🤖 AI

KYA: A Framework-Agnostic Trust Layer for Autonomous Systems with Verifiable Provenance and Hierarchical Policy Composition

KYA è un layer di fiducia open-source e agnostico rispetto al framework per sistemi autonomi che impiega cinque primitive fondamentali — tra cui una pipeline di applicazione sicura a quattro gate, una composizione gerarchica delle policy e una valutazione unificata della fiducia — per rilevare deviazioni degli agenti, fughe di dati e attacchi avversari, mantenendo al contempo latenze inferiori al millisecondo e un elevato throughput.

Autori originali: Kolawole Quadri

Pubblicato 2026-05-26

📖 5 min di lettura🧠 Approfondimento

CC BY 4.0

Autori originali: Kolawole Quadri

Articolo originale sotto licenza CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Questa è una spiegazione generata dall'IA dell'articolo qui sotto. Non è stata scritta né approvata dagli autori. Per precisione tecnica, consulta l'articolo originale. Leggi il disclaimer completo

Immagina di avere una flotta di robot autonomi (agenti AI) che lavorano per te. Stanno richiedendo prestiti, ordinando pazienti medici o scambiando azioni. Attualmente, gli strumenti che utilizziamo per monitorare questi robot (chiamati "osservabilità") sono come il cruscotto di un'auto: ti dicono se il motore sta surriscaldando, se l'auto sta muovendosi lentamente o se un componente è rotto.

KYA (Know Your Agents) è un nuovo sistema che non si limita a guardare il motore; agisce come una guardia di sicurezza, un detective e un notaio tutto in uno. Risponde alle domande che il cruscotto non può: Questo robot sta mentendo? Sta deviando dalla rotta? Sta perdendo segreti? E se qualcosa va storto, chi è effettivamente responsabile?

Ecco come funziona KYA, scomposto in cinque parti semplici utilizzando analogie di tutti i giorni:

1. Il Controllo di Sicurezza a Quattro Porte (Il "Buttafuori")

Prima che un agente AI possa fare qualcosa di nuovo o modificare le sue regole, deve superare quattro rigidi cancelli di sicurezza. Pensa a questo come a una cassaforte bancaria ad alta sicurezza:

Porta 1: La persona che tiene la chiave ha effettivamente firmato questa richiesta? (Controllo della firma digitale).
Porta 2: Questa richiesta è ancora valida o è scaduta? (Controllo temporale).
Porta 3: Questa richiesta rende le regole più severe o più lasche? KYA permette solo che le regole diventino più severe (più sicure), mai più lasche. È come un genitore che dice: "Puoi aggiungere più faccende, ma non puoi rimuovere quelle che hai già".
Porta 4: Un umano ha effettivamente detto "sì"? Di default, un umano deve approvare la modifica.

2. Il Regolamento "Solo-Rafforzamento" (Il "Reticolo di Sicurezza")

Immagina di avere un regolamento per i tuoi robot. L'azienda (la piattaforma) stabilisce le regole di base. Tu (l'inquilino) puoi aggiungere le tue regole più severe sopra, ma non puoi mai cancellare le regole di sicurezza dell'azienda.
KYA utilizza un sistema matematico speciale per garantire che, indipendentemente da quante persone aggiungano regole, il sistema non diventi mai accidentalmente meno sicuro. È come una pila di reti di sicurezza: puoi aggiungere più reti, ma non puoi mai rimuoverne una dal fondo.

3. KYP: "Know Your Principal" (La "Carta d'Identità Universale")

In passato, avevamo carte d'identità separate per gli umani, punteggi separati per i robot e registri separati per gli script automatizzati. KYA li mette tutti su un unico sistema di carte d'identità.
Che l'attore sia un dipendente umano, un robot AI o uno script in background, KYA assegna loro un "Punteggio di Fiducia". Se un robot inizia a comportarsi male, il suo punteggio scende. Se un umano commette un errore, il suo punteggio scende. Tratta tutti allo stesso modo, rendendo facile vedere chi è affidabile e chi è rischioso.

4. Il "Moltiplicatore di Interazione" (La "Combinazione Pericolosa")

A volte, una singola azione è accettabile, ma due azioni insieme sono pericolose.

Esempio: Dare a un robot uno strumento di "scrittura" è rischioso. Dare a un robot l'accesso a "dati privati" è rischioso.
Il Moltiplicatore: Se dai a un robot entrambi uno strumento di scrittura e l'accesso ai dati privati, il pericolo non è solo "rischioso + rischioso". È "super pericoloso".
KYA ha una lista speciale di queste "combinazioni pericolose". Quando le vede, moltiplica il punteggio di rischio, avvisando l'operatore umano che questa specifica combinazione richiede un'ulteriore scrutinio.

5. Il "Gioco della Colpa" (La "Responsabilità dell'Orchestratore")

Questa è una delle caratteristiche più importanti. Immagina che un "Robot Manager" assuma tre "Robot Lavoratori" per fare un lavoro. Se un Robot Lavoratore diventa ribelle e ruba dati, chi finisce nei guai?

