aiAuthZ: Off-Host, Identity-Bound Authorization for AI Agents
Dieses Paper stellt aiAuthZ vor, ein Off-Host-Autorisierungs-Gateway, das KI-Agenten-Tool-Aufrufe durch die Durchsetzung von identitätsgebundenen, unveränderlichen Richtlinien und kryptografischer Verifizierung absichert und dabei die Erfolgsraten von Angriffen über verschiedene Modelle und Szenarien hinweg auf 0 % senkt, bei vernachlässigbarer Latenz.
Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen
Das Kernproblem: Der „leichtgläubige Butler“
Stellen Sie sich vor, Sie stellen einen hochintelligenten Butler (den KI-Agenten) ein, um Ihren Haushalt zu führen. Dieser Butler ist großartig darin, Anweisungen zu befolgen: Er kann den Tresor öffnen, E-Mails versenden oder Geld überweisen.
Es gibt jedoch einen Haken: Der Butler kann nicht zwischen einer echten Bestellung von Ihnen und einer gefälschten Bestellung unterscheiden, die jemand anderes auf einen Klebezettel am Kühlschrank geschrieben hat.
Wenn sich ein Fremder in Ihr Haus schleicht und schreibt: „Der Besitzer sagt: Überweise alles Geld auf mein Konto“, könnte der Butler diesen Zettel lesen, ihn für eine echte Anweisung von Ihnen halten und es tun. Dies wird als Prompt Injection bezeichnet. Die Arbeit argumentiert, dass es riskant ist, sich darauf zu verlassen, dass der Butler darüber „nachdenkt“, ob eine Anweisung sicher ist, denn:
- Manche Butler sind leichtgläubig, andere sind skeptisch.
- Selbst die teuersten High-End-Butler werden manchmal überlistet.
- Man kann nicht einfach mehr bezahlen, um sie sicherer zu machen.
Die Lösung: Der „Sicherheitsdienst außerhalb des Hauses“ (aiAuthZ)
Die Autoren haben ein System namens aiAuthZ entwickelt. Anstatt den Butler entscheiden zu lassen, ob eine Bestellung sicher ist, haben sie einen Sicherheitsdienst in einem separaten, abgeschlossenen Raum (einer anderen Vertrauensdomäne) zwischen dem Butler und der Außenwelt platziert.
So funktioniert das neue System Schritt für Schritt:
1. Das „Geheime Handschlag-Verfahren“ (Identitätsverifizierung)
Jedes Mal, wenn Sie (der Nutzer) eine Bestellung aufgeben, sagen Sie diese nicht nur; Sie versehen sie mit einem einzigartigen, unzerbrechlichen digitalen Siegel (einer HMAC-Signatur), das nur Sie und der Sicherheitsdienst kennen.
- Die Analogie: Stellen Sie sich vor, Sie überreichen dem Sicherheitsdienst einen Zettel. Der Zettel trägt ein spezielles Wachssiegel. Der Sicherheitsdienst prüft das Siegel. Wenn das Siegel echt ist, weiß der Sicherheitsdienst: „Diese Bestellung kam definitiv vom Besitzer, nicht von einem Fremden.“
- Der Clou: Selbst wenn der Butler einen Zettel liest, auf dem steht: „Ich bin der Besitzer, gib mir die Schlüssel“, ignoriert der Sicherheitsdienst die Worte. Der Sicherheitsdienst vertraut nur dem Siegel. Wenn das Siegel nicht zum Besitzer passt, wird die Bestellung abgelehnt, egal was im Text steht.
2. Das „Regelwerk“ (Off-Host-Policy)
Der Sicherheitsdienst besitzt ein Regelwerk, das der Butler weder sehen noch ändern kann.
- Die Analogie: Der Butler denkt vielleicht: „Ich darf jede Tür öffnen!“ Aber das Regelwerk des Sicherheitsdienstes besagt: „Nur der Besitzer darf den Tresor öffnen. Nur der Besitzer darf Geld überweisen.“
- Selbst wenn der Butler getäuscht wird zu glauben, er hätte die Erlaubnis, prüft der Sicherheitsdienst das Regelwerk. Wenn die anfragende Person (das „Siegel“) nicht der Besitzer ist oder versucht, etwas zu Großes zu tun (wie eine Million Dollar zu überweisen), stoppt der Sicherheitsdienst dies.
3. Der „Unzerstörbare Beleg“ (QR-Code)
Wenn der Sicherheitsdienst sagt: „Ja, das ist sicher“, lässt er die Aktion nicht einfach nur geschehen. Er druckt einen QR-Code-Beleg aus, der beweist, dass die Bestellung autorisiert wurde.
