🤖 AI

From Specification to Deployment: Empirical Evidence from a W3C VC + DID Trust Infrastructure for Autonomous Agents

Dit artikel presenteert MolTrust, een in productie ingezette vertrouwensinfrastructuur voor autonome agenten gebaseerd op W3C Verifiable Credentials en Decentralized Identifiers, die de haalbaarheid aantoont van het implementeren van een draagbare, cryptografisch verifieerbare en door het kernel afgedwongen vertrouwenslaag die voldoet aan de convergerende regelgevende en industriële eisen voor veilige autonome AI-transacties.

Oorspronkelijke auteurs: Lars Kersten Kroehl

Gepubliceerd 2026-05-11

📖 5 min leestijd🧠 Diepgaand

CC BY 4.0

Oorspronkelijke auteurs: Lars Kersten Kroehl

Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer

Stel je een bruisende digitale markt voor waar duizenden robotwerkers (autonome AI-agenten) met elkaar kopen, verkopen en handelen. Op dit moment is deze markt chaotisch. Een robot kan beweren een betrouwbare bank te zijn, maar er is geen manier om dit te bewijzen. Een andere kan beloven strikte veiligheidsregels te volgen, maar zodra het aan het werk gaat, kan het die negeren. Er is geen gedeelde "identiteitskaart" of "reputatiesysteem" waar iedereen het over eens is.

Dit artikel, getiteld MolTrust, presenteert een oplossing die al live en operationeel is. Het is als het bouwen van een universele, onbreekbare identiteitskaart en een "zwart boek" met gedragsgegevens voor elke robot, zodat ze elkaar kunnen vertrouwen zonder dat een menselijke baas elke transactie hoeft te bewaken.

Hier is hoe het systeem werkt, opgesplitst in eenvoudige concepten:

1. De Drie Grote Vragen

Voordat een robot zaken mag doen, moet het drie vragen beantwoorden die mensen eeuwenlang hebben beantwoord met paspoorten en kredietwaardigheid:

Wie ben je? (Is dit dezelfde robot waarmee ik gisteren sprak?)
Mag je dit doen? (Heeft deze robot toestemming om geld uit te geven of toegang te krijgen tot gegevens?)
Heb je een goed burger geweest? (Heeft het in het verleden consequent gehandeld in overeenstemming met zijn beloften?)

MolTrust beantwoordt deze met drie hoofdtools: Identiteit, Autorisatie en Gedragsregistraties.

2. De "Agent Authorization Envelope" (AAE) – Het Contract van de Robot

Stel je de AAE voor als een digitaal, vervalste bestendige contract dat bij elke robot hoort. Het is niet zomaar een stuk papier; het is een machineleesbare reeks regels die zegt:

MANDAAT: "Je mag koffie kopen, maar je mag GEEN auto kopen."
BEPERKINGEN: "Je mag alleen $50 uitgeven, en alleen tussen 09:00 en 17:00 uur."
GELDIGHEID: "Dit contract is alleen geldig tot volgende dinsdag."

Als een robot probeert deze regels te breken, weet het systeem dit direct.

3. Het Drie-Lagen Veiligheidswachtersysteem

Dit is het meest unieke kenmerk van het artikel. Meestal vinden veiligheidscontroles binnen het brein van de robot plaats (zijn software). Als de robot gehackt wordt of besluit te liegen, kan het zijn fouten verbergen. MolTrust voegt twee extra veiligheidslagen toe die de robot niet kan controleren:

