🤖 AI

Certified Purity for Cognitive Workflow Executors: From Static Analysis to Cryptographic Attestation

Dit artikel introduceert een gecertificeerde zuiverheidsarchitectuur die de governance van cognitieve werkstromen versterkt door runtime-conventies te vervangen door structurele grenzen via beperkte WebAssembly-compilering, cryptografische zuiverheidscertificaten en remote attestation, waardoor wiskundig wordt bewezen dat adversariële omzeilingen worden geëlimineerd terwijl een verwaarloosbare runtime-overhead wordt behouden.

Oorspronkelijke auteurs: Alan L. McCann

Gepubliceerd 2026-05-06

📖 5 min leestijd🧠 Diepgaand

CC0 1.0

Oorspronkelijke auteurs: Alan L. McCann

Oorspronkelijk artikel vrijgegeven aan het publieke domein onder CC0 1.0 (http://creativecommons.org/publicdomain/zero/1.0/). ✨ Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer

Stel je voor dat je een hoog-risico keuken runt waar een team van chefs (AI-agenten) complexe maaltijden (cognitieve workflows) bereidt voor VIP-gasten. De regels zijn streng: de chefs kunnen het menu plannen en opschrijven welke ingrediënten ze nodig hebben, maar ze zijn strikt verboden om daadwerkelijk aan het fornuis te komen, de koelkast te openen of de bezorgbesteller te bellen. Alleen de Hoofdchef (de "Governance Pipeline") mag die handelingen uitvoeren.

Lange tijd vertrouwde de keuken op een simpele regel: "Vertrouw de chefs om de regels te volgen." De keukenmanagers keken in de receptboeken van de chefs (statische analyse) om te zien of ze verboden instructies hadden opgeschreven. Als het recept er schoon uitzag, mocht de chef aan het werk.

Het Probleem: De "Goedkope Truc" Leegte
Het artikel legt uit dat dit "vertrouwen op het recept"-systeem een dodelijk gebrek heeft. Een vastberaden, sluwe chef kan goedkope trucs gebruiken om de regels te omzeilen zonder ze in het receptboek te schrijven. Op het specifieke keukenplatform dat ze gebruiken (genaamd BEAM/Erlang), kan een chef:

Iemand anders voordoen: Een functie op het laatste moment aanroepen bij naam, waardoor het feit dat ze een gevaarlijk hulpmiddel aanroepen wordt verborgen.
Nieuwe regels ter plekke schrijven: Terwijl ze koken een nieuwe opdracht intypen, waardoor ze effectief hun eigen recept halverwege de maaltijd herschrijven.
Een lijfwacht inhuren: Een geheim, vooraf geschreven hulpmiddel (een "NIF") laden dat alles kan doen, inclusief het openen van de koelkast.
Een boodschapper sturen: Een aparte persoon buiten de keuken spawnen om ingrediënten te halen.
Het receptboek verwisselen: Terwijl ze koken een volledig ander, gevaarlijk receptboek laden.

Omdat deze trucs terwijl de chef aan het werk is plaatsvinden, kan het bekijken van het receptboek van tevoren (statische analyse) ze niet opsporen. Het is als proberen een goochelaar te stoppen door hun zakken te controleren voor de show; ze hebben misschien een verborgen kaart die ze later tevoorschijn halen.

De Oplossing: De "Gecertificeerde Zuiverheid" Keuken
Dit artikel stelt een radicaal nieuw keukenontwerp voor dat deze goedkope trucs fysiek onmogelijk maakt, niet alleen tegen de regels.

1. De Nieuwe Keuken (WebAssembly Sandbox)
In plaats van chefs in de open keuken te laten werken, werken ze nu binnen een transparante, verzegelde glazen doos.

Geen Goede Trucs: Binnen deze doos bestaan de hulpmiddelen voor "verstoppen", "herschrijven" of "lijfwachten inhuren" simpelweg niet. De doos is zo gebouwd dat de enige manier om eruit te komen via een enkele, vergrendelde deur is.
De Whitelist: De doos heeft alleen een specifieke lijst met hulpmiddelen die het kan gebruiken (zoals een rekenmachine, een notitieblok en een "aanvraagformulier"). Het kan het fornuis of de koelkast niet aanraken. Als een hulpmiddel niet op de lijst staat, heeft de doos letterlijk geen handvat ervoor.

