💻 computer science

Proof-of-Continuity: A Temporal Model for Authority Propagation in Distributed Systems and AI Agents

Dieses Paper führt Proof-of-Continuity ein, ein Modell zur kausalen Autoritätspropagierung, das sicherstellt, dass jeder Ausführungsschritt in verteilten Systemen und KI-Agenten strikt mit seinem Ursprung verknüpft und auf eine nicht-expansive Teilmenge der ursprünglichen Autorität beschränkt ist, wodurch das Problem des verwirrten Stellvertreters (Confused Deputy Problem) verhindert wird, indem garantiert wird, dass die ausgeübten Privilegien im ursprünglichen Anfragekontext vorhanden waren.

Ursprüngliche Autoren: Nicola Gallo

Veröffentlicht 2026-07-13

📖 5 Min. Lesezeit🧠 Tiefgang

CC BY 4.0

Ursprüngliche Autoren: Nicola Gallo

Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen

Stellen Sie sich vor, Sie leiten ein hochkarätiges Staffellaufrennen, bei dem die Läufer jedoch keinen Staffelstab, sondern einen magischen Schlüssel weitergeben, der Türen öffnet.

Auf die alte Art und Weise (genannt Proof-of-Possession – Nachweis des Besitzes) ist die Regel einfach: „Wenn du den Schlüssel hältst, darfst du die Tür öffnen.“ Es spielt keine Rolle, wer dir den Schlüssel gegeben hat oder warum du ihn hast. Wenn ein Läufer einen Schlüssel aus einem Fundbüro aufhebt oder einen Ersatzschlüssel aus seiner eigenen Tasche zieht, darf er diesen benutzen.

Das Papier argumentiert, dass dies gefährlich ist. Es ist wie ein verwirrter Stellvertreter (Confused Deputy): Stellen Sie sich vor, ein Benutzer bittet ein Computerprogramm: „Speichere diese Datei.“ Das Programm, das seinen eigenen Generalschlüssel besitzt, entscheidet sich dazu, die Datei in einem geheimen Regierungsarchiv zu speichern, weil es den Schlüssel hat, obwohl der Benutzer dies nie verlangt hat und auch nicht das Recht hatte, dieses Archiv zu öffnen. Das Programm ist „verwirrt“, weil es einen Schlüssel verwendet, den es selbst besitzt, anstatt der spezifischen Berechtigung, die der Benutzer für diese spezielle Aufgabe erteilt hat.

Die neue Idee: Proof-of-Continuity (Nachweis der Kontinuität)

Der Autor, Nicola Gallo, schlägt eine neue Regel namens Proof-of-Continuity vor.

Anstatt nur zu prüfen, ob du den Schlüssel hast, prüfen wir nun, ob dein Schlüssel mit dem Start des Rennens verbunden ist.

Betrachten Sie die Ausführungskette (die Abfolge der Schritte, die ein Computer unternimmt) als einen Fluss.

Die Quelle: Das Rennen beginnt an einer Quelle (dem Ursprung). Die Quelle gibt eine bestimmte Menge Wasser (Autorität/Privilegien) frei.
Der Fluss: Während das Wasser flussabwärts fließt, kann es nur kleiner werden oder gleich groß bleiben. Es kann niemals magisch größer werden. Wenn die Quelle Wasser für das „Lesen einer Karte“ freigegeben hat, kann der Fluss flussabwärts nur „Lesen einer Karte“ transportieren. Er kann nicht plötzlich zu einer Flut anschwellen, die in der Lage ist, ein „Gebäude einzureißen“.
Der Kontrollpunkt: An jeder Biegung des Flusses (jedem Schritt im Computerprozess) fragen wir nicht nur: „Hast du einen Eimer?“, sondern: „Fließt dieser Eimer Wasser direkt von der Quelle herab, und ist es dasselbe Wasser?“

Dies ist der Kern der Erkenntnis: Autorität ist nicht nur etwas, das man hält; sie ist ein kontinuierlicher Faden, der zurück zum Anfang führt. Wenn ein Schritt im Prozess versucht, ein Privileg zu nutzen, das nicht in dem ursprünglichen „Eimer“ von der Quelle enthalten war, bricht der Fluss ab und die Aktion wird blockiert.

Was dies ausschließt

Das Papier argumentt explizit, dass das alte Modell des „Proof-of-Possession“ für komplexe, mehrstufige Aufgaben (wie KI-Agenten oder verteilte Dienste) unzureichend ist.

