Riepilogo Tecnico: Infrastruttura Agente Verificabile – Autorizzazione Derivata da Prove per Sistemi AI Sovrani

1. Enunciato del Problema

I sistemi cloud e aziendali moderni si basano su modelli di autorizzazione incentrati sull'identità, assumendo che i chiamanti con credenziali valide siano sicuri nell'esecuzione di comandi. Questa ipotesi fallisce nel contesto degli agenti AI autonomi, che possono generare azioni sintatticamente valide ma semanticamente non sicure. Concedere agli agenti permessi ampi e permanenti crea rischi operativi significativi, in particolare nei sistemi AI sovrani dove gli agenti interagiscono con infrastrutture critiche, dati regolamentati e flussi di lavoro finanziari.

Sebbene i substrati "governati dall'intento" (come OpenKedge) mitigino questo problema interponendosi sulle azioni degli agenti – richiedendo agli agenti di presentare proposte per la valutazione anziché mutare lo stato direttamente – lasciano un vuoto critico: la decisione di autorizzazione stessa è spesso non verificabile e rappresenta un singolo punto di fallimento. Il problema centrale affrontato è come rendere la decisione di autorizzare un intento verificabile, distribuita e riproducibile. Nello specifico, il documento chiede: qual è l'oggetto stabile che gli valutatori approvano? Come viene derivata l'autorità temporanea da un record di approvazione piuttosto che dal ruolo permanente di un chiamante? E cosa deve essere persistito per ricostruire perché esisteva l'autorità di esecuzione?

2. Metodologia: Il Framework di Fiducia Distribuita (DTF)

Gli autori propongono il Framework di Fiducia Distribuita (DTF), un livello di verifica progettato per substrati di mutazione governati. Il DTF sposta il locus della fiducia dal principale (l'agente) al ciclo di vita della decisione. Esso impone un'invariante di autorizzazione compatta: nessuna esecuzione ad alto rischio senza un oggetto di prova, nessuna autorità derivata senza consenso e nessuna mutazione valida disgiunta da prove.

Il framework opera attraverso quattro costrutti principali:

2.1 Prove di Giustificazione (JP)

Invece di spiegazioni in linguaggio naturale o registri di audit post-evento, il DTF utilizza artefatti strutturati e ispezionabili dalle macchine chiamati Prove di Giustificazione. Una JP codifica la base di ammissibilità di un'azione prima che venga rilasciata l'autorità. Essa contiene:

• Specificazione della Mutazione ($M_t$): L'azione proposta.
• Stato Vincolato e Contesto ($S_t$): L'istantanea del contesto rilevante per l'autorizzazione al momento della decisione.
• Base delle Politiche ($\Pi_t$): Le politiche e i vincoli specifici applicati.
• Valutazione del Rischio ($R_t$): Classificazione del rischio e forza di approvazione richiesta.
• Limite di Esecuzione ($B_t$): La portata massima consentita (azione, risorsa, tempo e obblighi) se approvata.

2.2 Validazione del Consenso

Il DTF distribuisce la fiducia sull'autorizzazione richiedendo a valutatori indipendenti di attestare lo stesso oggetto di Prova.

• Sciame di Valutatori: Un insieme eterogeneo di valutatori (ad es. politiche, stato, rischio, simulazione e supervisione umana) elabora la stessa JP.
• Attestazioni: Ogni valutatore emette un'attestazione firmata ($a_i$) che indica approvazione, rifiuto o astensione, insieme a obiezioni strutturate.
• Regola di Consenso ($q$): Una regola di governance calcola la decisione finale basandosi su soglie di quorum, diversità dei valutatori e diritti di veto. L'autorità viene concessa solo se il consenso approva esplicitamente la prova.

2.3 Identità di Esecuzione (EI)

Dopo l'approvazione del consenso, il sistema deriva un'Identità di Esecuzione.

• Autorità Effimera: A differenza dei ruoli permanenti, un EI è un token temporaneo e non trasferibile.
• Derivazione della Portata: La portata dell'EI è strettamente vincolata dal limite derivato dalla prova ($B_t$). Il sistema impone che la portata effettiva dell'identità non possa superare il limite della prova.
• Implementazione: Negli ambienti cloud, gli EI sono implementati come credenziali a vita breve (ad es. sessioni AWS STS) con politiche di sessione restrittive.

2.4 Catene di Prove (EC)

Per garantire la riproducibilità, il DTF mantiene una Catena di Prove append-only per ogni tentativo di mutazione.

• Completezza: La catena registra l'intero ciclo di vita: Intento, Contesto, Politica, Prova di Giustificazione, Attestazioni, Metadati di Governance, Decisione, Identità di Esecuzione, Tentativo di Mutazione e Risultato.
• Riproducibilità: Questa struttura permette agli auditor di ricostruire la base di autorizzazione senza dover rieseguire la simulazione del ragionamento interno dell'agente.