2. Het ID-Badge (Zuiverheidscertificaat)
Voordat een chef de keuken binnenkomt, moet hij een speciaal ID-badge krijgen.

Het Bewijs: Een vertrouwde autoriteit bekijkt de code van de chef (de "binary") en controleert of deze alleen de toegestane hulpmiddelen gebruikt.
De Zegel: Ze ondertekenen het badge met een cryptografische zegel (zoals een wasstempel). Deze zegel bewijst dat deze specifieke versie van de code van de chef schoon is.
De Anti-manipulatie: Als de chef probeert zijn code zelfs maar een beetje te wijzigen (om een geheim hulpmiddel toe te voegen), breekt de zegel. Het badge wordt ongeldig. Je kunt geen schoon badge van Chef A nemen en het aan een gewijzigde Chef B geven.

3. De Beveiligingsagent (Runtime Gate)
Wanneer een chef bij de keukendeur aankomt, controleert een beveiligingsagent het badge.

De Controle: De agent verifieert de zegel, controleert of de code overeenkomt met het badge, en bevestigt dat de vermelde hulpmiddelen nog steeds op de "toegestane" lijst staan.
Het Resultaat: Als het badge geldig is, komt de chef binnen. Zo niet, dan wordt hij onmiddellijk geweigerd. Dit gebeurt elke keer opnieuw voordat de chef begint met koken.

4. Het Passpoort voor Keukenoverschrijding (Remote Attestation)
Wat als Chef A in Keuken A werkt, maar Chef B uit Keuken B moet inhuren?

Chef B brengt een "Passpoort" (een attestatie-record) dat bewijst dat ze door hun eigen keukenbeveiliger zijn gecontroleerd en dat hun keuken dezelfde strenge regels volgt.
Keuken A kan dit passpoort lezen en Chef B vertrouwen zonder de broncode van Chef B te hoeven zien of een contract te hoeven tekenen. Het is een machine-leesbaar bewijs van vertrouwen.

Waarom Dit Belangrijk Is (De Resultaten)
Het artikel bewijst dat dit systeem wiskundig werkt:

Geen Leegtes: Omdat de "goede trucs" (omzeilingsklassen) structureel afwezig zijn in de nieuwe keuken, kan een sluwe chef ze letterlijk niet uitvoeren. Het is niet dat ze worden gepakt; het is dat ze niet kunnen gebeuren.
Snel: Het controleren van het badge kost minder dan een knipoog (ongeveer 40 microseconden). De extra tijd die het toevoegt aan het bereiden van een maaltijd is minder dan 0,4% van de tijd die het kost om op een bezorgtruck te wachten.
Trustless: Je hoeft de chef, de keukenmanager of de andere keuken niet te vertrouwen. Je hoeft alleen te vertrouwen op de wiskunde achter de zegel en het ontwerp van de glazen doos.

Samenvattend
Het artikel verplaatst governance van een bordje "Gelieve niet te stelen" (dat vertrouwt op mensen die regels volgen) naar een muur "Je kunt fysiek niet stelen" (dat vertrouwt op de structuur van het gebouw). Het verandert een belofte in een wiskundige garantie, zodat AI-agenten kunnen plannen en denken, maar ze nooit stiekem buiten de regels kunnen handelen.

Technische Samenvatting: Gecertificeerde Zuiverheid voor Uitvoerders van Cognitieve Werkstromen

1. Het Probleem: De Zuiverheidsgap in Cognitieve Werkstromen

Systeem voor cognitieve werkstromen (die AI-inferentie, toolgebruik en redenering coördineren) opereren steeds vaker in domeinen met hoge risico's. Eerder werk (McCann [2026e]) vestigde een drie-laags governance-architectuur die Governance Volledigheid, Provenantie Volledigheid en de Onmogelijkheid van Ongoverned Effecten garandeert. Deze veiligheidstheorema's berustten echter op een kritieke premiss: de Beperking tot Pure Modules, die vereist dat uitvoerders geen I/O-effecten mogen uitvoeren en uitsluitend declaratieve directives mogen retourneren.

