Verifiable Delegated Authority for LLM Agents in Banking: A Formal Architecture, Capability Protocol, and Audit Guarantees
Dieses Paper schlägt eine formale Architektur für sichere LLM-Agenten im Bankwesen vor, die die Autorisierung durch abgeschwächte Capability-Token und deterministische Policy-Engines vom Modell entkoppelt und somit nachweisbare Garantien für die Begrenzung der Befugnisse, den maximalen finanziellen Verlust und die Audit-Integrität gegenüber adversen Akteuren bietet.
Originalarbeit lizenziert unter CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/). Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen
In der hochriskanten Welt des Bankwesens wurde Vertrauen traditionell auf starren Regeln und berechenbaren Akteuren aufgebaut. Jahrzehntelang haben Banken ihre digitalen Türen gesichert, indem sie sicherstellten, dass jede Aktion von einem bekannten Menschen oder einem zuverlässigen, vorprogrammierten Computerdienst ausging. Diese Systeme arbeiten nach einer einfachen Prämisse: Wenn eine Anfrage von der richtigen Person unterzeichnet ist und die richtigen Schritte befolgt, ist sie sicher auszuführen. Doch nun ist eine neue Art von Mitarbeiter auf den Plan getreten: der KI-Agent. Im Gegensatz zu einem Menschen oder einem Standard-Computerprogramm werden diese Agenten von großen Sprachmodellen angetrieben, die in der Lage sind, komplexe, unstrukturierte Informationen wie E-Mails oder Berichte zu durchdenken. Sie können selbst entscheiden, welche Schritte als Nächstes zu unternehmen sind. Diese Flexibilität macht sie unglaublich nützlich für die Bewältigung unordentlicher Back-Office-Aufgaben, führt aber auch eine tiefgreifende Unsicherheit ein. Da diese Agenten nicht immer bei gleichen Informationen dieselbe Entscheidung treffen, halten die alten Sicherheitsmodelle, die von einem berechenbaren Akteur ausgehen, nicht mehr stand. Wenn einem KI-Agenten die Schlüssel zur Geldbewegung gegeben werden, wie kann eine Bank sicher sein, dass er nicht versehentlich oder böswillig Gelder überträgt, die er nicht übertragen dürfte?
Neeraj Aggarwal, ein Forscher bei Infosys, adressiert genau dieses Problem mit einem neuen Framework, das speziell für das Bankwesen entwickelt wurde. Der Kern der Idee besteht darin, aufzuhören zu versuchen, die KI selbst perfekt sicher zu machen, und stattdessen einen sicheren Käfig um sie herum zu bauen. In dieser neuen Architektur wird die KI nicht als vertrauenswürdiger Entscheidungsträger, sondern als vertrauenswürdiger Vorschlagender (untrusted proposer) behandelt. Es ist ihr erlaubt, Aktionen vorzuschlagen, aber es ist ihr niemals erlaubt, diese direkt auszuführen. Stattdessen muss jeder Vorschlag eine separate, deterministische Policy-Engine passieren, die als strenger Gatekeeper fungiert. Diese Engine prüft den Vorschlag gegen einen Satz von Regeln und ein spezifisches „Capability Token“, das genau begrenzt, was der Agent tun darf, wie viel Geld er bewegen darf und wie lange er dies tun darf. Das System ist so konzipiert, dass der Agent selbst dann nicht aus seinen zugewiesenen Grenzen ausbrechen kann, wenn er durch einen bösartigen Prompt getäuscht oder durch schlechte Daten verwirrt wird. Die Forscher beweisen mathematisch, dass der Agent unter diesem Design niemals seine eigenen Privilegien so weit erhöhen kann, dass er etwas tut, wozu er nicht autorisiert war, und sie berechnen eine präzise Obergrenze für den potenziellen Geldverlust, falls das System ohne menschliches Eingreifen angegriffen wird.
