Hardware-rooted attestation for AI-agent evidence: composing IETF RATS with action evidence packages

Das Rätsel der digitalen Black Box

Stellen Sie sich vor, Sie versuchen, ein Rätsel zu lösen, aber der einzige Zeuge ist der Verdächtige selbst. In der Welt der künstlichen Intelligenz bauen wir „Agenten“ – intelligente Computerprogramme, die Entscheidungen treffen, Code schreiben oder sogar Roboter steuern können. Um diese Agenten ehrlich zu halten, brauchen wir eine Möglichkeit, ihre Arbeit zu überprüfen. Derzeit verlassen wir uns auf ein digitales „Logbuch“, das der Agent selbst schreibt. Darin steht: „Ich habe dies getan, ich war dazu berechtigt, und dies ist das Ergebnis.“ Das ist nützlich, hat aber einen fatalen Fehler: Wenn der Agent lügt oder wenn ein hinterlistiger Hacker das Gehirn des Agenten durch ein anderes ausgetauscht hat, wird das Logbuch immer noch perfekt aussehen. Es ist, als würde ein Krimineller einen Tagebucheintrag schreiben, der besagt: „Ich habe den Keks nicht gestohlen“, während er den Keks in der Hand hält. Das Tagebuch ist unterschrieben und versiegelt, aber es beweist nicht, wer es tatsächlich geschrieben hat oder welcher Computer gerade lief.

Um dies zu lösen, benötigen wir einen „Black Box“-Rekorder, ähnlich wie man sie in Flugzeugen findet. Diese Geräte werden von einem Dritten gebaut, sind versiegelt und zeichnen Daten auf, die der Pilot (oder der Computeroperator) nicht manipulieren kann. In der Welt der Computer nennt man das „Hardware-Attestierung“. Es ist eine Methode, bei der ein spezieller, vertrauenswürdiger Chip im Computer einem externen Inspektor ein Geheimnis zuflüstert und sagt: „Ich verspreche, dass die Software, die gerade läuft, exakt diejenste ist, die der Besitzer angibt.“ Die große Frage, die Wissenschaftler sich stellen, lautet: Wie bringen wir die eigene Geschichte des Agenten (das Logbuch) mit diesem unzerbrechlichen Hardware-Beweis (der Black Box) zusammen, um eine einzige, unbestreitbare Wahrheit zu schaffen?

Das Logbuch und der versiegelte Rekorder

Dieses Paper schlägt einen klugen Weg vor, um diese beiden Dinge miteinander zu verknüpfen. Der Autor, Anton Sokolov, schlägt vor, dass wir nicht nur dem Logbuch der KI vertrauen sollten, noch sollten wir nur der Hardware vertrauen. Stattdessen sollten wir sie „versticken“ (stitch), damit sie nicht mehr getrennt werden können.

Stellen Sie sich das wie eine Flugbesatzung vor, die versucht, eine harte Landung zu erklären.

1. Das Logbuch (Das AEP): Dies ist das „Action Evidence Package“ (Aktions-Evidenz-Paket). Es ist der schriftliche Bericht der Crew: „Wir wurden von der Kontrollstelle zur Landung freigegeben, wir haben die linke Landebahn benutzt und sind sicher aufgesetzt.“ Es ist detailliert und unterschrieben, aber es sind immer noch nur Worte, die von der Crew geschrieben wurden.
2. Die Black Box (Die RATS-Evidenz): Dies ist der Hardware-Beweis. Es ist ein versiegelter Rekorder, der sagt: „Zum exakt gleichen Zeitpunkt lief die Version 1.0 der Landesoftware auf dem Flugzeugcomputer, und die Triebwerke waren auf voller Leistung.“ Der Pilot kann dies nicht ändern; es ist eine physische Tatsache, die von den Sensoren des Flugzeugs aufgezeichnet wurde.

Das Paper argumentt, dass das Logbuch allein nicht ausreicht, weil die Crew lügen könnte. Die Black Box allein reicht ebenfalls nicht aus, weil sie uns nicht erklärt, warum das Flugzeug gelandet ist oder ob der Pilot den Regeln gefolgt ist. Die Lösung besteht darin, sie zu binden (bind). Wenn die Crew ins Logbuch schreibt, muss sie auch einen frischen, versiegelten Stempel der Black Box beifügen, der beweist, dass sich der Computer zum exakt gleichen Zeitpunkt im richtigen Zustand befand.