In de vorige implementatie werd deze beperking afgedwongen via statische analyse van module-importgrafieken op de BEAM-virtuele machine (Erlang/OTP). Hoewel dit sterker is dan governance op basis van conventies, is dit mechanisme ontoereikend tegen adversariele omzeiling. De dynamische functies van BEAM staan vijf distincte klassen van omzeiling toe die statische analyse niet betrouwbaar kan voorkomen:

Dynamische Dispatch: Het gebruik van :erlang.apply/3 om willekeurige functies aan te roepen zonder statische imports.
Code Evaluatie: Het gebruik van Code.eval_string/1 om willekeurige code tijdens runtime uit te voeren.
Native Implemented Functions (NIFs): Het laden van gedeelde bibliotheken met onbeperkte systeemtoegang.
Ports: Het starten van externe processen via :erlang.open_port/2.
Dynamische Module-lading: Het laden van willekeurige bytecode tijdens runtime via :code.load_binary/3.

Vanwege Rices Theorema kan geen enkele statische analyse de niet-triviale semantische eigenschap "geen I/O-effecten" voor alle mogelijke programma's beslissen. Een sound overbenadering zou de meeste legitieme idiomatische Elixir-code verwerpen. Dit creëert een zuiverheidsgap: het formele model neemt zuiverheid aan, maar het afdwingingsmechanisme (statische analyse) kan dit structureel niet garanderen tegen een vastberaden adversary.

2. Methodologie: Van Detectie naar Structurele Preventie

Dit paper stelt een Gecertificeerde Zuiverheidsarchitectuur voor die de beperking tot pure modules omzet van een conventie die wordt afgedwongen door analyse, naar een structurele capability-grens die wordt afgedwongen door de uitvoeringsomgeving. De methodologie rust op vier kernmechanismen:

A. Beperkt Compilatie-Doel (WebAssembly)

Uitvoerders worden gecompileerd naar een beperkt WebAssembly (WASM)-doel. Het capability-model van WASM wordt benut om alle vijf de BEAM-omzeilingsklassen structureel te elimineren:

Geen Dynamische Dispatch: WASM mist instructies om functie-oproepen op te lossen via runtime string- of atoomnamen; oproepen zijn beperkt tot statische indices in een functietabel.
Geen Code Evaluatie: WASM voert vooraf gecompileerde bytecode uit; er is geen mechanisme om tijdens runtime nieuwe code te genereren of te laden.
Geen NIFs/Ports: WASM-modules draaien in een gesandboxe VM zonder toegang tot host-bestandssystemen, gedeelde bibliotheken of het starten van processen.
Geen Dynamische Lading: Module-instantiatie wordt volledig gecontroleerd door de host; modules kunnen geen andere modules laden.

B. De Host-Functie Whitelist ( $W$ )

De WASM-module kan uitsluitend functies aanroepen die expliciet zijn gedeclareerd in zijn importsectie. Deze imports zijn beperkt tot een eindige, genummerde Whitelist ( $W$ ):

$W_{data}$ : Pure data-operaties (geheugenbeheer, stringmanipulatie, rekenkunde, JSON-serialisatie, contextlezingen).
$W_{dir}$ : Directive-constructors (functies die datastructuren bouwen die beoogde effecten vertegenwoordigen, zoals directive_http_request, maar deze niet uitvoeren).
Uitsluiting: WASI (WebAssembly System Interface)-imports, die effect-capabilities verlenen, worden expliciet uitgesloten.

C. Zuiverheidscertificaten

Een Zuiverheidscertificaat is een cryptografisch bewijsartefact dat een uitvoerderbinary koppelt aan zijn zuiverheidsclassificatie.

Structuur: Bevat de SHA-256-hash van de uitvoerderbinary, de hash van het zuiverheidsbewijs (importlijst + classificatie), en een Ed25519-handtekening over deze hashes.
Integriteit: Vanwege de botsingsbestendigheid van SHA-256 en de onnabootsbaarheid van Ed25519 kan een certificaat niet worden overgedragen aan een gewijzigd artefact.

D. Verificatiepoort tijdens Runtime

Voordat een uitvoerder de governance-pijplijn binnenkomt, voert een Verificatiepoort het volgende uit:

Handtekeningverificatie: Valideert de Ed25519-handtekening.
Artefactbinding: Bevestigt dat de binary-hash overeenkomt met het certificaat.
Onafhankelijke Bewijsafleiding: Parseert de importsectie van de WASM-binary de novo en verifieert dat deze overeenkomt met het beweerde zuiverheidsbewijs tegen de huidige whitelist.
Classificatievalidatie: Zorgt ervoor dat alle imports zijn geclassificeerd als zuiver.

Alleen uitvoerders die deze poort passeren, worden geïnstancierd. Deze poort fungeert als een structurele preconditie, waardoor wordt gegarandeerd dat geen enkele uitvoerder zonder een geldig zuiverheidscertificaat kan worden uitgevoerd.