Laag 1 (De Handtekening): Een cryptografisch zegel (zoals een wasstempel op een brief) dat bewijst dat het contract niet is gewijzigd. Iedereen kan dit zegel controleren.
Laag 2 (De Portier): Een digitale portier bij de deur. Voordat de robot een transactie betreedt, controleert de portier het zegel en de regels. Als de "Trust Score" van de robot te laag is, zegt de portier "Geen toegang."
Laag 3 (De Kernel Watchdog): Dit is de tovertruc. Het artikel beschrijft een speciale monitor (met behulp van een technologie genaamd Falco eBPF) die onder het besturingssysteem van de robot zit. Het is als een beveiligingscamera die in de vloerplanken van een huis is geïnstalleerd. Zelfs als de robot (de persoon in het huis) probeert te verbergen wat het doet of te liegen over zijn acties, ziet de camera in de vloer elke beweging. De robot kan deze camera niet uitschakelen. Als de robot probeert een bestand te schrijven dat het niet mocht, vangt de camera het en registreert het een "overtreding" die niet gewist kan worden.

4. De "Reputatiescore" en het "Sybil"-Probleem

In deze wereld proberen slechte actoren honderden neprobots te creëren (genaamd "Sybils") om het systeem te bedriegen. MolTrust bestrijdt dit met een slim "Sociaal Krediet"-systeem:

Cross-Vertical Diversiteit: Om een hoge vertrouwensscore te krijgen, heeft een robot aanbevelingen nodig van verschillende soorten mensen (bijvoorbeeld een reisagent, een winkelier en een sportfunctionaris). Het is zeer moeilijk voor een oplichter om relaties te vervalsen in drie volledig verschillende industrieën.
De "Twee-Handtekening"-Regel: Elke keer dat twee robots interageren, moeten ze beide een ontvangstbewijs ondertekenen. Je kunt geen ontvangstbewijs vervalsen als je ook de handtekening van de andere persoon nodig hebt.
De "Slechte Ouder"-Regel: Als een robot in de problemen komt, wordt het record niet alleen aan de naam van die robot gekoppeld; het wordt gekoppeld aan de eigenaar van de robot. Als de eigenaar probeert de slechte robot te verwijderen en een nieuwe te maken, draagt de nieuwe nog steeds het "slechte ouder"-merk. Je kunt je handen niet wassen van een slechte reputatie door je naam te veranderen.

5. Wat Is Er Eigenlijk Gedaan?

Het artikel beweert dat dit niet zomaar een theorie is. Het is een live systeem dat sinds maart 2026 draait.

Het wordt momenteel gebruikt in 8 verschillende industrieën (zoals reizen, muziek en sport).
Het heeft duizenden interacties verwerkt.
Het is getest tegen andere beveiligingssystemen om te bewijzen dat het met hen kan communiceren (interoperabiliteit).
Het heeft een reeks van 9 specifieke beveiligingscontroles doorstaan (zoals het controleren op verborgen wachtwoorden of zwakke encryptie).

De Conclusie

Het artikel betoogt dat de technologie om AI-agenten veilig en betrouwbaar te maken vandaag de dag bestaat. Het hoeft niet te wachten op nieuwe wetten of nieuwe supercomputers. Door standaard digitale identiteitskaarten (W3C Verifiable Credentials) te combineren met een "vloerplank-camera" die elke beweging van de robot bewaakt, creëert MolTrust een systeem waarin robots met vertrouwen zaken kunnen doen, zelfs als ze elkaar niet kennen.

Belangrijke Opmerking over Beperkingen:
De auteurs zijn zeer eerlijk over wat ze nog niet hebben gedaan. Het systeem is momenteel klein (ongeveer 54 robots). Ze zijn nog niet aangevallen door een enorm leger van slechte bots, en ze hebben nog geen onafhankelijk beveiligingsteam gehad dat het probeerde te breken. Ze zeggen: "We hebben de motor gebouwd en hij draait, maar we hebben hem nog niet in een orkaan gereden."

Technische Samenvatting: MolTrust-protocol — Van specificatie tot implementatie

1. Probleemstelling

De snelle overgang van autonome AI-agenten van onderzoek naar commercie op productieschaal heeft een kritieke "vertrouwenskloof" blootgelegd. Begin 2026 rapporteren platformen zoals Agent.market 69.000 autonome bots die 165 miljoen transacties uitvoeren zonder een gedeelde vertrouwenslaag. Bestaande identiteitsinfrastructuur (OAuth 2.0, SAML, LDAP) is ontworpen voor menselijke gebruikers of statische serviceaccounts en faalt bij agent-klonen, herimplementatie of migratie tussen platformen.

