तकनीकी सारांश: प्रूफ-ऑफ-कंटिन्यूटी (Proof-of-Continuity): वितरित प्रणालियों और AI एजेंटों के लिए अधिकार प्रसार का एक टेम्पोरल मॉडल

1. समस्या विवरण (Problem Statement)

यह शोध पत्र वर्तमान प्राधिकरण मॉडलों (authorization models), विशेष रूप से प्रूफ-ऑफ-पज़ेशन (PoP) और क्षमता-आधारित (capability-based) प्रणालियों की एक मौलिक सीमा की पहचान करता है, जब उन्हें डिस्क्रीट (discrete), मल्टी-हॉप निष्पादन श्रृंखलाओं (जैसे, वितरित सेवाएँ, AI एजेंट टूल इनवोकेशन) पर लागू किया जाता है।

PoP मॉडलों में, अधिकार आर्टिफ़ैक्ट्स (टोकन, क्रेडेंशियल, क्षमताएं) के कब्जे से प्राप्त होते हैं। जबकि ये मॉडल इस बात को प्रभावी ढंग से नियंत्रित करते हैं कि कौन एक आर्टिफ़ैक्ट प्रस्तुत कर सकता है, वे यह गारंटी देने में विफल रहते हैं कि बाद के चरण में प्रयोग किया गया अधिकार, अनुरोध के मूल (origin) पर स्थापित अधिकार संदर्भ का एक कारण संबंधी निरंतरता (causal continuation) है।

यह अंतराल वितरित संदर्भों में कन्फ्यूज्ड डिप्टी (Confused Deputy) समस्या की ओर ले जाता है। एक डिप्टी (निष्पादक/executor) के पास कई अधिकार स्रोत (एम्बिएंट विशेल्स, डेलीगेटेड टोकन, बियरर क्रेडेंशियल) हो सकते हैं। यदि डिप्टी एक अनुरोध को प्रोसेस करता है और, अनुरोध के मापदंडों के आधार पर, एक ऐसे विशेल्स (privilege) का प्रयोग करता है जो उसके पास तो है लेकिन जो अनुरोध के मूल अधिकार संदर्भ का हिस्सा नहीं था, तो एक सुरक्षा उल्लंघन होता है। डिप्टी "कन्फ्यूज्ड" (भ्रमित) है क्योंकि वह एक ऐसे कार्य को निष्पादित करता है जो उस उपयोगकर्ता द्वारा कारणतः प्रेरित (causally triggered) था जिसके पास उस कार्य को करने का अधिकार नहीं था, फिर भी डिप्टी के पास स्वतंत्र रूप से आवश्यक विशेल्स मौजूद थे।

शोध पत्र तर्क देता है कि कब्जा-आधारित मॉडल वंश-अपरिवर्तनीय (lineage-invariant) हैं: वे घटना $(o, r)$ (संसाधन $r$ पर ऑपरेशन $o$) को केवल विशेल्स के कब्जे के आधार पर वैध मानते हैं, उस टेम्पोरल वंश (temporal lineage) $\ell$ को अनदेखा करते हैं जिसने घटना को उत्पन्न किया। फलस्वरूप, वे एक वैध निरंतरता और एक अनधिकृत निष्पादन के बीच अंतर नहीं कर सकते जो संयोगवश उसी विशेल्स को धारण किए हुए है।

2. कार्यप्रणाली और मॉडल परिभाषा (Methodology and Model Definition)

लेखक इस टेम्पोरल अंतराल को संबोधित करने के लिए प्रोवेनेंस आइडेंटिटी कंटीन्यूटी (PIC) मॉडल और प्रूफ-ऑफ-कंटिन्यूटी (PoC) अनुशासन पेश करते हैं।

मुख्य औपचारिकता (Core Formalism)

• निष्पादन श्रृंखला (Execution Chain): निष्पादन को चरणों की एक कारण श्रृंखला $\pi = \langle (s_0, C_0), (s_1, C_1), \dots, (s_n, C_n) \rangle$ के रूप में मॉडल किया गया है, जहाँ $s_i$ एक चरण है और $C_i$ वह अधिकार संदर्भ (अधिकारों $O \times R$ का एक उपसमुच्चय) है जो उस चरण पर साथ ले जाया जाता है।
• प्रूफ ऑफ रिलेशनशिप (PoR): एक सिंगल-हॉप कॉज़ल प्रिमिटिव (single-hop causal primitive)। $PoR(s_i, s_{i+1})$ यह दावा करता है कि चरण $s_{i+1}$, एक ही वंश के भीतर $s_i$ की एक वैध कारण संबंधी निरंतरता है।
• मोनोटोनिक अथॉरिटी रिस्ट्रिक्शन (Monotonic Authority Restriction): एक वैध ट्रांज़िशन के लिए आवश्यक है कि अगले चरण पर अधिकार संदर्भ वर्तमान चरण का एक उपसमुच्चय हो: $C_{i+1} \subseteq C_i$। अधिकार को केवल कम (attenuate) किया जा सकता है, कभी विस्तारित नहीं।
• प्रूफ ऑफ कंटीन्यूटी (PoC): इसे पूरी श्रृंखला में PoR और मोनोटोनिक रिस्ट्रिक्शन के ट्रांसिटिव कंपोजिशन के रूप में परिभाषित किया गया है। $PoC(\pi)$ तब सत्य होता है जब प्रत्येक आसन्न (adjacent) ट्रांज़िशन वैध हो।

