Separating Disclosure from Authorization: Field-Tier Minimization for Agent Action Mediation

In der modernen digitalen Welt handeln autonome Software-Agenten im Namen von Menschen und Unternehmen, indem sie E-Mails versenden, Geld bewegen und auf sensible Datensätze zugreifen. Um diese Agenten sicher und ehrlich zu halten, nutzen Organisationen zwei unterschiedliche Systeme, die oft gegensätzliche Ziele verfolgen. Das erste ist ein Gatekeeper (Torwächter), eine Policy-Engine, die die Details einer Aktion prüfen muss, um zu entscheiden, ob diese zulässig ist. Wenn ein Agent eine E-Mail an einen Empfänger senden möchte, muss der Gatekeeper die Adresse sehen, um zu wissen, ob diese Person innerhalb oder außerhalb des Unternehmens ist. Das zweite System ist ein permanentes Protokoll, ein unveränderliches Log, das jede getroffene Entscheidung aufzeichnet und so einen Pfad schafft, den Auditoren Jahre später inspizieren können, um zu beweisen, was geschehen ist. Das Problem entsteht dadurch, dass beide Systeme traditionell dasselbe verlangen: die rohen, ungefilterten Daten. Der Gatekeeper benötigt die vollständigen Details, um eine faire Entscheidung zu treffen, und das Protokoll benötigt die vollständigen Details, um ein vertrauenswürdiger Zeuge zu sein. Dies schafft jedoch einen gefährlichen Engpass, bei dem die privatesten Informationen – Namen, Adressen und medizinische Details – in einem permanenten, unlöschbaren Register gefangen sind, was gegen die Datenschutzregeln verstößt, denen die Organisation eigentlich folgen will.

Ein Forscherteam bei Aurite AI hat einen Weg gefunden, diese beiden Bedürfnisse zu entwirren, ohne Sicherheit oder Privatsphäre zu opfern. Sie entdeckten, dass der Gatekeeper und der Protokollführer tatsächlich nicht dieselben Dinge sehen müssen. Der Gatekeeper muss lediglich die Form der Daten kennen, um eine regelbasierte Entscheidung zu treffen, während der Protokollführer nur wissen muss, dass eine bestimmte Entscheidung über einen spezifischen Datensatz getroffen wurde. Durch die Trennung dieser Anforderungen entwickelten die Forscher ein System, in dem die privaten Details den Computer des Nutzers nie verlassen, die Organisation jedoch dennoch Regeln durchsetzen und einen unbrechbaren Audit-Trail führen kann.

Der Kern ihrer Lösung ist eine Methode namens Field-Tier Minimization (Feld-Ebenen-Minimierung). Anstatt eine gesamte Aktion, wie etwa das „Senden einer E-Mail“, als einen einzigen Block sensibler Daten zu behandeln, zerlegt das System die Aktion in ihre einzelnen Bestandteile oder Felder. Es sortiert jedes Feld dann in eine von drei Kategorien ein. Die erste Kategorie enthält Informationen, die für die Regeln notwendig, aber nicht identifizierend sind, wie etwa die Größe eines Anhangs oder die Anzahl der Dateien. Diese Daten dürfen in ihrer Originalform weitergegeben werden. Die zweite Kategorie umfasst Informationen, die für die Regeln benötigt werden, aber auch eine Person identifizieren können, wie etwa eine E-Mail-Adresse. Für diese Felder wird nicht die vollständige Adresse übermittelt. Stattdessen wird eine vereinfachte, nicht identifizierende Version übergeben, wie zum Beispiel nur der Domainname nach dem „@“-Symbol. Dies ermöglicht es dem Gatekeeper zu prüfen, ob die E-Mail an ein externes Unternehmen geht, ohne die spezifische Person preiszugeben. Die dritte Kategorie enthält Informationen, die für die Regeln niemals benötigt werden, wie etwa der Betreff einer E-Mail oder die Notizen zu einer Zahlung. Diese Daten bleiben vollständig auf dem Computer des Nutzers und überschreiten niemals die Grenze zur Außenwelt.

Die Brillanz dieses Designs liegt darin, wie es mit dem permanenten Protokoll umgeht. In vielen früheren Versuchen, die Privatsphäre zu schützen, versuchten Systeme, sensible Daten zu verbergen oder zu löschen, bevor sie in das Protokoll geschrieben wurden. Dies erzeugt jedoch ein neues Problem: Wenn das Protokoll verändert wird, kann ein Auditor nicht feststellen, was entfernt wurde oder ob die Aufzeichnung vertrauenswürdig ist. Die Forscher lösten dies, indem der Computer einen einzigartigen digitalen Fingerabdruck der ursprünglichen, unveränderten Daten berechnet, bevor jegliche Verbergung oder Vereinfachung stattfindet. Dieser Fingerabdruck wird dann in das permanente Protokoll geschrieben. Wenn später die vereinfachten Daten an den Gatekeeper gesendet werden, kann das System dennoch beweisen, dass die vereinfachte Version von den ursprünglichen Daten stammt, weil der Fingerabdruck übereinstimmt. Das bedeutet, dass die Organisation ihre Regeln darüber, welche Daten verborgen werden, jederzeit ändern kann, selbst Jahre später, ohne die Integrität der alten Datensätze zu brechen. Das Protokoll bleibt ein solider, unveränderlicher Zeuge des ursprünglichen Ereignisses, während der Informationsfluss zum Gatekeeper flexibel und privatsphärenfreundlich wird.

