🤖 AI

Verifiable Agentic Infrastructure: Proof-Derived Authorization for Sovereign AI Systems

Cet article présente le Cadre de Confiance Distribué (DTF), une architecture de vérification qui sécurise les systèmes d'IA souverains en remplaçant l'autorisation statique fondée sur l'identité par un modèle dynamique et consensuel où le pouvoir d'exécution est strictement dérivé de Preuves de Justification cryptographiquement vérifiables et d'une Chaîne de Preuves immuable.

Auteurs originaux : Jun He, Deying Yu

Publié 2026-05-18

📖 6 min de lecture🧠 Analyse approfondie

CC BY 4.0

Auteurs originaux : Jun He, Deying Yu

Article original sous licence CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Ceci est une explication générée par l'IA de l'article ci-dessous. Elle n'a pas été rédigée ni approuvée par les auteurs. Pour une précision technique, consultez l'article original. Lire la clause de non-responsabilité complète

Imaginez que vous gérez une banque massive et hautement sécurisée. Autrefois, vous remettiez à vos gardes de sécurité (les agents IA) un passe-partout ouvrant toutes les portes. Vous leur faisiez confiance car ils possédaient la bonne carte d'identité. Mais voici le problème : ces gardes sont désormais des IA. Ils sont rapides, intelligents, mais parfois ils se trompent, hallucinent ou sont trompés. Ils pourraient tenter d'ouvrir la porte du coffre-fort même lorsqu'ils n'en ont pas besoin, ou essayer de déplacer de l'argent qu'ils ne devraient pas toucher, tout en détenant une carte d'identité parfaitement valide.

L'ancien système disait : « Si vous avez la carte, vous pouvez passer. » Le nouveau système, décrit dans cet article, dit : « Avoir la carte ne suffit pas. Vous avez besoin d'un formulaire d'autorisation spécifique et signé pour exactement ce seul travail, approuvé par un panel de juges, avant de pouvoir bouger d'un pouce. »

Cet article présente un système appelé DTF (Distributed Trust Framework) pour résoudre ce problème. Voici comment il fonctionne, décomposé en parties simples :

1. Le Problème : Le Piège de la « Privilège Permanent »

Actuellement, si un agent IA souhaite supprimer un serveur ou modifier un paramètre financier, il utilise simplement ses identifiants de connexion permanents. Si ces identifiants sont valides, le système dit « Oui ».

Le Risque : Une IA pourrait faire une erreur (par exemple, penser qu'un serveur est vide alors qu'il exécute en réalité le site web de l'entreprise) et le supprimer. Le système laisse faire car l'IA possédait la « bonne » identité.

2. La Solution : Le Système de « Formulaire d'Autorisation »

Au lieu de permettre à l'IA d'agir sur la base de son identité permanente, le système DTF impose un nouveau processus. Pensez-y comme à un chantier de construction à haut risque :

Étape 1 : L'Intention (Le Plan)
L'agent IA ne se contente pas de « faire » l'action. Il soumet d'abord une proposition : « Je veux éteindre le Serveur X. »
Étape 2 : La Preuve de Justification (Le Rapport de Sécurité)
Avant que quiconque n'approuve cela, le système génère automatiquement une Preuve de Justification. Ce n'est pas un journal de discussion de ce que l'IA pensait. C'est un document structuré et lisible par machine qui indique :
- Quoi faisons-nous ? (Éteindre le Serveur X)
- Pourquoi est-ce sûr ? (Le Serveur X n'a aucun trafic, il appartient à l'Équipe B, et il ne fait pas partie d'une dépendance critique).
- Quelles sont les limites ? (Uniquement ce serveur, uniquement pendant 5 minutes).
Étape 3 : Le Consensus (Le Panel de Juges)
Cette preuve n'est pas approuvée par une seule personne ou un seul ordinateur. Elle est envoyée à un Essaim d'Évaluateurs. Imaginez un panel d'experts différents :
- L'un vérifie les règles (Politique).
- L'un vérifie si le serveur est réellement vide (État).
- L'un vérifie si c'est trop risqué (Risque).
- L'un pourrait être un humain pour les grandes décisions.
  Ils examinent tous la même preuve. S'ils sont tous d'accord (ou atteignent un consensus spécifique), l'action est approuvée. Si l'un dit « Attendez, ce serveur est en fait critique », tout s'arrête.
Étape 4 : L'Identité d'Exécution (Le Pass Temporaire)
Une fois que le panel approuve la preuve, le système crée un pass temporaire à usage unique. Ce pass est strictement limité. Il indique : « Vous pouvez éteindre uniquement le Serveur X, et uniquement pour les 5 prochaines minutes. » Il ne peut rien toucher d'autre.
Étape 5 : La Chaîne de Preuves (La Boîte Noire)
Chaque étape unique — la proposition, la preuve, les votes des juges, le pass temporaire et le résultat final — est enregistrée dans un registre permanent et immuable. Si quelque chose tourne mal plus tard, les auditeurs peuvent rejouer toute l'histoire pour voir exactement pourquoi la décision a été prise.

