🤖 AI

Verifiable Agentic Infrastructure: Proof-Derived Authorization for Sovereign AI Systems

Este artículo presenta el Marco de Confianza Distribuida (DTF), una arquitectura de verificación que protege los sistemas de IA soberanos al sustituir la autorización basada en identidades estáticas por un modelo dinámico impulsado por consenso, donde la autoridad de ejecución se deriva estrictamente de Pruebas de Justificación criptográficamente verificables y una Cadena de Evidencia inmutable.

Autores originales: Jun He, Deying Yu

Publicado 2026-05-18

📖 6 min de lectura🧠 Análisis profundo

CC BY 4.0

Autores originales: Jun He, Deying Yu

Artículo original bajo licencia CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Esta es una explicación generada por IA del artículo a continuación. No ha sido escrita ni avalada por los autores. Para mayor precisión técnica, consulte el artículo original. Leer descargo de responsabilidad completo

Imagina que estás dirigiendo un banco masivo de alta seguridad. En los viejos tiempos, entregabas a tus guardias de seguridad (los agentes de IA) una llave maestra que abría todas las puertas. Les confiabas porque tenían el pase de identificación correcto. Pero aquí está el problema: estos guardias ahora son IA. Son rápidos e inteligentes, pero a veces se confunden, alucinan o son engañados. Podrían intentar abrir la puerta de la bóveda incluso cuando no es necesario, o podrían intentar mover dinero que no deben tocar, todo mientras sostienen un pase de identificación perfectamente válido.

El viejo sistema decía: "Si tienes el pase, puedes pasar". El nuevo sistema, descrito en este documento, dice: "Tener el pase no es suficiente. Necesitas un permiso firmado y específico para exactamente este único trabajo, aprobado por un panel de jueces, antes de poder mover un solo centímetro".

Este documento introduce un sistema llamado DTF (Marco de Confianza Distribuida) para solucionar esto. Así es como funciona, desglosado en partes simples:

1. El Problema: La Trampa del "Privilegio Permanente"

Actualmente, si un agente de IA quiere eliminar un servidor o cambiar una configuración financiera, simplemente utiliza sus credenciales de inicio de sesión permanentes. Si esas credenciales son válidas, el sistema dice "Sí".

El Riesgo: Una IA podría cometer un error (como pensar que un servidor está vacío cuando en realidad está ejecutando el sitio web de la empresa) y eliminarlo. El sistema lo permite porque la IA tenía el ID "correcto".

2. La Solución: El Sistema de "Permiso Firmado"

En lugar de permitir que la IA actúe basándose en su ID permanente, el sistema DTF fuerza un nuevo proceso. Piénsalo como un proyecto de construcción de alto riesgo:

Paso 1: La Intención (El Plano)
El agente de IA no simplemente "realiza" la acción. Primero presenta una propuesta: "Quiero apagar el Servidor X".
Paso 2: La Prueba de Justificación (El Informe de Seguridad)
Antes de que alguien apruebe esto, el sistema genera automáticamente una Prueba de Justificación. Esto no es un registro de chat de lo que la IA estaba pensando. Es un documento estructurado y legible por máquinas que dice:
- ¿Qué estamos haciendo? (Apagar el Servidor X)
- ¿Por qué es seguro? (El Servidor X no tiene tráfico, pertenece al Equipo B y no es parte de una dependencia crítica).
- *¿Cuáles son los límites? (Solo este servidor, solo durante 5 minutos).
Paso 3: El Consenso (El Panel de Jueces)
Esta prueba no es aprobada por una persona o una sola computadora. Se envía a una Enjambre de Evaluadores. Imagina un panel de diferentes expertos:
- Uno verifica las reglas (Política).
- Uno verifica si el servidor está realmente vacío (Estado).
- Uno verifica si es demasiado riesgoso (Riesgo).
- Uno podría ser un humano para decisiones importantes.
  Todos miran la misma prueba. Si todos están de acuerdo (o alcanzan un consenso específico), la acción es aprobada. Si uno dice "Espera, ese servidor es realmente crítico", todo se detiene.
Paso 4: La Identidad de Ejecución (El Pase Temporal)
Una vez que el panel aprueba la prueba, el sistema crea un pase temporal de un solo uso. Este pase está estrictamente limitado. Dice: "Puedes apagar solo el Servidor X, y solo durante los próximos 5 minutos". No puede tocar nada más.
Paso 5: La Cadena de Evidencia (La Caja Negra)
Cada paso individual: la propuesta, la prueba, los votos de los jueces, el pase temporal y el resultado final, se registra en un libro de contabilidad inmutable y permanente. Si algo sale mal más tarde, los auditores pueden reproducir toda la historia para ver exactamente por qué se tomó la decisión.