Es beweist, dass, wenn man nur prüft, wer den Schlüssel hält (Besitz), ohne zu prüfen, woher dieser Schlüssel in der Kette stammt (Lineage/Herkunft), man das Problem des „verwirrten Stellvertreters“ (Confused Deputy) nicht verhindern kann. Das Papier nutzt einen mathematischen Beweis, um zu zeigen, dass ein System nicht drei Dinge gleichzeitig haben kann:

Einem Helfer zu erlauben, sowohl seine eigenen Schlüssel als auch die Schlüssel des Benutzers zu halten.
Entscheidungen basierend nur darauf zu treffen, wer die Schlüssel hält (die Historie ignorierend).
Sicher vor dem „verwirrten Stellvertreter“-Problem zu sein.

Das Papier kommt zu dem Schluss, dass man zur Sicherheit die Idee, die Historie zu ignorieren, aufgeben muss. Man muss die Entscheidung „lineage-sensitiv“ gestalten. Man kann nicht nur auf den Schlüssel schauen; man muss auf den Fluss schauen.

Wie sicher sind wir?

Das Papier schlägt dies nicht nur vor, es beweist es mathematisch.

Der Autor definiert ein formales Modell (das PIC-Modell) mit strengen Regeln.
Er liefert Theorem 1 und Theorem 6, also logische Beweise, die zeigen, dass es unter Einhaltung der Regeln des „Proof-of-Continuity“ unmöglich ist, dass ein „verwirrter Stellvertreter“ auftritt. Es ist kein Bug, der später vielleicht behoben wird; es ist eine Regel des Systems, die den Fehler physisch unmöglich macht.
Das Papier stellt fest, dass unter diesem Modell „die Bedingung des verwirrten Stellvertreters nicht als gültiges Modellverhalten erfüllt werden kann“. Es ist kein „Vielleicht“; es ist ein „Niemals“.

Warum dies für KI und Roboter wichtig ist

Das Papier hebt hervor, dass dies für KI-Agenten von entscheidender Bedeutung ist. Stellen Sie sich einen KI-Assistenten vor, den Sie bitten: „Fasse ein Dokument zusammen.“

Alter Weg: Die KI könnte einen „Löschen-Datei“-Schlüssel in ihrer Tasche haben. Wenn Sie die KI durch einen Prompt versehentlich austricksen, könnte sie ihren eigenen „Löschen“-Schlüssel benutzen, um Ihre Dateien zu löschen, in dem Gedanken: „Ich habe den Schlüssel, also kann ich es tun.“
Neuer Weg (Proof-of-Continuity): Die KI prüft den Fluss. Sie sieht, dass die „Zusammenfassen“-Anfrage nur einen „Lesen“-Schlüssel mit sich brachte. Selbst wenn die KI einen „Löschen“-Schlüssel in ihrer Tasche hat, kann sie diesen für diese Aufgabe nicht verwenden, da das „Löschen“-Privileg nicht in dem ursprünglichen Strom des Wassers von der Quelle vorhanden war. Der Fluss fließt einfach nicht in diese Richtung.

Das Wesentliche

Das Papier führt eine neue Art des Denkens über Berechtigungen ein. Es geht nicht darum, wer man ist oder was man gerade in der Hand hält. Es geht darum, woher man kommt und was einem zu Beginn erlaubt war.

Indem es Autorität als einen kontinuierlichen, schrumpfenden Fluss statt als ein statisches Objekt behandelt, das man bei sich trägt, beweist das Papier mathematisch, dass kein Schritt in einer Kette jemals etwas tun kann, was die ursprüngliche Anfrage nicht zuließ. Es verwandelt ein Sicherheitsproblem in eine einfache Regel des Flusses: Man kann keine neuen Berechtigungen aus dem Nichts erschaffen; man kann nur das weitergeben, was einem gegeben wurde.

Technisches Resümee: Proof-of-Continuity: Ein temporales Modell für die Autoritätspropagierung in verteilten Systemen und KI-Agenten

1. Problemstellung

Das Paper identifiziert eine fundamentale Einschränkung aktueller Autorisierungsmodelle, insbesondere bei Proof-of-Possession (PoP) und kapazitätsbasierten Systemen (Capability-based Systems), wenn diese auf diskrete, Multi-Hop-Ausführungsketten (z. B. verteilte Dienste, Tool-Aufrufe von KI-Agenten) angewendet werden.

In PoP-Modellen wird Autorität aus dem Besitz von Artefakten (Token, Credentials, Capabilities) abgeleitet. Während diese Modelle effektiv einschränken können, wer ein Artefakt vorweisen darf, können sie nicht garantieren, dass die ausgeübte Autorität an einem späteren Schritt eine kausale Fortsetzung der Autoritätskontextes ist, der am Ursprung der Anfrage etabliert wurde.