Toezichthoudende instanties (Singapore IMDA, NIST CAISI, EU AI Act) en grote AI-laboratoria (Anthropic, Google) zijn onafhankelijk tot een structurele vereiste gekomen: een open, draagbare, cryptografisch verifieerbare vertrouwensinfrastructuur voor autonome agenten. De specifieke vragen die deze infrastructuur moet beantwoorden zijn:

Identiteit: Is dit dezelfde agent waarmee ik eerder heb geïnterageerd?
Autorisatie: Is deze agent gemachtigd om te doen wat hij beweert?
Gedragconsistentie: Heeft deze agent consequent gehandeld volgens zijn gedeclareerde parameters?

Huidige oplossingen zijn óf platform-gebonden (bijv. Microsoft Entra Agent ID) óf theoretische kaders zonder productiedwang.

2. Methodologie en Systeemarchitectuur

Het MolTrust-protocol is een op productieniveau ingezette implementatie van een vertrouwensinfrastructuur gebaseerd op W3C Verifiable Credentials (VC) 2.0 en Decentralized Identifiers (DID) v1.0, met ankerpunten op de Base Layer 2-blockchain. Het systeem is georganiseerd rond vier primitieven, een verantwoordelijkheidsketen van vijf partijen en een handhavingsarchitectuur van drie lagen.

2.1 Vier Kernprimitieven

Identiteit: Agenten krijgen globaal unieke, cryptografisch verifieerbare DIDs toegewezen (bijv. did:moltrust). Eigendom wordt bewezen via Ed25519-privésleutels, wat stabiliteit garandeert bij herimplementatie en migratie.
Autorisatie: Relaties tussen agenten en principalen worden uitgedrukt als W3C-VC's. Deze credentials zijn digitaal ondertekende, vervalsing-gevoelige attestaties die toegestane acties, voorwaarden en geldigheidsperiodes beschrijven.
Gedragsregistratie: Interacties genereren Interaction Proof Records (IPR's). Dit zijn bilaterale, dubbel-ondertekende cryptografische records van specifieke interacties, die in Merkle-batches op de blockchain worden verankerd. IPR's voeden de berekening van een Trust Score.
Draagbaarheid: Alle bewijsstukken (DID's, VC's, IPR's) worden uitgedrukt in open, platformonafhankelijke formaten, waardoor credentials die door één organisatie zijn uitgegeven, door elke tegenpartij kunnen worden geverifieerd.

2.2 Verantwoordelijkheidsketen van Vijf Partijen

Het protocol formaliseert een cryptografisch verifieerbare keten van verantwoordelijkheid:
Ontwikkelaar → Eigenaar → Agent → Instructeur → Tegenpartij
Cruciaal is dat Agent-DID's losgekoppeld zijn van Ontwikkelaar-DID's. Als de credential van een Ontwikkelaar wordt ingetrokken, worden de door hen ingezette agenten niet automatisch ongeldig, waardoor single points of failure worden voorkomen terwijl traceerbaarheid behouden blijft.

2.3 Agent Authorization Envelope (AAE)

De AAE is een machine-evalueerbare structuur die autorisatiegrenzen afdwingt. Deze bestaat uit drie normatieve blokken:

MANDAAT: Definieert toegestane doeleinden (bijv. commerce, data_read) en URI-patronen voor toegestane/ontzegde acties.
BEPERKINGEN: Definieert operationele grenzen (tijdsvensters, financiële drempels, jurisdicties, minimale Trust Scores van tegenpartijen).
GELDIGHEID: Definieert de identiteit van de uitgever, binding aan de houder, verplichte vervaldatum en intrekkingseindpunten.
De AAE dwingt vier validatieregels af: default-deny, deny-precedence, attenuation-only delegation en mandatory expiry.