3. Por Qué Esto Importa

El documento afirma que este sistema cambia las reglas de la confianza:

Viejo Método: Confiar en el Agente (la persona con el pase).
Nuevo Método: Confiar en el Proceso (la prueba, los jueces y el registro).

Incluso si el agente de IA está confundido o hackeado, no puede causar daño porque no puede obtener el "Permiso Firmado" sin la aprobación del panel. Y aunque obtenga el permiso, solo puede hacer la única cosa específica que se lista en él.

4. Los Resultados (Lo Que Encontró el Documento)

Los autores probaron este sistema en un entorno de nube simulado con 10.000 acciones.

Seguridad: Detuvo el 100% de las acciones "inseguras" (como intentar eliminar un servidor que estaba realmente en uso). Los sistemas antiguos permitían que aproximadamente el 14% de estos errores peligrosos pasaran.
Contención: Redujo el "radio de explosión". En lugar de que una IA tuviera acceso a 450 servidores, solo obtuvo acceso al único servidor al que se le aprobó tocar.
Velocidad: Todo el proceso (verificar la prueba, obtener los votos de los jueces y emitir el pase) tomó aproximadamente 58 milisegundos en promedio. Eso es lo suficientemente rápido como para no ralentizar los negocios.
Auditabilidad: Podían reproducir el 99,9% de las decisiones perfectamente solo mirando los registros, mientras que los sistemas antiguos dejaban grandes vacíos en la historia.

Metáfora de Resumen

Imagina una bóveda bancaria.

Sistema Viejo: El guardia tiene una llave maestra. Si dice "Necesito abrir la bóveda", la abre. Si está teniendo un mal día o es engañado, la bóveda se abre.
Sistema DTF: El guardia debe llenar un formulario. Un equipo de tres gerentes diferentes revisa el formulario para asegurarse de que la bóveda necesita ser abierta y que es seguro. Si están de acuerdo, una máquina imprime una llave de un solo uso, cortada con láser que solo encaja en esa puerta de bóveda específica durante 5 minutos. El guardia usa esa llave, y una cámara registra cada segundo del proceso. Si el guardia intenta usar esa llave en una puerta diferente, la cerradura simplemente no girará.

El documento argumenta que para los agentes de IA que ejecutan nuestros sistemas críticos (como bancos, redes eléctricas o servidores en la nube), necesitamos dejar de confiar en el "guardia" y empezar a confiar en el "proceso".

Resumen Técnico: Infraestructura Agente Verificable – Autorización Derivada de Pruebas para Sistemas de IA Soberana

1. Declaración del Problema

Los sistemas modernos en la nube y empresariales dependen de modelos de autorización centrados en la identidad, asumiendo que los llamadores con credenciales válidas son seguros para ejecutar comandos. Esta suposición falla en el contexto de agentes de IA autónomos, que pueden generar acciones que son sintácticamente válidas pero semánticamente inseguras. Otorgar a los agentes permisos amplios y permanentes crea riesgos operativos significativos, particularmente en sistemas de IA soberana donde los agentes interactúan con infraestructura crítica, datos regulados y flujos de trabajo financieros.