3. Pourquoi Cela Compte

L'article affirme que ce système change les règles de la confiance :

Ancienne Méthode : Faire confiance à l'Agent (la personne avec la carte).
Nouvelle Méthode : Faire confiance au Processus (la preuve, les juges et le registre).

Même si l'agent IA est confus ou piraté, il ne peut pas causer de dégâts car il ne peut pas obtenir le « Formulaire d'Autorisation » sans l'approbation du panel. Et même s'il obtient le formulaire, il ne peut faire que la seule chose spécifique qui y est indiquée.

4. Les Résultats (Ce que l'Article a Découvert)

Les auteurs ont testé ce système dans un environnement cloud simulé avec 10 000 actions.

Sécurité : Il a bloqué 100 % des actions « non sûres » (comme tenter de supprimer un serveur qui était en réalité en cours d'utilisation). Les anciens systèmes laissaient passer environ 14 % de ces erreurs dangereuses.
Confinement : Il a réduit le « rayon d'explosion ». Au lieu qu'une IA ait accès à 450 serveurs, elle n'a obtenu l'accès qu'au seul serveur qu'elle était autorisée à toucher.
Vitesse : L'ensemble du processus (vérification de la preuve, obtention des votes des juges et émission du pass) a pris environ 58 millisecondes en moyenne. C'est assez rapide pour ne pas ralentir l'activité.
Auditabilité : Ils ont pu rejouer parfaitement 99,9 % des décisions simplement en examinant les registres, alors que les anciens systèmes laissaient d'énormes lacunes dans l'histoire.

Métaphore de Résumé

Imaginez un coffre-fort de banque.

Ancien Système : Le garde possède un passe-partout. S'il dit « Je dois ouvrir le coffre », il l'ouvre. S'il passe une mauvaise journée ou se fait piéger, le coffre s'ouvre.
Système DTF : Le garde doit remplir un formulaire. Une équipe de trois gestionnaires différents examine le formulaire pour s'assurer que le coffre doit être ouvert et que c'est sûr. S'ils sont d'accord, une machine imprime une clé à usage unique, découpée au laser, qui ne s'adapte qu'à cette porte de coffre spécifique pendant 5 minutes. Le garde utilise cette clé, et une caméra enregistre chaque seconde du processus. Si le garde tente d'utiliser cette clé sur une autre porte, la serrure ne tourne tout simplement pas.

L'article soutient que pour les agents IA gérant nos systèmes critiques (comme les banques, les réseaux électriques ou les serveurs cloud), nous devons cesser de faire confiance au « garde » et commencer à faire confiance au « processus ».

Résumé Technique : Infrastructure Agente Vérifiable – Autorisation Dérivée de Preuves pour les Systèmes d'IA Souverains

1. Énoncé du Problème

Les systèmes cloud et d'entreprise modernes reposent sur des modèles d'autorisation centrés sur l'identité, en supposant que les appelants disposant d'identifiants valides sont sûrs pour exécuter des commandes. Cette hypothèse échoue dans le contexte des agents d'IA autonomes, qui peuvent générer des actions syntaxiquement valides mais sémantiquement dangereuses. Accorder aux agents des permissions larges et permanentes crée des risques opérationnels significatifs, en particulier dans les systèmes d'IA souverains où les agents interagissent avec des infrastructures critiques, des données réglementées et des flux de travail financiers.