2.4 Handhavingsarchitectuur van Drie Lagen

Om "beleidswijziging tussen autorisatie en uitvoering" te voorkomen, dwingt MolTrust beperkingen af op drie distincte lagen:

Laag 1 (Cryptografisch): Ed25519-handtekeningen en RFC 8785 canoniek JSON zorgen ervoor dat AAE-grenzen bij uitgifte vervalsing-proof zijn.
Laag 2 (API): Het register dwingt beperkingen af op applicatieniveau, inclusief Trust Score-poorten, levenscyclusbeheer van credentials en propagatie van intrekking.
Laag 3 (Kernel): Falco eBPF-integratie bewaakt agentgedrag op het niveau van Linux-systeemoproepen (syscall). Als een agent een actie probeert buiten zijn AAE (bijv. schrijven naar een verboden bestand), detecteert Falco de syscall-poging en reikt een bewijs van overtreding aan MolTrust. Deze handhaving werkt onder de procesgrens van de agent, waardoor het onmogelijk is voor de eigen runtime van de agent om het detectiesignaal te onderdrukken of te wijzigen.

2.5 Sybil-resistentiemechanismen

De Trust Score (0–100) wordt berekend met een gewogen formule ( $\alpha=0.6$ direct, $\beta=0.3$ gepropageerd, $\gamma=0.1$ cross-verticaal) en bevat specifieke verdedigingen tegen identiteitsfabricage:

Dubbel-ondertekende IPR's: Vereist handtekeningen van zowel initiator als responder, wat zelf-endorsement voorkomt.
Cross-Verticale Diversiteitspoort: Niet-zaden-agenten moeten endorsements ontvangen van minimaal drie verschillende verticalen (bijv. commerce, reizen, vaardigheid). Falen resulteert in een enorme straf (scorenultelling).
Jaccard-ähnlijkheidsdetectie: Identificeert gecoördineerde clusters waar agenten >80% van hun endorseurs delen, met toepassing van een evenredige scorestraf.
Principal-DID-gekoppelde Overtredingen: Overtredingsrecords blijven behouden bij de Principal DID, waardoor agenten niet kunnen ontsnappen aan een negatieve geschiedenis door zich opnieuw te registreren onder nieuwe DID's.

3. Belangrijkste Bijdragen en Resultaten

Het artikel presenteert twee primaire bijdragen, gevalideerd door een live implementatie sinds maart 2026:

Claim A: Productie-implementatie en Empirische Validatie

MolTrust demonstreert dat de vertrouwensinfrastructuur die door toezichthouders en de industrie wordt vereist, vandaag implementeerbaar is. Het systeem is operationeel in acht credential-verticale (Core Identity, Commerce, Travel, Skill Verification, Prediction Markets, Brand Protection, Music, Sports Integrity).

Handhaving op Kernel-niveau: De Falco eBPF-integratie biedt de eerste productie-implementatie van AAE-handhaving op kernel-niveau, werkend onder de procesgrens van de agent.
Reproduceerbare Conformiteit: Het systeem bevat een gepubliceerde specificatie (CONFORMANCE.md v1.0) met vijf reproduceerbare testvectoren (TV-001 tot TV-005) die zijn geverifieerd tegen onafhankelijke implementaties (qntm Authority Constraints en APS Provider Attestation).
Gelaagde Sybil-resistentie: De combinatie van dubbel-ondertekende bewijzen, cross-verticale poorten en principal-gekoppelde persistentie biedt een multidimensionale verdediging tegen identiteitsfabricage.

Claim B: Interoperabiliteit tussen Protocollen

Het artikel demonstreert interoperabiliteit op protocolniveau niet door bewering, maar door gedeelde primitieven.