सैद्धांतिक ढांचा (Theoretical Framework)

शोध पत्र एक प्रोजेक्शन तर्क का उपयोग करके पज़ेशन (Possession) और कंटिन्यूटी (Continuity) के बीच अंतर को औपचारिक रूप देता है:

• पज़ेशन-आधारित नीतियां (Possession-based policies): वंश-अपरिवर्तनीय फलन (functions) के रूप में परिभाषित हैं: $A(o, r, \ell) = \bar{A}(o, r)$। वे घटना स्थान $E = O \times R \times L$ को $O \times R$ पर प्रोजेक्ट करती हैं, जिससे वंश समन्वय (lineage coordinate) $L$ को हटा दिया जाता है।
• थ्योरम 3: वंश-अपरिवर्तनीय नीतियां घटनाओं को अलग नहीं कर सकतीं। समान विशेल्स वाले दो इवेंट्स, लेकिन अलग-अलग वंश (एक वैध निरंतरता और एक कन्फ्यूज्ड डिप्टी निष्पादन), एक ही प्राधिकरण निर्णय प्राप्त करते हैं।
• थ्योरम 5 (ट्रेड-ऑफ): एक प्रणाली एक साथ निम्नलिखित को संतुष्ट नहीं कर सकती:
  1. वंश-अपरिवर्तनीय प्राधिकरण।
  2. अधिकार-मिश्रण-सक्षम डेलीगेशन (ऐसे निष्पादक जिनके पास स्वतंत्र अधिकार स्रोत हैं)।
  3. कन्फ्यूज्ड-ड डिप्टी सुरक्षा।
     अधिकार मिश्रण की आवश्यकता वाली प्रणालियों में सुरक्षा सुनिश्चित करने के लिए, मॉडल को वंश-अपरिवर्तनीयता को त्यागना होगा, जिससे प्राधिकरण वंश-संवेदनशील (lineage-sensitive) बन जाएगा।

3. मुख्य योगदान (Key Contributions)

1. प्रूफ-ऑफ-कंटिन्यूटी (PoC): एक न्यूनतम अधिकार-प्रसार अनुशासन जहाँ अधिकार एक स्थिर संपत्ति के रूप में नहीं, बल्कि एक निष्पादन श्रृंखला के टेम्पोरल गुण के रूप में परिभाषित है। अधिकार केवल एक मूल संदर्भ के गैर-विस्तारित निरंतरता के रूप में अस्तित्व में रहता है।
2. कन्फ्यूज्ड डिप्टी को वंश बेमेल (Lineage Mismatch) के रूप में औपचारिक रूप देना: शोध पत्र कन्फ्यूज्ड डिप्टी को केवल पदनाम और अधिकार के अलगाव (कैपेबिलिटी का स्थानिक दृश्य) के रूप में नहीं, बल्कि समय को भूल जाने वाले प्रोजेक्शन के तहत दो अलग-अलग वंशों के टकराव के रूप में पुनर्गठित करता है।
3. असंभवता परिणाम (Impossibility Results):
   • थ्योरम 3: सिद्ध करता है कि वंश-अपरिवर्तनीय पज़ेशन, वैध निरंतरता और कन्फ्यूज्ड डिप्टी निष्पादन के बीच अंतर नहीं कर सकता।
   • थ्योरम 6: सिद्ध करता है कि PIC मॉडल के तहत, कन्फ्यूज्ड डिप्टी की स्थिति को वैध व्यवहार के रूप में संतुष्ट करना असंभव है। यदि कोई विशेल्स मूल संदर्भ $C_0$ में अनुपस्थित है, तो वह किसी भी वैध PoC श्रृंखला के भीतर किसी भी आगामी संदर्भ $C_n$ में प्रकट नहीं हो सकता।
4. प्रिमिटिव्स का स्पष्टीकरण: भूमिकाओं को स्पष्ट करता है:
   • प्रूफ-ऑफ-पज़ेशन: एक आर्टिफ़ैक्ट पर नियंत्रण को सिद्ध करता है।
   • प्रूफ-ऑफ-रिलेशनशिप: आसन्न चरणों के बीच कारण संबंध को सिद्ध करता है।
   • प्रूफ-ऑफ-कंटिन्यूटी: पूरी वंश के दौरान विस्तार के बिना अधिकार प्रसार को सिद्ध करता है।