Aunque los sustratos "gobernados por la intención" (como OpenKedge) mitigan esto al interponerse en las acciones de los agentes —exigiendo que los agentes presenten propuestas para evaluación en lugar de mutar el estado directamente—, dejan una brecha crítica: la decisión de autorización en sí misma a menudo es inauditable y representa un punto único de falla. El problema central abordado es cómo hacer que la decisión de autorizar una intención sea verificable, distribuida y reproducible. Específicamente, el artículo pregunta: ¿Cuál es el objeto estable que los evaluadores aprueban? ¿Cómo se deriva la autoridad temporal de un registro de aprobación en lugar de un rol permanente del llamador? Y ¿qué debe persistir para reconstruir por qué existió la autoridad de ejecución?

2. Metodología: El Marco de Confianza Distribuida (DTF)

Los autores proponen el Marco de Confianza Distribuida (DTF), una capa de verificación diseñada para sustratos de mutación gobernada. DTF desplaza el locus de confianza desde el principal (el agente) hacia el ciclo de vida de la decisión. Hace cumplir una invariante de autorización compacta: ninguna ejecución de alto riesgo sin un objeto de prueba, ninguna autoridad derivada sin consenso y ninguna mutación válida desconectada de la evidencia.

El marco opera a través de cuatro constructos principales:

2.1 Pruebas de Justificación (JP)

En lugar de explicaciones en lenguaje natural o registros de auditoría a posteriori, DTF utiliza artefactos estructurados e inspeccionables por máquinas llamados Pruebas de Justificación. Una JP codifica la base de admisibilidad de una acción antes de que se emita la autoridad. Contiene:

Especificación de Mutación ( $M_t$ ): La acción propuesta.
Estado Acotado y Contexto ( $S_t$ ): La instantánea del contexto relevante para la autorización en el momento de la decisión.
Base de Política ( $\Pi_t$ ): Las políticas y restricciones específicas aplicadas.
Evaluación de Riesgo ( $R_t$ ): Clasificación del riesgo y la fuerza de aprobación requerida.
Límite de Ejecución ( $B_t$ ): El alcance máximo permitido (acción, recurso, tiempo y obligaciones) si se aprueba.

2.2 Validación por Consenso

DTF distribuye la confianza sobre la autorización requiriendo que evaluadores independientes atesten al mismo objeto de Prueba.

Enjambre de Evaluadores: Un conjunto heterogéneo de evaluadores (por ejemplo, política, estado, riesgo, simulación y supervisados por humanos) procesa la misma JP.
Atestaciones: Cada evaluador emite una atestación firmada ( $a_i$ ) indicando aprobación, rechazo o abstención, junto con objeciones estructuradas.
Regla de Consenso ( $q$ ): Una regla de gobernanza calcula la decisión final basándose en umbrales de quórum, diversidad de evaluadores y derechos de veto. La autoridad solo se otorga si el consenso aprueba explícitamente la prueba.

2.3 Identidad de Ejecución (EI)

Tras la aprobación por consenso, el sistema deriva una Identidad de Ejecución.

Autoridad Efímera: A diferencia de los roles permanentes, una EI es un token temporal y no transferible.
Derivación del Alcance: El alcance de la EI está estrictamente acotado por el límite derivado de la prueba ( $B_t$ ). El sistema hace cumplir que el alcance efectivo de la identidad no pueda exceder el límite de la prueba.
Implementación: En entornos cloud, las EI se implementan como credenciales de corta duración (por ejemplo, sesiones de AWS STS) con políticas de sesión restrictivas.

2.4 Cadenas de Evidencia (EC)

Para garantizar la reproducibilidad, DTF mantiene una Cadena de Evidencia de solo adición para cada intento de mutación.

Completitud: La cadena registra todo el ciclo de vida: Intención, Contexto, Política, Prueba de Justificación, Atestaciones, Metadatos de Gobernanza, Decisión, Identidad de Ejecución, Intento de Mutación y Resultado.
Reproducibilidad: Esta estructura permite a los auditores reconstruir la base de autorización sin necesidad de volver a simular el razonamiento interno del agente.

