüfen und Manipulationen zu erkennen, ohne Sicherheitsurteile abzugeben.
Skalierbarkeit: Durch die Reduktion von Skills auf 120-Byte-Signaturen, die bitweise indexierbar sind, ermöglicht die Methode Vergleiche in konstanter Zeit und effiziente Indizierung für Millionen von Skills – eine Aufgabe, die mit rohen Embeddings unmöglich wäre.
Komponierbarkeit: Die Autoren postulieren ein „Zwei-Achsen-Modell“ des Vertrauens: Strukturelle Identität (dieses Werk) + Verhaltensintegrität (Laufzeitverifikation). Der Fingerabdruck behandelt das „Wer/Was“ (Lineage, Manipulation, Wiederverwendung), während Verhaltensprüfungen das „Wie sicher“ behandeln.
Bescheidenheit: Die Autoren geben explizit an, dass der Fingerabdruck nicht kollisionsresistent ist (ein Angreifer könnte theoretisch einen Skill konstruieren, der eine vertrauenswürdige Familie imitiert) und kein Sicherheitsurteil darstellt. Er ist ein Triage- und Lineage-Signal, das darauf ausgelegt ist, mit kryptografischen Hashes und Verhaltensprüfungen kombiniert zu werden.

Zusammenfassend präsentiert das Paper eine praktische, mathematisch fundierte Lösung für die Verwaltung der explodierenden Menge an KI-Agenten-Skills, indem es Ähnlichkeit von einer einzelnen Zahl in ein reichhaltiges Signal auf Komponentenebene für das Registry-Management und die Provenienzverfolgung transformiert.