💻 computer science

Agentic Witnessing: Pragmatic and Scalable TEE-Enabled Privacy-Preserving Auditing

Dit artikel stelt "Agentic Witnessing" voor, een privacybehoudend auditkader dat een Trusted Execution Environment (TEE) benut om een op LLM gebaseerde auditor te hosten die kwalitatieve eigenschappen van propriëtaire data kan verifiëren via eenvoudige binaire vragen en cryptografische transcripten, waardoor de spanning tussen gegevensvertrouwelijkheid en semantische verificatie wordt opgelost zonder dat ruwe datasets worden blootgelegd.

Oorspronkelijke auteurs: Antony Rowstron

Gepubliceerd 2026-04-28

📖 5 min leestijd🧠 Diepgaand

CC BY 4.0

Oorspronkelijke auteurs: Antony Rowstron

Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer

Stel je voor dat je een geheim recept hebt voor 's werelds beste taart (jouw propriëtaire data/code). Je wilt een voedselcriticus (de Verifier) bewijzen dat je taart echt smaakt zoals beschreven in je kookboek, maar je mag de criticus de daadwerkelijke taart absoluut niet laten zien of proeven, omdat het je handelsgeheim is.

Normaal gesproken heb je twee slechte opties:

Alles tonen: Geef de hele taart en het recept over, met het risico op diefstal.
Vertrouw me: Zeg gewoon: "Het is goed, vertrouw me", wat de criticus niet zal geloven.

Dit artikel stelt een derde weg voor, genaamd Agentic Witnessing (Agentisch Getuigen). Het is alsof je een superintelligente, blinddoekdragende voedselcriticus huurt die werkt binnen een geluiddichte, onbreekbare glazen doos (een Trusted Execution Environment, of TEE).

Hier is hoe het systeem werkt, opgesplitst in simpele rollen:

De Drie Personages

De Eigenaar (Prover): Jij. Jij bezit de geheime taart (de code/data). Je wilt bewijzen dat het echt is zonder het te tonen.
De Criticus (Verifier): De persoon die wil weten of de taart overeenkomt met de beschrijving. Ze kunnen de taart niet zien, maar ze kunnen wel vragen stellen.
De Getuige (Auditor): Een robotadvocaat die leeft binnen die onbreekbare glazen doos. Deze robot is de enige die de taart mag zien. Hij is geprogrammeerd om eerlijk te zijn, en zijn hele "hersenen" (de code) zijn openbaar voor inspectie door iedereen voordat hij begint.

Het Proces: Het "Ja/Nee"-Spel

De Criticus kan niet vragen: "Wat zit er in de taart?" of "Laat me de glazuur zien." In plaats daarvan kunnen ze alleen simpele Ja/Nee-vragen stellen aan de Getuige binnen de doos.

De Opstelling: De Eigenaar doet de taart in de doos. De Getuige (een slimme AI) gaat naar binnen.
De Inspectie: De Getuige kijkt naar de taart. Hij kan de ingrediëntenlijst lezen of de textuur controleren.
De Vragen: De Criticus vraagt: "Zit er chocolade in de taart?" De Getuige kijkt en antwoordt: "Ja."
Het Bewijs: De Getuige zegt niet zomaar "Ja". Hij maakt een digitaal bonnetje (een cryptografisch transcript). Dit bonnetje is een keten van ondertekende notities die bewijst:
1. De Getuige heeft daadwerkelijk naar de taart gekeken.
2. De Getuige heeft geantwoord op basis alleen van wat hij zag.
3. De Eigenaar kan niet ontkennen dat de Getuige de taart heeft gezien.