3. Belangrijkste Bijdragen

Formeel Bedreigingsmodel: Een rigoureuze karakterisering van de vijf BEAM-omzeilingsklassen en de theoretische grenzen van statische analyse (Rices Theorema) in deze context.
Structurele Zuiverheid door Constructie: Een bewijs (Theorema 4.5) dat compilen naar het beperkte WASM-doel de beperking tot pure modules door constructie voldoet, onafhankelijk van de inhoud van de uitvoerdercode.
Eliminatie van Omzeiling: Formele bewijzen (Theorema 5.5) dat elke van de vijf BEAM-omzeilingsklassen structureel onmogelijk is in de beperkte WASM-omgeving.
Cryptografische Attestatie: Een schema voor Zuiverheidscertificaten en Records voor Remote Attestatie dat draagbare, organisatorische verificatie van uitvoerderzuiverheid mogelijk maakt zonder toegang tot broncode.
Definitie van Trusted Computing Base (TCB): Een expliciete definitie van de vijf componenten die vereist zijn voor de garantie (WASM-runtime, host-functies, whitelist, verificatiepoort, directive-interpretator), waardoor het vertrouwensoppervlak wordt gereduceerd van onbegrensde uitvoerdercode naar een begrensd, auditabel set.
Gegradueerde Vertrouwensniveaus: Een implementatiearchitectuur die drie niveaus ondersteunt (Geverifieerde Zuiverheid, Statische Analyse, Experimenteel) om incrementele adoptie mogelijk te maken.

4. Resultaten en Evaluatie

De architectuur werd geëvalueerd op vier geïmplementeerde uitvoerders (Rust-gebaseerd, gecompileerd naar WASM) die draaiden op een Apple M-serie processor met de Wasmtime JIT-backend.

Verificatielatentie: De verificatiepoort duurt 39–42 µs (mediaan) voor productie-uitvoerders. Met hash-gebaseerde caching nadert de geamortiseerde kosten nul voor herhaalde oproepen.
Runtime-overhead: De volledige plancyclus (instantiatie, uitvoering, deserialisatie) wordt voltooid in 256–398 µs. Dit vertegenwoordigt <0,4% overhead op een 100 ms HTTP-request en <0,05% op een typische 800 ms LLM-call.
Determinisme: Er werden geen divergenties waargenomen over 40 herhaalde oproepen met identieke inputs, wat de deterministische aard van de WASM-uitvoeringsomgeving bevestigt.
Certificaatgrootte: Certificaten zijn compact (~1,3 KB), ruim binnen bandbreedtebudgetten.
Correctheid: Alle uitvoerders produceerden de verwachte directive-vormen, en het systeem behield byte-identieke outputs over runs.

5. Betekenis en Claims

Het paper claimt een fundamentele verschuiving in de epistemologische status van governance-garanties:

Van Detectie naar Preventie: Vorige benaderingen leunden op het detecteren van bekende omzeilingspatronen via statische analyse. Deze architectuur voorkomt omzeiling door effect-producerende capabilities structureel afwezig te maken.
Versterking van Bestaande Theorema's: De veiligheidstheorema's uit McCann [2026e] (Governance Volledigheid, Provenantie Volledigheid, Geen Ongoverned Effecten) blijven formeel identiek. Hun fundamentele premiss wordt echter mechanisch afgedwongen in plaats van aangenomen. De garantie rust nu op de wiskundige eigenschappen van het WASM capability-model en cryptografische primitieven (SHA-256, Ed25519) in plaats van op de beperkingen van een statische analyzer.
Draagbaar Vertrouwen: Door lokale zuiverheidsbewijzen om te zetten in draagbare attestatierecords, maakt de architectuur cross-organisatorische governance-compositie mogelijk, waardoor Organisatie A cryptografisch de zuiverheid van de uitvoerders van Organisatie B kan verifiëren zonder broncode-review.

Het paper merkt expliciet op dat dit geen gemecaniseerd bewijs is in de zin van Rocq of Lean (wat is voorbehouden aan de onderliggende governance-logica in companion papers), maar een structurele garantie die tijdens runtime wordt geverifieerd. De bijdrage is de reductie van het vertrouwensoppervlak van "alle uitvoerdercode" naar een klein, expliciet gedefinieerd Trusted Computing Base.