4. परिणाम और सुरक्षा गारंटी (Results and Safety Guarantees)

प्राथमिक परिणाम PIC मॉडल की सुरक्षा है। Proof-of-Continuity के तहत:

• ओरिजिन-बाउंडेड अथॉरिटी (Origin-Bounded Authority): हॉप $n$ पर प्रयोग किया गया कोई भी विशेल्स मूल अधिकार संदर्भ $C_0$ में मौजूद होना चाहिए।
• अपरिवर्तनीय क्षीणन (Irreversible Attenuation): यदि किसी भी हॉप $j$ पर एक विशेल्स को छोड़ दिया जाता है (अर्थात, $C_j$ में शामिल नहीं किया जाता है), तो वह हमेशा के लिए खो जाता है और किसी भी बाद के हॉप $k > j$ में पुनः प्रकट नहीं हो सकता।
• कन्फ्यूज्ड डिप्टी का उन्मूलन: मॉडल संरचनात्मक रूप से कन्फयूज्ड डिप्टी की स्थिति को रोकता है। एक निष्पादक एक ऐसे कार्य को करने के लिए विशेल्स का प्रयोग नहीं कर सकता जो अनुरोध के मूल संदर्भ में अधिकृत नहीं था, भले ही निष्पादक के पास स्वतंत्र रूप से वे विशेल्स मौजूद हों।

शोध पत्र प्रदर्शित करता है कि यह सुरक्षा वंश-अपरिवर्तनीयता को त्यागकर प्राप्त की जाती है। प्राधिकरण निर्णयों को यह निर्धारित करने के लिए वंश समन्वय (PoR साक्ष्य के माध्यम से) को पढ़ना चाहिए कि क्या कोई क्रिया एक वैध निरंतरता है।

5. महत्व और दायरा (Significance and Scope)

शोध पत्र Proof-of-Continuity को मौजूदा तंत्रों जैसे OIDC, वॉलेट या बियरर टोकन के प्रतिस्थापन के बजाय एक मॉडलिंग रिफाइनमेंट के रूप में प्रस्तुत करता है।

• पूरकता (Complementarity): पहचान और प्रमाणीकरण तंत्र मूल (origin) स्थापित करने के लिए आवश्यक बने रहेंगे। PoC यह संबोधित करता है कि मूल स्थापित होने के बाद अधिकार कैसे प्रसारित होते हैं।
• AI एजेंटों के लिए प्रासंगिकता: इस मॉडल को विशेष रूप से AI एजेंटों के लिए महत्वपूर्ण बताया गया है, जो अक्सर कई अधिकार स्रोतों (सेवा क्रेडेंशियल, यूजर टोकन, टूल स्कोप) को रखते हैं और टूल इनवोकेशन की श्रृंखला निष्पादित करते हैं। PoC यह सुनिश्चित करता है कि एक एजेंट किसी टूल का उपयोग करके ऐसा कार्य (जैसे, फ़ाइल डिलीट करना) नहीं कर सकता है जिसके लिए उपयोगकर्ता के मूल इरादे (जैसे, दस्तावेज़ का सारांश बनाना) ने अधिकृत नहीं किया था, भले ही एजेंट के पास स्वतंत्र रूप से डिलीट विशेल्स मौजूद हों।
• टेम्पोरल बनाम स्पेशियल (Temporal vs. Spatial): शोध पत्र तर्क देता है कि जबकि क्षमता मॉडल पदनाम के स्थानिक (spatial) समस्या को हल करते हैं, वे मल्टी-हॉप प्रसार के टेम्पोरल समस्या को हल करने में विफल रहते हैं जब तक कि क्षमता को एक रखे गए आर्टिफ़ैक्ट के रूप में माना जाए (जो पज़ेशन में वापस ले जाता है)। PoC अधिकार को एक निरंतर, गैर-विस्तारित प्रवाह के रूप में मानकर मल्टी-हॉप वंशों में क्षमताओं के "बाय-कंस्ट्रक्शन" गारंटी को बढ़ाता है।

शोध पत्र निष्कर्ष निकालता है कि कन्फयूज्ड डिप्टी एक रनटाइम भेद्यता (vulnerability) नहीं है जिसे पैच किया जाना है, बल्कि एक वैध PIC निष्पादन में एक संरचनात्मक असंभवता है। मॉडल बोझ को रनटाइम सतर्कता से हटाकर एक ऐसे अनुशासन की ओर ले जाता है जहाँ अधिकार सख्ती से अपने कारण इतिहास (causal history) द्वारा परिभाषित होता है।