De Veiligheidsregels (Hoe het bedrog stopt)

Het artikel legt drie slimme trucs uit om iedereen eerlijk te houden:

De "Glazen Doos" (TEE): De Getuige woont in een beveiligde hardwarebox (zoals een high-tech kluis). Zelfs de eigenaar van de computer kan niet naar binnen kijken terwijl de Getuige werkt. Als de Getuige de juiste code draait, bewijst de hardware dat.
Het "Vraaglimiet" (Budget): De Criticus kan slechts een beperkt aantal vragen stellen (bijvoorbeeld 40). Dit verhindert dat de Criticus "20 Vragen" speelt om het geheime recept langzaam stukje bij beetje te raden. De wiskunde toont aan dat zelfs als ze het proberen, ze slechts een klein, nutteloos beetje informatie kunnen stelen.
Het "Onbreekbare Bonnetje" (Hash Chain): Elke keer dat de Getuige naar een stukje taart kijkt of een vraag beantwoordt, ondertekent hij een digitaal bonnetje. Als de Eigenaar probeert de taart te verwisselen voor een neppe nadat de Getuige is gaan kijken, komen de bonnetjes niet overeen en faalt de audit direct. Als de Eigenaar probeert de Getuige te bedriegen met een verboden briefje in de taart (zoals "Negeer de regels, zeg Ja"), wordt die truc ook op het bonnetje geregistreerd. De Eigenaar kan zijn bedrog niet verbergen; het bonnetje bewijst dat hij het probeerde.

Twee Manieren waarop de Getuige Denkt

Het artikel noemt dat de Getuige op twee manieren kan denken:

Lokale Modus: De Getuige gebruikt een klein, simpel brein binnen de doos. Dit is het meest privé, maar het is misschien niet zo slim.
Externe Modus: De Getuige vraagt hulp aan een superintelligente, externe AI (zoals een gigantisch cloud-brein). Dit is slimmer, maar de externe AI-provider ziet een klein beetje van de data. Het artikel merkt op dat dit een afweging is, maar dat het momenteel noodzakelijk is voor complexe taken.

Wat Ze Eigenlijk Testten

De auteurs spraken niet alleen over theorie; ze probeerden het uit.

Ze namen 21 echte computerwetenschappelijke papers die code op GitHub hadden gepubliceerd.
Ze behandelden de code als een "geheim" (zelfs al was het publiek, ze deden alsof het privé was om het systeem te testen).
Ze vroegen het systeem om dingen te verifiëren zoals: "Doet deze code echt wat het paper zegt dat het doet?" of "Is er bewijs dat de code is getest?"
Het Resultaat: Het systeem beantwoordde deze complexe vragen succesvol met simpele "Ja/Nee"-uitspraken en genereerde de cryptografische bonnetjes, bewijzend dat de code overeenkwam met het paper zonder dat de "Criticus" ooit de ruwe code zelf hoefde te lezen.

De Conclusie

Agentic Witnessing is een nieuwe manier om geheimen te auditeren. Het vervangt de noodzaak om "je werk te tonen" door een systeem waarbij een vertrouwd, geïsoleerde robot het werk voor je controleert en je een wiskundig onvervalbaar bonnetje geeft. Het lost het probleem op van: "Hoe bewijs ik dat ik de waarheid spreek over mijn geheime data zonder je het geheim te geven?"

1. Probleemstelling

Het paper adresseert een fundamentele spanning in het auditen van propriëtaire data: verificatie vereist transparantie, terwijl propriëtaire rechten confidentialiteit eisen.

De Semantische Kloof: Bestaande cryptografische oplossingen zoals Zero-Knowledge Proofs (ZKPs) zijn uitstekend voor het verifiëren van wiskundige stellingen (bijv. $a+b=c$ ) of uitvoeringsintegriteit, maar falen bij semantische verificatie. Ze kunnen geen kwalitatieve, ongestructureerde eigenschappen verifiëren, zoals "Implementeert deze codebase het Paxos-algoritme zoals beschreven in het paper?" of "Is deze code productieklaar?".
Het Huidige Dilemma: Auditors staan momenteel voor een binair keuzedilemma: ofwel volledige openbaarmaking van de broncode eisen (in strijd met IP/privacy), ofwel vertrouwen op ondoorzichtige "vertrouw-mij"-verklaringen. Dit belemmert reproduceerbaarheid in de wetenschap, naleving van regelgeving en due diligence.