Um sicherzustellen, dass alles korrekt abgelaufen ist, haben die Forscher zudem ein System verifizierbarer Beweise aufgebaut. Jeder einzelne Schritt, den der Agent unternimmt – vom ersten Gedanken bis zur endgültigen Ausführung –, wird in einem sicheren, unveränderlichen Protokoll aufgezeichnet, das signiert und wie eine Kette miteinander verknüpft ist. Dies ermöglicht es einem Auditor oder sogar einem anderen Computer, Monate später in die Aufzeichnungen zu schauen und zu verifizieren, dass der Agent innerhalb seiner Regeln geblieben ist, ohne den internen Denkprozess der KI sehen oder die KI selbst erneut ausführen zu müssen. Das System führt zudem eine Methode ein, bei der mehrere KI-Agenten die Arbeit der jeweils anderen überprüfen. Die Forscher fanden heraus, dass das bloße Hinzufügen von mehr Prüfern keine Sicherheit garantiert; entscheidend ist stattdessen, dass die Prüfer divers sind, was bedeutet, dass sie auf unterschiedlichen Modellen basieren oder unterschiedlich trainiert wurden. Wenn alle Prüfer dieselbe Schwachstelle teilen, werden sie auch denselben Fehler machen. Durch die Quantifizierung dieses Risikos kann das System entscheiden, wann eine Zweitmeinung tatsächlich den Aufwand wert ist und wann es notwendig ist, innezuhalten und einen Menschen um Hilfe zu bitten.
Das Team testete diese Ideen, indem es einen funktionierenden Prototyp baute und diesen tausenden simulierten Angriffen unterzog. In diesen Tests versuchte ein adversarieller Computer – der als Stellvertreter für einen bösartigen Agenten fungierte, ohne dass ein echtes Sprachmodell involviert war –, das System zu betrügen, um unbefugte Aktionen durchzuführen, wie etwa das Fälschen von Token, das Wiederholen alter Befehle oder das Manipulieren der Protokolle. Über 700.000 Versuche hinweg blockierte das System erfolgreich jede unbefugte Ausführung. Die Simulationen, die auf synthetischen Daten basierten und HMAC-SHA256 verwendeten, um für echte digitale Signaturen zu stehen, bestätigten, dass die mathematischen Grenzen für den finanziellen Verlust korrekt waren; als die Angreifer versuchten, das System an seine absoluten Grenzen zu treiben, entsprachen die Verluste exakt dem vorhergesagten Maximum, was bewies, dass das Sicherheitsnetz engmaschig war. Die Tests deckten auch zwei spezifische Schwachstellen im ursprünglichen Design auf: eine bezog sich darauf, wie lange Token gültig blieben, und eine weitere auf die Fähigkeit, Protokolle auf einen früheren Zustand zurückzusetzen. Das finale Design schloss diese Lücken und stellte sicher, dass ein Token selbst dann, wenn ein Angreifer es stehlen sollte, nur einmalig und nur innerhalb eines sehr kurzen Zeitfensters verwendet werden konnte.
Dieser Ansatz stellt eine Verschiebung in der Art und Weise dar, wie wir die Sicherung intelligenter Systeme in kritischen Infrastrukturen denken. Anstatt darauf zu hoffen, dass die KI immer wohlwollend handelt, geht das System davon aus, dass sie es vielleicht nicht tut, und baut eine Ebene der Durchsetzung auf, die vom Denken der KI getrennt ist. Das Ergebnis ist ein Workflow, in dem die KI ihre Aufgabe erfüllen kann, komplexe Informationen zu sortieren und Lösungen vorzuschlagen, während die Bank die absolute Kontrolle über die endgültige Aktion behält. Die Forscher haben demonstriert, dass es möglich ist, leistungsstarke, automatisierte Agenten in einer Bankenumgebung einzusetzen, ohne ein nicht auditierbares Risiko zu schaffen. Indem sie die KI als Vorschlagenden und die Ausführungsebene als Vollstrecker behandeln und durch eine manipulationssichere Aufzeichnung jeder Entscheidung, können Banken diese Werkzeuge mit einem Maß an Sicherheit und Rechenschaftspflicht nutzen, das zuvor unmöglich war. Die Arbeit bleibt ein formales Modell und eine Simulation, bietet aber einen klaren, bewiesenen Pfad, um KI-Agenten von experimentellen Werkzeugen in den Kern regulierter Finanzoperationen zu überführen.
Ertrinken Sie in Arbeiten in Ihrem Fachgebiet?
Erhalten Sie tägliche Digests der neuesten Arbeiten passend zu Ihren Forschungsbegriffen — mit technischen Zusammenfassungen, in Ihrer Sprache.