Vecchio modo: Il Robot Lavoratore viene incolpato. Il Robot Manager se ne va pulito.
Modo KYA: Il Robot Manager viene incolpato.
KYA assume che se assumi un lavoratore rischioso, sei responsabile di ciò che fanno. Se un sub-agente si comporta male, il sistema sottrae immediatamente punti dal punteggio di fiducia del Manager. Questo impedisce ai manager di nascondersi dietro "puliti" sub-agenti per fare lavori sporchi.

Come Gestisce le Prove (Il "Diario Inviolabile")

Ogni volta che un agente fa qualcosa, KYA lo scrive in un diario digitale. Ma questo non è un semplice registro; è un diario crittograficamente concatenato.

Ogni voce è collegata alla precedente utilizzando un blocco matematico speciale (HMAC).
Se qualcuno tenta di tornare indietro e modificare una vecchia voce (come cancellare un errore), il blocco si rompe e l'intero diario viene contrassegnato come "manomesso".
Questo crea una registrazione ammissibile in tribunale di esattamente cosa è successo, chi lo ha fatto e quando.

Cosa Ha Trovato Effettivamente il Documento

Gli autori hanno testato questo sistema con alcune sfide difficili:

Velocità: È incredibilmente veloce. Può controllare migliaia di agenti al secondo senza rallentarli.
Compatibilità: Funziona con oltre 15 diversi tipi di framework AI (come LangChain, CrewAI, ecc.). Non importa quale software usi; KYA si adatta sopra di esso.
Test di Hacking: Il team ha assunto hacker "red team" per cercare di ingannare gli agenti. KYA ha intercettato l'89% degli attacchi, incluso un tipo di attacco nuovo e molto astuto in cui gli hacker usano una catena di robot per nascondere le loro tracce.
Scenari Reali: Lo hanno testato su un sistema simulato di prestiti bancari e su un sistema di triage ospedaliero. In entrambi i casi, ha identificato con successo agenti rischiosi e ha tracciato comportamenti scorretti fino alla persona (o al robot) giusta.

La Conclusione

KYA è uno strumento open-source (gratuito da usare) che si interpone tra i tuoi agenti AI e il mondo reale. Non ti dice solo se l'AI sta funzionando; ti dice se l'AI è sicura, onesta e responsabile. Garantisce che se un AI commette un errore, sappiamo esattamente chi chiamare in causa e abbiamo una registrazione inviolabile per dimostrarlo.

Riepilogo Tecnico: KYA (Know Your Agents)

Enunciato del Problema

Le piattaforme attuali di osservabilità per agenti autonomi (ad esempio, LangSmith, Langfuse) tracciano efficacemente metriche operative quali latenza, costi e tassi di errore. Tuttavia, mancano della capacità di affrontare l'identità dell'agente, la provenienza probatoria e i contratti comportamentali eseguibili. Nello specifico, gli strumenti esistenti non producono artefatti di governance legati all'identità dell'agente, verificabili crittograficamente e attestabili da terze parti. Questo vuoto lascia gli operatori incapaci di determinare definitivamente se un agente sta subendo una deriva, sta disperdendo dati o sta agendo in modo non autorizzato, né possono fornire le tracce di audit crittografiche richieste dalle normative emergenti come l'AI Act dell'UE, il NIST AI RMF e la ISO 42001.

Metodologia

KYA (Know Your Agents) è un livello di fiducia e governance open-source e agnostico rispetto al framework, progettato per operare accanto agli strumenti di osservabilità anziché sostituirli. Funziona come una pila coordinata di quattro componenti:

Core SDK (veldt-kya): Una libreria Python pura che gestisce il punteggio di fiducia, le catene di prove e la composizione delle policy.
Hook del Framework (kya_hooks): Integrazioni in-process per oltre 15 framework di agenti (ad esempio, LangChain, CrewAI, OpenAI Agents) che emettono eventi canonici.
Ponte di Telemetria (kya_otlp_bridge): Un sidecar che ingerisce gli span di OpenTelemetry e li mappa sui segnali KYA.
Modulo Red Team (kya_redteam): Uno strumento out-of-band per la probing avversariale utilizzando PyRIT e Garak.

Il sistema si basa su cinque primitive fondamentali per colmare il divario tra telemetria e governance:

1. Pipeline di Applicazione in Ingresso a Quattro Gate

Per gestire gli aggiornamenti delle policy e le raccomandazioni federate, KYA impiega una rigorosa pipeline a quattro gate:

Gate 1: Verifica della firma Ed25519 con ancoraggio multi-ancora.
Gate 2: Controllo della scadenza al momento della persistenza (prevenzione degli attacchi di replay).
Gate 3: Composizione "Solo-irrobustimento" (le policy possono restringere ma non allentare mai le impostazioni predefinite della piattaforma).
Gate 4: Approvazione dell'operatore come stato predefinito; l'applicazione automatica è limitata a specifiche allowlist.