Bien que les substrats « gouvernés par l'intention » (tels qu'OpenKedge) atténuent ce problème en s'interposant sur les actions des agents — exigeant que les agents soumettent des propositions pour évaluation plutôt que de modifier l'état directement —, ils laissent une lacune critique : la décision d'autorisation elle-même est souvent inauditable et représente un point unique de défaillance. Le problème central abordé est de savoir comment rendre la décision d'autoriser une intention vérifiable, distribuée et rejouable. Plus précisément, l'article demande : Quel est l'objet stable que les évaluateurs approuvent ? Comment l'autorité temporaire est-elle dérivée d'un enregistrement d'approbation plutôt que du rôle permanent d'un appelant ? Et qu'est-ce qui doit être persisté pour reconstruire pourquoi l'autorité d'exécution existait ?

2. Méthodologie : Le Cadre de Confiance Distribuée (DTF)

Les auteurs proposent le Cadre de Confiance Distribuée (DTF), une couche de vérification conçue pour les substrats de mutation gouvernés. Le DTF déplace le locus de la confiance du principal (l'agent) vers le cycle de vie de la décision. Il impose une invariance d'autorisation compacte : aucune exécution à haut risque sans objet de preuve, aucune autorité dérivée sans consensus, et aucune mutation valide détachée de la preuve.

Le cadre fonctionne à travers quatre constructions principales :

2.1 Preuves de Justification (JP)

Au lieu d'explications en langage naturel ou de journaux d'audit a posteriori, le DTF utilise des artefacts structurés et inspectables par machine appelés Preuves de Justification. Une JP encode la base de recevabilité d'une action avant que l'autorité ne soit émise. Elle contient :

Spécification de Mutation ( $M_t$ ) : L'action proposée.
État Borné et Contexte ( $S_t$ ) : L'instantané du contexte pertinent pour l'autorisation au moment de la décision.
Base de Politique ( $\Pi_t$ ) : Les politiques et contraintes spécifiques appliquées.
Évaluation des Risques ( $R_t$ ) : Classification du risque et force d'approbation requise.
Limite d'Exécution ( $B_t$ ) : L'étendue maximale admissible (action, ressource, temps et obligations) en cas d'approbation.

2.2 Validation par Consensus

Le DTF distribue la confiance sur l'autorisation en exigeant que des évaluateurs indépendants attestent du même objet de Preuve.

Essaim d'Évaluateurs : Un ensemble hétérogène d'évaluateurs (par exemple, politique, état, risque, simulation et supervisés par l'humain) traite la même JP.
Attestations : Chaque évaluateur émet une attestation signée ( $a_i$ ) indiquant approbation, rejet ou abstention, accompagnée d'objections structurées.
Règle de Consensus ( $q$ ) : Une règle de gouvernance calcule la décision finale basée sur les seuils de quorum, la diversité des évaluateurs et les droits de veto. L'autorité n'est accordée que si le consensus approuve explicitement la preuve.

2.3 Identité d'Exécution (EI)

Après approbation par consensus, le système dérive une Identité d'Exécution.

Autorité Éphémère : Contrairement aux rôles permanents, une EI est un jeton temporaire et non transférable.
Dérivation de l'Étendue : L'étendue de l'EI est strictement bornée par la limite dérivée de la preuve ( $B_t$ ). Le système impose que l'étendue effective de l'identité ne puisse dépasser la limite de la preuve.
Implémentation : Dans les environnements cloud, les EI sont implémentées comme des identifiants à courte durée de vie (par exemple, sessions AWS STS) avec des politiques de session restrictives.

2.4 Chaînes de Preuves (EC)

Pour assurer la rejouabilité, le DTF maintient une Chaîne de Preuves en ajout-only pour chaque tentative de mutation.

Exhaustivité : La chaîne enregistre l'ensemble du cycle de vie : Intention, Contexte, Politique, Preuve de Justification, Attestations, Métadonnées de Gouvernance, Décision, Identité d'Exécution, Tentative de Mutation et Résultat.
Rejouabilité : Cette structure permet aux auditeurs de reconstruire la base d'autorisation sans avoir besoin de résimuler le raisonnement interne de l'agent.