3. Invarianti di Sistema

Il documento definisce quattro invarianti fondamentali del ciclo di vita imposte dal DTF:

1. Esecuzione Vincolata alla Prova: Nessuna mutazione ad alto rischio viene eseguita senza una corrispondente Prova di Giustificazione valida.
2. Autorità Bloccata dal Consenso: Nessuna Identità di Esecuzione viene rilasciata a meno che la regola di consenso non approvi esplicitamente la prova.
3. Non Escalation: La portata dell'autorità effettiva di un'Identità di Esecuzione deve essere contenuta entro il limite derivato dalla prova.
4. Completezza delle Prove: Ogni proposta di intento, indipendentemente dall'esito, corrisponde esattamente a una Catena di Prove strutturalmente completa.

4. Implementazione e Valutazione

Gli autori hanno istanziato il DTF su un substrato di mutazione governato basato su OpenKedge e lo hanno distribuito come una suite di microservizi (circa 4.500 righe di Go) su AWS.

• Architettura: Il sistema include un Gateway di Intento, un Motore di Giustificazione, uno Sciame di Valutazione (utilizzando funzioni AWS Lambda stateless), un Broker di Esecuzione e un Archivio di Prove (utilizzando Amazon QLDB).
• Carico di Lavoro: La valutazione ha testato 10.000 mutazioni sintetiche di agenti su tre scenari: terminazione distruttiva di risorse, mutazione della configurazione di produzione ed esecuzione di emergenza "break-glass".
• Baseline: Il sistema è stato confrontato con (B1) credenziali IAM permanenti con registri di audit standard e (B2) un precontrollo basato solo su politiche.

Risultati Chiave

• Sicurezza: Il DTF ha raggiunto un tasso di blocco o escalation del 100% per tutte le 2.400 varianti non sicure (incluso stato obsoleto, dipendenze mancanti e targeting di risorse protette). Al contrario, la baseline basata solo su politiche (B2) ha permesso al 14% delle mutazioni non sicure di passare.
• Contenimento dell'Autorità: Il DTF ha ridotto la portata media di esecuzione effettiva da 450 risorse (credenziali permanenti) a esattamente 1 risorsa approvata per richiesta, rappresentando una riduzione del 99,7% nell'esposizione all'autorità.
• Verificabilità: La Catena di Prove ha raggiunto una completezza del 100%. Gli auditor hanno potuto ricostruire il ciclo di vita dell'autorizzazione per il 99,9% degli eventi senza correlazione manuale dei log, rispetto al 23,0% per i registri di audit standard.
• Latenza: La latenza decisionale end-to-end ha mediato 58,3 ms (mediana 52,6 ms), con un 99° percentile di 171,3 ms. Gli autori notano che questo sovraccarico è accettabile per operazioni ad alto rischio dominate dalla latenza del substrato e dai tempi di revisione umana.

5. Significato e Affermazioni

Il documento afferma che il DTF fornisce un'infrastruttura fondamentale per rendere l'esecuzione degli agenti governabile, verificabile e delimitata nelle distribuzioni di AI sovrane.

• Spostamento della Fiducia: Il contributo principale è lo spostamento dell'oggetto di autorizzazione da un principale durevole a un ciclo di vita della decisione registrato. Il sistema non ha bisogno di fidarsi del ragionamento interno dell'agente; richiede solo che l'autorità di esecuzione sia derivata da prove esplicite, approvazione indipendente e rilascio delimitato.
• Verificabilità: Strutturando l'autorizzazione come un ciclo di vita riproducibile di artefatti (Prova, Consenso, Identità, Prove), il DTF affronta il "vuoto decisionale non verificabile" intrinseco nei motori di politiche tradizionali.
• Portata Modesta: Gli autori dichiarano esplicitamente che il DTF non sintetizza politiche corrette, non garantisce decisioni globalmente ottimali e non risolve l'iniezione di prompt all'interno dello stesso agente. Il suo valore è architettonico: garantisce che un'autorità ad alto rischio non possa essere legittimamente materializzata senza prove registrate, approvazione registrata, rilascio delimitato e prove durevoli. I risultati sono validati in scenari controllati, con classi di mutazione note, non come benchmark su scala internet senza vincoli.

Il documento conclude che imponendo l'invariante "nessuna esecuzione ad alto rischio senza prova, nessuna autorità senza consenso e nessuna mutazione valida disgiunta da prove", il DTF trasforma l'autorizzazione da un'aspirazione di audit in un ciclo di vita eseguibile e verificabile.