3. Invariantes del Sistema

El artículo define cuatro invariantes centrales del ciclo de vida aplicadas por DTF:

Ejecución Acotada por Prueba: Ninguna mutación de alto riesgo se ejecuta sin una Prueba de Justificación válida correspondiente.
Autoridad con Puerta de Consenso: Ninguna Identidad de Ejecución se emite a menos que la regla de consenso apruebe explícitamente la prueba.
No Escalación: El alcance de autoridad efectivo de una Identidad de Ejecución debe estar contenido dentro del límite derivado de la prueba.
Completitud de la Evidencia: Cada propuesta de intención, independientemente del resultado, se mapea a exactamente una Cadena de Evidencia estructuralmente completa.

4. Implementación y Evaluación

Los autores instanciaron DTF sobre un sustrato de mutación gobernada basado en OpenKedge y lo desplegaron como un conjunto de microservicios (aproximadamente 4.500 líneas de Go) en AWS.

Arquitectura: El sistema incluye una Puerta de Intención, Motor de Justificación, Enjambre de Evaluación (usando funciones AWS Lambda sin estado), Corredor de Ejecución y Almacén de Evidencia (usando Amazon QLDB).
Carga de Trabajo: La evaluación probó 10.000 mutaciones de agente sintéticas en tres escenarios: terminación destructiva de recursos, mutación de configuración de producción y ejecución de emergencia de ruptura de cristal (break-glass).
Líneas Base: El sistema se comparó contra (B1) credenciales IAM permanentes con registros de auditoría estándar y (B2) una verificación previa solo de políticas.

Resultados Clave

Seguridad: DTF logró una tasa de bloqueo o escalada del 100% para las 2.400 variantes inseguras (incluyendo estado obsoleto, dependencias faltantes y direccionamiento de recursos protegidos). En contraste, la línea base solo de políticas (B2) permitió que el 14% de las mutaciones inseguras pasaran.
Contención de Autoridad: DTF redujo el alcance medio de ejecución efectivo de 450 recursos (credenciales permanentes) a exactamente 1 recurso aprobado por solicitud, representando una reducción del 99,7% en la exposición de autoridad.
Auditable: La Cadena de Evidencia logró 100% de completitud. Los auditores pudieron reconstruir el ciclo de vida de autorización para el 99,9% de los eventos sin correlación manual de registros, en comparación con el 23,0% para los registros de auditoría estándar.
Latencia: La latencia de decisión de extremo a extremo promedió 58,3 ms (mediana 52,6 ms), con un percentil 99 de 171,3 ms. Los autores señalan que esta sobrecarga es aceptable para operaciones de alto riesgo dominadas por la latencia del sustrato y los tiempos de revisión humana.

5. Significado y Afirmaciones

El artículo afirma que DTF proporciona una infraestructura fundamental para hacer que la ejecución agente sea gobernable, auditable y acotada en implementaciones de IA soberana.

Cambio en la Confianza: La contribución principal es desplazar el objeto de la autorización desde un principal duradero hacia un ciclo de vida de decisión registrado. El sistema no necesita confiar en el razonamiento interno del agente; solo requiere que la autoridad de ejecución se derive de una prueba explícita, aprobación independiente y emisión acotada.
Verificabilidad: Al estructurar la autorización como un ciclo de vida reproducible de artefactos (Prueba, Consenso, Identidad, Evidencia), DTF aborda la "brecha de decisión inauditable" inherente a los motores de políticas tradicionales.
Alcance Moderado: Los autores declaran explícitamente que DTF no sintetiza políticas correctas, no garantiza decisiones globalmente óptimas ni resuelve la inyección de prompts dentro del propio agente. Su valor es arquitectónico: asegura que la autoridad de alto riesgo no pueda materializarse legítimamente sin prueba registrada, aprobación registrada, emisión acotada y evidencia duradera. Los resultados se validan dentro de escenarios controlados y controlados por arquitectura con clases de mutación conocidas, no como puntos de referencia de escala de internet sin restricciones.

El artículo concluye que al hacer cumplir la invariante "ninguna ejecución de alto riesgo sin prueba, ninguna autoridad sin consenso y ninguna mutación válida desconectada de la evidencia", DTF transforma la autorización de una aspiración de auditoría en un ciclo de vida ejecutable y verificable.