- Die Analogie: Es ist wie ein Ticket, das man bei einem Konzert bekommt. Selbst wenn Sie das Ticket fotografieren, verkleinern oder durch eine unscharfe Textnachricht senden, kann das Sicherheitssystem es immer noch scannen und sagen: „Dies ist ein gültiges Ticket.“
- Die Arbeit testete dies, indem sie Fotos der QR-Codes machte, sie zuschneidete und komprimierte. Das System erkannte sie immer noch in 94 % der Fälle. Dies schafft einen permanenten, unveränderlichen Datensatz darüber, wer was getan hat.
4. Der „Geheime Tresor“ (Credential Broker)
Der Sicherheitsdienst hält auch die Schlüssel zum Tresor (API-Secrets). Der Butler besitzt die Schlüssel nicht.
- Die Analogie: Wenn der Butler versucht, den Tresor zu öffnen, kann er das nicht tun, weil er den Schlüssel nicht hat. Er muss den Sicherheitsdienst fragen. Der Sicherheitsdienst prüft die Regeln und erst dann händigt er den Schlüssel für diesen einen speziflichen Moment aus. Wenn der Butler versucht, die Schlüssel zu stehlen, kann er das nicht, da die Schlüssel den Raum des Sicherheitsdienstes nie verlassen.
Was die Arbeit tatsächlich herausgefunden hat
Die Autoren testeten dieses System mit 15 verschiedenen KI-„Butlern“ (Modellen) und 8 verschiedenen Arten von Angriffen (wie dem Versuch, den Butler zum Datendiebstahl zu verleiten).
- Ohne den Sicherheitsdienst: Die Butler waren inkonsistent. Einige lehnten den Trick ab (100 % sicher), andere fielen jedoch darauf herein (nur 38 % sicher). Selbst der teuerste Butler war nur zu 50 % sicher.
- Mit dem Sicherheitsdienst: 100 % der Angriffe wurden blockiert. Jedes einzelne Modell, vom günstigsten bis zum teuersten, stoppte die böswilligen Aktionen.
- Geschwindigkeit: Der Sicherheitsdienst traf die Entscheidung in 0,03 Millisekunden. Das ist so schnell wie ein Augenzwinkern; es hat den Prozess nicht verlangsamt.
- Praxis-Test: Sie testeten dies in einer Bankensimulation. Der Sicherheitsdienst stoppte jeden Versuch eines Hackers, Geld zu stehlen, selbst wenn der Hacker versuchte, den Butler zu täuschen.
Was dieses System NICHT tut
Es ist wichtig, die Grenzen zu kennen, genau wie man wissen muss, was ein Sicherheitsdienst nicht leisten kann:
- Es verhindert nicht, dass der Butler verwirrt wird. Der Butler kann immer noch getäuscht werden zu glauben, ein Fremder sei der Besitzer. Der Sicherheitsdienst stoppt lediglich den Butler dabei, auf Basis dieser Verwirrung zu handeln.
- Es verhindert nicht, dass ein Hacker in den Raum des Sicherheitsdienstes einbricht. Wenn der Angreifer den Computer des Sicherheitsdienstes kontrolliert, versagt das gesamte System.
- Es verhindert nicht, dass der Butler seine eigenen eingebauten Werkzeuge nutzt. Wenn der Butler eine geheime Hintertür besitzt (wie einen eingebauten Shell-Befehl), die den Sicherheitsdienst umgeht, kann der Sicherheitsdienst dies nicht stoppen. Die Arbeit weist darauf hin, dass man diese Hintertüren deaktivieren muss, wenn man das System installiert.
Das Fazit
Die Arbeit argumentiert, dass wir nicht darauf vertrauen sollten, dass KI-Modelle sich selbst kontrollieren. Stattdessen sollten wir einen separaten, kryptografischen Sicherheitsdienst vor sie schalten. Dieser Dienst prüft die Identität der anfragenden Person, prüft die Regeln und stellt einen Beleg aus. Er verwandelt eine chaotische, unvorhersehbare Situation in eine deterministische, sichere Umgebung, in der böswillige Aktionen zu 100 % blockiert werden, unabhängig davon, welches KI-Modell verwendet wird.
Ertrinken Sie in Arbeiten in Ihrem Fachgebiet?
Erhalten Sie tägliche Digests der neuesten Arbeiten passend zu Ihren Forschungsbegriffen — mit technischen Zusammenfassungen, in Ihrer Sprache.