Diese Lücke führt zum Confused Deputy Problem in verteilten Kontexten. Ein Deputy (Executor) kann über mehrere Autoritätsquellen verfügen (ambiente Privilegien, delegierte Token, Bearer-Credentials). Wenn der Deputy eine Anfrage verarbeitet und basierend auf deren Parametern ein Privileg ausübt, das er zwar besitzt, welches aber nicht Teil des ursprünglichen Autoritätskontextes der Anfrage war, tritt eine Sicherheitsverletzung auf. Der Deputy ist „verwirrt“ (confused), weil er eine Aktion ausführt, die kausal durch einen Nutzer ausgelöst wurde, der nicht über die Autorität verfügte, diese Aktion zu verursachen, obwohl der Deputy selbst über das notwendige Privileg verfügte.

Das Paper argumentiert, dass besitzbasierte Modelle linienien-invariant sind: Sie behandeln ein Ereignis $(o, r)$ (Operation $o$ auf Ressource $r$ ) als gültig, allein basierend auf dem Besitz des Privilegs, wobei die temporale Linie $\ell$ , die das Ereignis erzeugt hat, ignoriert wird. Folglich können sie nicht zwischen einer validen Fortsetzung einer autorisierten Linie und einer unautorisierten Ausführung unterscheiden, die lediglich zufällig dasselbe Privileg besitzt.

2. Methodik und Modelldefinition

Die Autoren führen das Provenance Identity Continuity (PIC) Modell und die Proof-of-Continuity (PoC) Disziplin ein, um diese temporale Lücke zu schließen.

Kernformalismus

Ausführungskette (Execution Chain): Die Ausführung wird als kausale Kette von Schritten $\pi = \langle (s_0, C_0), (s_1, C_1), \dots, (s_n, C_n) \rangle$ modelliert, wobei $s_i$ ein Schritt und $C_i$ der Autoritätskontext (eine Teilmenge von Privilegien $O \times R$ ) ist, der an diesem Schritt mitgeführt wird.
Proof of Relationship (PoR): Ein einstufiger kausaler Primitiv. $PoR(s_i, s_{i+1})$ setzt voraus, dass Schritt $s_{i+1}$ eine gültige kausale Fortsetzung von $s_i$ innerhalb derselben Linie ist.
Monotone Autoritätsbeschränkung (Monotonic Authority Restriction): Ein valider Übergang erfordert, dass der Autoritätskontext des nächsten Schritts eine Teilmenge des aktuellen Schritts ist: $C_{i+1} \subseteq C_i$ . Autorität kann nur abgeschwächt (attenuiert), aber niemals erweitert werden.
Proof of Continuity (PoC): Definiert als die transitive Komposition von PoR und monotoner Beschränkung über die gesamte Kette. $PoC(\pi)$ gilt, wenn jeder benachbarte Übergang valide ist.

Theoretischer Rahmen

Das Paper formalisiert den Unterschied zwischen Besitz (Possession) und Kontinuität (Continuity) mittels eines Projektionsarguments:

Besitzbasierte Policies sind als Funktionen definiert, die invariant unter der Linie sind: $A(o, r, \ell) = \bar{A}(o, r)$ . Sie projizieren den Ereignisraum $E = O \times R \times L$ auf $O \times R$ und verwerfen dabei die Linie-Koordinate $L$ .
Theorem 3: Linien-invariante Policies können Vorkommnisse nicht differenzieren. Zwei Ereignisse mit identischen Privilegien, aber unterschiedlichen Linien (eine autorisierte vs. ein Confused-Deputy-Fall), erhalten dasselbe Autorisierungsergebnis.
Theorem 5 (Trade-off): Ein System kann nicht gleichzeitig folgende Bedingungen erfüllen:
1. Linien-invariante Autorisierung.
2. Autoritäts-mischende Delegation (Executoren, die unabhängige Autoritätsquellen halten).
3. Confused-Deputy-Sicherheit.
  Um Sicherheit in Systemen zu gewährleisten, die Autoritätsmischung erfordern, muss das Modell die Linien-Invarianz aufgeben und die Autorisierung linien-sensitiv gestalten.