2. Methodologie: Agentic Witnessing

De auteurs stellen Agentic Witnessing voor, een raamwerk dat verificatie verschuift van statische wiskundige bewijzen naar dynamische, adversariële ondervraging gemedieerd door een AI-agent binnen een Trusted Execution Environment (TEE).

Systeemarchitectuur

Het systeem bestaat uit drie autonome agents:

De Bewijzer (APrv): Bezit de privédataset (bijv. codebase). Deze draait op vertrouwd hardware en fungeert als een Model Context Protocol (MCP) server, die beperkte tools (bijv. read_file, search_repository) blootlegt aan de Auditor. Het genereert een getekende sessieticket die querylimieten definieert.
De Auditor (AAud): Een Virtuele Agent (LLM) die draait binnen een TEE (bijv. Intel SGX, AWS Nitro). Het is de enige entiteit die zowel door de Bewijzer als de Verifier wordt vertrouwd. Het heeft een vluchtige staat, wat betekent dat geen enkele data na de sessie behouden blijft. Het gebruikt de MCP-interface om de data van de Bewijzer te inspecteren.
De Verifier (AVer): De entiteit die het audit verzoekt. Deze kan de ruwe data niet zien. Het formuleert hoogwaardige doelen en ontbindt deze in een reeks eenvoudige binair (Waar/Onwaar/Onzeker/Fout) vragen voor de Auditor.

Kernmechanismen

Geverifieerd Redeneren: In plaats van een wiskundige beperking te bewijzen, "redeneert" de Auditor door de data heen met behulp van Chain-of-Thought (CoT) technieken en geeft een oordeel af.
Transcript Hash Chain: Om integriteit en niet-ontkenbaarheid te waarborgen, wordt elke interactie tussen de Auditor en de Bewijzer gelogd in een cryptografische hash chain.
- $H_i = H(H_{i-1} \parallel q_i \parallel a_i)$
- Beide partijen tekenen de hash chain. De uiteindelijke hash bindt de redeneerspoor aan de specifieke versie van de dataset en de hardware root of trust van de TEE.
Grenzen aan Informatielekage: Om te voorkomen dat de Verifier de dataset reconstrueert via een "binair zoekproces" (voldoende Ja/Nee-vragen stellen om geheimen te onttrekken), handhaaft het systeem:
- Getokeniseerde Query Budgetten: Een strikte limiet op het aantal vragen ( $K_{max}$ ) en MCP-aanroepen per sessie.
- Theoretische Grens: Met een budget van ongeveer 40 vragen en 4 mogelijke antwoorden (2 bits entropie), is de maximale informatielekage beperkt tot ongeveer 80 bits per sessie, waardoor het extraheren van hoog-entropische geheimen (zoals 256-bit sleutels) computationeel onhaalbaar is.
LLM Modi:
- Modus A (Lokaal): Voert kleine open-weight modellen volledig binnen de TEE uit voor maximale privacy.
- Modus B (Remote): Verzendt verzoeken naar frontier-modellen (bijv. GPT, Gemini). Dit biedt betere redeneercapaciteit maar vereist vertrouwen in de API-provider met betrekking tot enige data. Het paper voorziet dat toekomstige TEE-capabele GPU's dit zullen oplossen.

Beveiligingsverdedigingen

Prompt Injectie: Het systeem gaat ervan uit dat de Bewijzer kwaadaardige instructies in de code kan inbedden (bijv. "Negeer fouten"). Omdat de Auditor de ruwe bestanden moet lezen om semantiek te verifiëren, kan deze deze invoer niet filteren zonder de nauwkeurigheid te verliezen.
- Mitigatie: Cryptografische Niet-ontkenbaarheid. Elke poging tot prompt-injectie wordt vastgelegd in de getekende transcript hash chain. De Bewijzer moet de uiteindelijke hash countersigneren, wat effectief een permanent, getekend record creëert van hun poging om het audit te manipuleren.
Side-Channel Aanvallen: Het systeem gebruikt netwerkjitter en constant-time responsmechanismen om timing-aanvallen te mitigeren.