Um sicherzustellen, dass dieses System korrekt funktioniert, mussten die Forscher eine knifflige Frage über Vertrauen lösen: Wer darf sagen, was passiert ist? Da die sensiblen Daten den Computer des Nutzers nie verlassen, ist der Computer des Nutzers der einzige, der den Fingerabdruck der ursprünglichen Daten berechnen kann. Die Forscher entschieden, dass der Computer des Nutzers diesen Fingerabdruck erstellen und an das Protokoll melden sollte. Sie begründeten dies damit, dass ein Nutzer, der versuchen würde, über den Fingerabdruck zu lügen, Beweise gegen sich selbst fälschen würde, was eine starke Abschreckung darstellt. Der Computer des Nutzers kann jedoch nicht darauf vertraut werden, zu sagen, welche Regeln zur Vereinfachung der Daten verwendet wurden, da er einfach behaupten könnte, er habe andere Regeln angewandt, um mehr Informationen zu verbergen. Um dies zu verhindern, erfordert das System, dass der Computer des Nutzers einen Fingerabdruck der verwendeten Regeln sendet, und der zentrale Server prüft diesen gegen die offiziellen Regeln. Wenn die beiden Fingerabdrücke nicht überebereinstimmen, weiß das System, dass etwas nicht stimmt, und lehnt die Aktion ab. Dies schafft ein Gleichgewicht, bei dem der Nutzer vertraut wird, die Daten zu melden, die er hält, während der Server vertraut wird, die angewandten Regeln zu verifizieren.

Die Forscher testeten dieses System mit realen Szenarien, einschließlich des Versendens von E-Mils und des Zugriffs auf medizinische Unterlagen. Sie fanden heraus, dass ihre Methode erfolgreich verhinderte, dass sensible Identifikatoren jemals ihre Umgebung verließen, während sie dem Policy-Engine dennoch erlaubte, genaue Entscheidungen zu treffen. In einem spezifischen Test untersuchten sie einen Ressourcenpfad, der eine Patientenaktennummer enthielt. Ihr erster Versuch, diesen Pfad zu vereinfachen, schlug fehl, da die Nummer im Text sichtbar blieb. Sie behoben dies, indem sie die Regel änderten, sodass der gesamte letzte Teil des Pfades entfernt wurde, anstatt nur zu versuchen, den Text zu bereinigen, wodurch sichergestellt wurde, dass keine identifizierenden Informationen durchsickerten. Ihre Analyse zeigte, dass bei den untersuchten Aktionen fast die Hälfte der Datenfelder ihre Umgebung nie in ihrer Rohform überquerte und die verbleibenden Felder zu nicht-identifizierenden Zusammenfassungen reduziert wurden.

Das Team räumt ein, dass ihr System kein perfekter Schutzschild gegen jede mögliche Bedrohung ist. Wenn der Computer des Nutzers selbst gehackt wird, könnte der Angreifer dennoch beliebige Daten senden. Das System ist darauf ausgelegt, die Daten zu schützen, während sie sich vom Nutzer zur Organisation bewegen, und nicht darauf, den Computer des Nutzers vor einer Kompromittierung zu schützen. Darüber hinaus merken die Forscher an, dass ihre aktuellen Regeln statisch sind; sie können sich nicht einfach ändern, bassierend auf komplexen Situationen, wie etwa der Entscheidung, dass ein Feld nur dann sensibel ist, wenn der Empfänger in einem anderen Land ist. Trotz dieser Einschränkungen bietet der Ansatz einen praktischen und strukturellen Weg, um das Spannungsfeld zwischen Privatsphäre und Rechenschaftspflicht zu handhaben. Er beweist, dass man nicht zwischen einem strengen, unveränderlichen Audit-Trail und einer flexiblen, die Privatsphäre respektierenden Policy wählen muss. Durch die Berechnung der Bindung an die Daten vor der Vereinfachung und durch die sorgfältige Zuweisung dessen, wer was verifiziert, ermöglicht das System Organisationen, ihre Agenten effektiv zu steuern, ohne die privaten Leben ihrer Kunden dem permanenten Protokoll auszusetzen.