3. Zentrale Beiträge

Proof-of-Continuity (PoC): Eine minimale Disziplin zur Autoritätspropagierung, bei der Autorität nicht als statische Eigenschaft einer Entität definiert wird, sondern als eine temporale Eigenschaft einer Ausführungskette. Autorität existiert nur als eine nicht-expansive Fortsetzung des Ursprungskontextes.
Formalisierung des Confused Deputy als Linien-Mismatch: Das Paper reframed den Confused Deputy nicht bloß als Trennung von Designation und Autorität (die räumliche Sicht von Capabilities), sondern als Kollision distinkter Linien unter einer Projektion, die die Zeit vergisst.
Impossibilitäts-Resultate:
- Theorem 3: Beweist, dass linien-invarianter Besitz nicht zwischen validen Fortsetzungen und Confused-Deputy-Ausführungen unterscheiden kann.
- Theorem 6: Beweist, dass unter dem PIC-Modell der Confused-Deputy-Zustand als valides Verhalten unmöglich zu erfüllen ist. Wenn ein Privileg nicht im Ursprungskontext $C_0$ enthalten ist, kann es in keinem nachfolgenden Kontext $C_n$ innerhalb einer validen PoC-Kette erscheinen.
Differenzierung der Primitiven: Klärt die Rollen von:
- Proof-of-Possession: Beweist die Kontrolle über ein Artefakt.
- Proof-of-Relationship: Beweist die kausale Verknüpfung zwischen benachbarten Schritten.
- Proof-of-Continuity: Beweist die Autoritätspropagierung ohne Expansion über die gesamte Linie hinweg.

4. Ergebnisse und Sicherheitsgarantien

Das primäre Ergebnis ist die Sicherheit des PIC-Modells. Unter Proof-of-Continuity gilt:

Ursprungsgebundene Autorität: Jedes ausgeübte Privileg an Hop $n$ muss in der ursprünglichen Autoritätskontext $C_0$ vorhanden gewesen sein.
Irreversible Abschwächung: Wenn ein Privileg an einem Hop $j$ verworfen wird (d. h. nicht in $C_j$ enthalten ist), ist es dauerhaft verloren und kann an einem späteren Hop $k > j$ nicht wieder auftauchen.
Eliminierung des Confused Deputy: Das Modell verhindert strukturell die Confused-Deputy-Bedingung. Ein Executor kann kein Privileg ausüben, das durch eine Anfrage ausgelöst wurde, wenn dieses Privileg nicht im ursprünglichen Autoritätskontext der Anfrage enthalten war, ungeachtet dessen, welche anderen Privilegien der Executor besitzt.

Das Paper zeigt, dass diese Sicherheit dadurch erreicht wird, dass die Linien-Invarianz aufgegeben wird. Autorisierungsentscheidungen müssen die Linie-Koordinate (via PoR-Evidenz) lesen, um zu bestimmen, ob eine Aktion eine gültige Fortsetzung der auslösenden Anfrage ist.

5. Bedeutung und Umfang

Das Paper positioniert Proof-of-Continuity als eine Modellverfeinerung und nicht als Ersatz für bestehende Mechanismen wie OIDC, Wallets oder Bearer-Token.

Komplementarität: Identitäts- und Authentifizierungsmechanismen bleiben essenziell, um den Ursprung zu etablieren. PoC adresst die Frage, wie sich Autorität nach der Etablierung des Ursprungs propagiert.
Relevanz für KI-Agenten: Das Modell wird explizit als kritisch für KI-Agenten hervorgehoben, die oft mehrere Autoritätsquellen halten (Service-Credentials, User-Token, Tool-Scopes) und Ketten von Tool-Aufrufen ausführen. PoC stellt sicher, dass ein Agent kein Tool verwenden kann, um eine Aktion auszuführen (z. B. eine Datei zu löschen), wenn die ursprüngliche Absicht des Nutzers (z. B. ein Dokument zusammenzufassen) diese Aktion nicht autorisiert hat, selbst wenn der Agent das Lösch-Privileg unabhängig davon besitzt.
Temporal vs. Spatial: Das Paper argumentiert, dass während Capability-Modelle das räumliche Problem der Designation lösen, sie jedoch oft das temporale Problem der Multi-Hop-Propagation verfehlen, sofern die Capability als gehaltenes Artefakt behandelt wird (was wiederum zu Besitz zurückführt). PoC erweitert die „By-Construction“-Garantie von Capabilities über Multi-Hop-Linien hinweg, indem es Autorität als einen kontinuierlichen, nicht-expansiven Fluss behandelt.

Das Paper schließt mit der Feststellung, dass der Confused Deputy kein Laufzeitfehler ist, der durch Patches behoben werden muss, sondern eine strukturelle Unmöglichkeit in einer validen PIC-Ausführung. Das Modell verlagert die Last von der Laufzeit-Vigilanz hin zu einer Disziplin, in der Autorität strikt durch ihre kausale Historie definiert ist.