2. Algebra di Composizione "Solo-Irrobustimento"

KYA introduce un'algebra formale per la composizione gerarchica delle policy su tre canali: impostazioni predefinite della piattaforma, sovrascritture del tenant e raccomandazioni esterne firmate. Questo sistema impone un calcolo di raffinamento in cui le sovrascritture del tenant possono solo restringere (irrobustire) i pesi della piattaforma, non allentarli mai. Questa proprietà è formalmente dimostrata come solida (Lemma 1) e impedisce che collettori compromessi o raccomandazioni esterne indeboliscano la postura di sicurezza di un tenant.

3. Tassonomia Unificata della Fiducia KYP (Know Your Principal)

KYA unifica il punteggio di fiducia su tre tipi di principali: utenti umani, agenti AI e account di servizio, in un'unica tabella a livello di schema (kya_principal_trust). A differenza dei sistemi precedenti che valutano gli agenti in isolamento o si affidano a provider di identità separati, KYP utilizza un meccanismo di punteggio condiviso con un discriminatore a insieme chiuso. Ciò consente un tracciamento coerente della fiducia e un'aggregazione dei segnali in tutto l'ecosistema degli attori.

4. Amplificazione Auditabile degli Moltiplicatori di Interazione

Costruendo su una baseline additiva a forma di AIVSS, KYA introduce un registro auditabile di moltiplicatori di interazione. Questi sono ampliazioni limitate e asimmetriche (moltiplicatori $\ge$ 1.0 solo) attivate da interazioni specifiche tra coppie (ad esempio, "esecuzione di codice con input dell'utente" o "scrittore autonomo in produzione"). Ogni interazione porta un codice di audit stabile, permettendo agli auditor di tracciare esattamente perché un punteggio di rischio è stato amplificato. Questo affronta i rischi cumulativi che i modelli additivi lineari trascurano.

5. Attribuzione della Delegazione a Due Assi

KYA affronta il pattern di attacco "orchestratore pulito" (dove un sub-agente compromesso influenza un orchestratore pulito) attraverso due assi:

Asse Statico: Un premio di fiducia per la delega che penalizza gli orchestratori per la delega a sub-agenti rischiosi basata sulla configurazione.
Asse Dinamico: Un meccanismo di addebito in runtime che utilizza una convenzione actor_agent_key. Quando un sub-agente emette un segnale non autorizzato, il segnale viene contrassegnato con la chiave dell'orchestratore, addebitando il contatore di fiducia del principale dell'orchestratore in tempo reale. Questo impedisce l'evasione dell'attribuzione in cui i sub-agenti nascondono la parte responsabile a monte.

Risultati Chiave

Il documento valuta KYA su quattro backend di archiviazione (PostgreSQL, SQLite, DuckDB, MySQL) e oltre 15 framework di agenti:

Correttezza: Tutte le 36 celle di una matrice end-to-end di 4 backend $\times$ 9 fasi sono state superate.
Prestazioni: Lo scorer a funzione pura esegue in tempo sub-millisecondo (p99 < 1ms). Il sistema sostiene circa 1.800 operazioni al secondo con 20 worker concorrenti preservando l'integrità della catena HMAC.
Rilevamento Avversario: In una campagna red-team utilizzando 1.200 probe da PyRIT e Garak, KYA ha bloccato o segnalato l'89% degli attacchi.
Attribuzione degli Attacchi: Il sistema ha rilevato con successo e attribuito l'"attacco multi-agente guidato dalla topologia" (Liang et al.) al principale orchestratore, una capacità assente nei precedenti livelli di governance.
Conformità: Il sistema genera artefatti leggibili dai regolatori per 32 regimi normativi, inclusi GDPR, HIPAA, NYDFS e l'AI Act dell'UE.

Significato e Affermazioni

Gli autori posizionano KYA come un contributo di sistema piuttosto che una costruzione crittografica innovativa. Il suo significato risiede nella disciplina di composizione e nelle primitive ingegneristiche specifiche che rendono la governance implementabile in ambienti regolamentati e multi-tenant.

Novità: Il documento rivendica la novità nella composizione gerarchica a tre canali (piattaforma/tenant/esterno) con una prova formale di solidità, nel registro dei moltiplicatori di interazione con codici di audit stabili e nell'addebito in runtime dell'orchestratore per il comportamento errato dei sub-agenti.
Modestia: Gli autori dichiarano esplicitamente che i pesi di punteggio sono euristici e derivati dal giudizio esperto, non da una calibrazione basata su verità fondamentali. Riconoscono che il sistema non risolve il problema della fermata per la verifica della sicurezza e che il tasso di mancato rilevamento dell'11% su iniezioni di prompt multi-turno sofisticati riflette i limiti strutturali dei filtri esterni.
Apertura: Il sistema è rilasciato sotto licenza Apache 2.0, con tutti i fattori di punteggio, i pesi e gli artefatti della catena di prove auditabili e modificabili dagli operatori.

In sintesi, KYA fornisce il livello mancante di provenienza verificabile crittograficamente e contratti comportamentali eseguibili per i sistemi autonomi, consentendo agli operatori di rispondere a domande di responsabilità ("era sbagliato? chi è responsabile?") piuttosto che solo a quelle operative ("quanto tempo ha impiegato?").