Wie das Experiment ablief

Der Autor hat dies nicht nur erdacht; er hat ein kleines, funktionierendes Modell gebaut, um zu sehen, ob es möglich ist. Er verwendete ein „Software-TPM“ (eine simulierte Version des speziellen Sicherheitschips, die in echten Computern zu finden sind), um als Black Box zu fungieren. Er erstellte ein fiktives KI-Logbuch und versuchte, es mit dem Hardware-Beweis zu kombinieren.

Hier ist, was er in seiner Simulation herausfand:

• Das „Gute“ Szenario: Als die KI das tat, was sie sollte, und der Computer die korrekte Software ausführte, gab das System grünes Licht. Das Urteil lautete „Attested“ (beglaubigt). Das Logbuch und die Black Box stimmten überein.
• Das „Gehirn-Austausch“-Szenario: Die Forscher versuchten, das System zu täuschen. Sie taten so, als hätte die KI ihr Gehirn gegen ein anderes, nicht autorisiertes Modell ausgetauscht. Die Black Box bemerkte die Änderung sofort. Obwohl das Logbuch perfekt aussah und sagte: „Ich bin das gute Modell“, sagte der Hardware-Beweis: „Nein, bist du nicht.“ Das Urteil lautete „Contested“ (bestritten). Dies ist der große Sieg des Papers: Das Logbuch bleibt vollkommen gültig, aber das kombinierte Urteil offenbart die Diskrepanz zwischen der Geschichte und der Hardware-Realität.
• Das „Alte Neuigkeiten“-Szenario: Sie versuchten, einen alten, gültigen Black-Box-Stempel von gestern zu verwenden, um das heutige Logbuch zu signieren. Das System sagte: „Zu alt!“ und gab das Urteil „Expired“ (abgelaufen) aus.
• Das „Fake-Logbuch“-Szenario: Sie versuchten, einen gültigen Black-Box-Stempel zu nehmen und ihn an ein völlig erfundenes Logbuch anzuhängen. Das System lehnte dies sofort ab. Der Stempel und die Geschichte passten nicht zusammen, also wurde das Ganze verworfen.

Was dies bedeutet (und was es nicht bedeutet)

Das Paper ist sehr sorgfältig darin zu betonen, was es nicht getan hat. Dies war eine Simulation mit einem gefälschten Chip auf einem normalen Computer. Es beweist, dass die Idee funktioniert, aber es beweist noch nicht, dass ein echter, physischer Chip in einem echten Server dasselbe tun wird. Der Autor gibt zu, dass wir in der realen Welt die tatsächliche KI-Modell-Datei (das „Gehirn“) messen müssten und sicherstellen müssten, dass die Hardware wirklich unverändert ist, was eine größere technische Herausforderung darstellt.

Die Kernidee ist jedoch solide: Durch die Kombination der Geschichte einer KI mit einem Hardware-Siegel können wir eine neue Art von Wahrheit schaffen. Wir können von der Frage „Was sagt die KI, dass sie getan hat?“ zu der Frage übergehen: „Hat genau der Computer, den der Betreiber besitzt, dies tatsächlich getan?“

Das Paper schlägt vor, dass dieser „komposite“ Ansatz einen sechs-Wörter-Vokabular für Vertrauen schafft: Authorised (autorisiert – es hatte die Erlaubnis), Unauthorised (nicht autorisiert – es hatte keine Erlaubnis), Indeterminate (unbestimmt – wir wissen es nicht), Attested (beglaubigt – die Hardware ist gut), Contested (bestritten – die Hardware lügt oder hat sich verändert) und Expired (abgelaufen – der Beweis ist zu alt).

Kurz gesagt zeigt das Paper, dass wir ein System bauen können, in dem das Logbuch einer KI in einem Hardware-Siegel eingeschlossen ist. Wenn die KI versucht, über ihre Handlungen zu lügen, oder wenn jemand versucht, das Gehirn der KI gegen ein anderes auszutauschen, bricht das Siegel nicht, aber das kombinierte Urteil wird „Contested“, was offenbart, dass die Geschichte und die Maschine nicht übereinstimmen. Es ist ein Weg, um sicherzustellen, dass wenn eine KI sagt: „Ich habe dies getan“, wir sicher sein können, dass es nicht nur eine Geschichte ist, sondern eine Tatsache, die durch die Maschine selbst gestützt wird.