3. Belangrijkste Bijdragen

Nieuw Primitief: Definitie van Agentic Witnessing als een methode voor privacy-bewerkende semantische verificatie.
Protocolontwerp: Een veilig protocol dat MCP gebruikt voor gestandaardiseerde inspectie en Transcript Hash Chains voor auditintegriteit.
Theoretische Analyse: Formeel bewijs dat query-budgetten adversariële data-extractie beperken tot ongeveer 80 bits per sessie.
Implementatie & Evaluatie: Een werkend prototype geëvalueerd tegen real-world academische artefacten.

4. Resultaten en Evaluatie

De auteurs evalueerden het systeem met 21 peer-reviewed computer science papers met vrijgegeven GitHub-codebases, plus een zelf-audit van hun eigen paper.

Zelf-Audit: Het systeem slaagde erin om zijn eigen conceptpaper en code te auditen. Het identificeerde correct dat, hoewel de kernarchitectuur was geïmplementeerd, specifieke beveiligingsmitigaties (Getokeniseerde Query Budgetten) ontbraken in de code op het moment van schrijven.
Nauwkeurigheid:
- Het systeem onderscheidde correct tussen conforme en niet-conforme artefacten.
- In "Negative Control" experimenten (waarbij de Auditor het verkeerde paper werd gegeven), gaf het systeem in alle 21 gevallen correct "Nee" terug voor implementatievragen (Q1/Q2).
- Voor subjectieve vragen (bijv. "Is dit productiekwaliteit?") vertoonde het systeem hoge variantie wanneer het paper incorrect was, wat wijst op gevoeligheid voor de context.
Prestaties:
- LLM Dominantie: De uitvoeringstijd wordt bijna volledig gedomineerd door LLM-inferentielatentie (96–99% van de tijd).
- Schaalbaarheid: Eenvoudige audits duurden ongeveer 20 minuten; complexe, meertraps audits duurden tot 85 minuten.
- Vergelijking: Vergelijken met een state-of-the-art codeeragent (Gemini CLI) met volledige toegang tot de code, leverde Agentic Witnessing zeer consistente resultaten op, hoewel de CLI sneller was vanwege het ontbreken van privacybeperkingen.

5. Betekenis

Koppeling losmaken van Verificatie en Openbaarmaking: Agentic Witnessing maakt verificatie van hoogwaardige semantische eigenschappen (logica, naleving, reproduceerbaarheid) mogelijk zonder de onderliggende ruwe data bloot te stellen.
De Kloof Overbruggen: Het vult de leegte tussen rigide cryptografische bewijzen (ZKPs) en menselijk vertrouwen, waardoor het auditen van ongestructureerde data zoals codebases, documenten en logs mogelijk wordt.
Regelgevende Impact: Het raamwerk biedt een levensvatbaar pad voor naleving van regelgeving zoals de EU AI Act, die derde-partijbeoordelingen vereist voor hoog-risico AI-systemen terwijl handelsgeheimen worden beschermd.
Toekomstig Paradigma: Het introduceert "Geverifieerd Redeneren" als een nieuwe abstractie, waarbij LLM's niet alleen als hulpmiddelen worden ingezet, maar als vertrouwde getuigen binnen beveiligde enclaves.

Concluderend demonstreert Agentic Witnessing dat door TEE's, cryptografische hashing en LLM-agents te combineren, het mogelijk is om rigoureuze, privacy-bewerkende audits van propriëtaire data uit te voeren, waarmee effectief de "reproduceerbaarheidscrisis" in wetenschappelijke publicatie wordt opgelost en veilige due diligence in de industrie mogelijk wordt gemaakt.