3. Invariants Système

L'article définit quatre invariants de cycle de vie fondamentaux imposés par le DTF :

Exécution Bornée par la Preuve : Aucune mutation à haut risque n'est exécutée sans une Preuve de Justification valide correspondante.
Autorité Verrouillée par le Consensus : Aucune Identité d'Exécution n'est émise sauf si la règle de consensus approuve explicitement la preuve.
Non-escalade : L'étendue d'autorité effective d'une Identité d'Exécution doit être contenue dans la limite dérivée de la preuve.
Exhaustivité des Preuves : Chaque proposition d'intention, quel que soit le résultat, correspond à exactement une Chaîne de Preuves structurellement complète.

4. Implémentation et Évaluation

Les auteurs ont instancié le DTF sur un substrat de mutation gouverné basé sur OpenKedge et l'ont déployé comme une suite de microservices (environ 4 500 lignes de Go) sur AWS.

Architecture : Le système comprend une Passerelle d'Intention, un Moteur de Justification, un Essaim d'Évaluation (utilisant des fonctions AWS Lambda sans état), un Courtier d'Exécution et un Magasin de Preuves (utilisant Amazon QLDB).
Charge de Travail : L'évaluation a testé 10 000 mutations d'agents synthétiques à travers trois scénarios : terminaison destructive de ressources, mutation de configuration de production et exécution d'urgence de type « briser le verre ».
Référentiels : Le système a été comparé à (B1) des identifiants IAM permanents avec des journaux d'audit standard et (B2) une pré-vérification basée uniquement sur la politique.

Résultats Clés

Sécurité : Le DTF a atteint un taux de blocage ou d'escalade de 100 % pour les 2 400 variantes dangereuses (incluant un état obsolète, des dépendances manquantes et du ciblage de ressources protégées). En revanche, le référentiel uniquement politique (B2) a permis à 14 % des mutations dangereuses de passer.
Contenement de l'Autorité : Le DTF a réduit l'étendue d'exécution effective moyenne de 450 ressources (identifiants permanents) à exactement 1 ressource approuvée par demande, représentant une réduction de 99,7 % de l'exposition à l'autorité.
Auditabilité : La Chaîne de Preuves a atteint 100 % d'exhaustivité. Les auditeurs ont pu reconstruire le cycle de vie d'autorisation pour 99,9 % des événements sans corrélation manuelle des journaux, contre 23,0 % pour les journaux d'audit standard.
Latence : La latence de décision de bout en bout a été en moyenne de 58,3 ms (médiane 52,6 ms), avec un 99e centile de 171,3 ms. Les auteurs notent que cette surcharge est acceptable pour les opérations à haut risque dominées par la latence du substrat et les temps de révision humaine.

5. Signification et Revendications

L'article revendique que le DTF fournit une infrastructure fondamentale pour rendre l'exécution agente gouvernable, auditable et bornée dans les déploiements d'IA souverains.

Changement de Confiance : La contribution principale est le déplacement de l'objet de l'autorisation d'un principal durable vers un cycle de vie de décision enregistré. Le système n'a pas besoin de faire confiance au raisonnement interne de l'agent ; il exige uniquement que l'autorité d'exécution soit dérivée d'une preuve explicite, d'une approbation indépendante et d'une émission bornée.
Vérifiabilité : En structurant l'autorisation comme un cycle de vie rejouable d'artefacts (Preuve, Consensus, Identité, Preuve), le DTF comble le « fossé de décision inauditable » inhérent aux moteurs de politique traditionnels.
Portée Modeste : Les auteurs déclarent explicitement que le DTF ne synthétise pas de politique correcte, ne garantit pas des décisions globalement optimales, ni ne résout l'injection de prompt au sein de l'agent lui-même. Sa valeur est architecturale : il garantit qu'une autorité à haut risque ne peut être légitimement matérialisée sans preuve enregistrée, approbation enregistrée, émission bornée et preuve durable. Les résultats sont validés dans des scénarios contrôlés, sous contrôle architectural, avec des classes de mutations connues, et non comme des benchmarks internet à échelle illimitée.

L'article conclut qu'en imposant l'invariance « aucune exécution à haut risque sans preuve, aucune autorité sans consensus, et aucune mutation valide détachée de la preuve », le DTF transforme l'autorisation d'une aspiration d'audit en un cycle de vie exécutable et vérifiable.