Gedeelde Primitieven: Door het gebruik van Ed25519-handtekeningen en RFC 8785 canoniek JSON zijn MolTrust-artefacten verifieerbaar door onafhankelijke protocollen (qntm, APS) zonder formatconversie.
Live Verificatie: Testvectoren zijn reproduceerbaar door elke partij tegen het live eindpunt (api.moltrust.ch).
Betalingssamenstelling: Het systeem integreert met betalingsprotocollen (x402, MPP) via een uniforme requireScore()-API, waardoor trust-verificatie wordt losgekoppeld van specifieke betalingsrails.

Empirisch Bewijs

Implementatie: Operationeel sinds maart 2026 met 44.355 agenten geïndexeerd via een ERC-8004-scanner.
Beveiligingsmappings: Het protocol koppelt aan drie onafhankelijke threat-taxonomieën:
- Singapore IMDA Framework: Adresseert volledig Risk Bounding en Technical Controls; adresseert gedeeltelijk Human Accountability (HITL-interface op de roadmap).
- Mao et al. Aanvalsvectoren: Dekt 8 van de 12 vectoren (bijv. Principal-naar-Taak, Taak-naar-Ressource); sluit expliciet Model Integrity (M2A) en Oracle Integrity (O2P) uit als buiten het bestek.
- Ferrag et al. Threat-domeinen: Adresseert direct Protocol Vulnerabilities; indirecte verdediging tegen Input Manipulation via verantwoordelijkheidssporen.
Conformiteitscontroles: Een "SKILL AUDIT" voert negen geautomatiseerde checks uit die zijn gekoppeld aan CWE-identificatoren (bijv. CWE-798 voor hardcoded credentials, CWE-347 voor handtekeningverificatie).

4. Betekenis en Beperkingen

Betekenis

Het artikel betoogt dat de primaire bijdrage evidence-first implementatie is. Hoewel academische kaders (bijv. TIVA, SAGA) en industriegerichtlijnen (Anthropic, Google) de noodzaak van een gedeelde vertrouwenslaag hebben geïdentificeerd, is MolTrust de eerste die aantoont dat deze laag vandaag implementeerbaar is met W3C-gestandaardiseerde primitieven. Het valideert dat:

De "LLM-in-sole-charge"-beperking geïdentificeerd door Rodriguez Garzon et al. kan worden aangepakt door handhaving op kernel-niveau.
Vertrouwen tussen organisaties kan worden gevestigd zonder een gecentraliseerde Provider (in tegenstelling tot SAGA).
Regulatorische vereisten (IMDA, NIST, EU AI Act) kunnen worden voldaan door technische controles (AAE, IPR's, Trust Scores) in plaats van alleen beleid.

Beperkingen

De auteurs begrenzen hun claims expliciet door de huidige schaal en volwassenheid van het systeem:

Schaal: Het register opereert met 54 geregistreerde agenten en 57 endorsements (per april 2026). Adversarial-scale validatie (bijv. red-team Sybil-campagnes met 100+ agenten) is niet uitgevoerd.
Heuristieken: Sybil-detectieparameters (Jaccard-drempel 0,8, 3-verticale poort) zijn empirisch gekalibreerd, niet formeel bewezen als optimaal.
Uitdrukkingskracht: De AAE gebruikt URI-patroonmatching in plaats van volledige Datalog, wat complexe conditionele autorisatie beperkt (gepland voor v0.9).
Kernel-bypass: Handhaving op Laag 3 gaat uit van niet-geprivilegieerde containers; geprivilegieerde containers of host-kernel compromissen kunnen eBPF-monitoring omzeilen.
Audit: Er is geen beveiligingsaudit door derden in opdracht gegeven; het systeem vertrouwt op interne reviews en geautomatiseerde conformiteitscontroles.

Concluderend biedt MolTrust een functioneel, productieklaar blauwdruk voor vertrouwen in autonome agenten, die de kloof overbrugt tussen theoretische standaarden en operationele realiteit, terwijl wordt erkend dat empirische validatie op de schaal van de bredere agent-economie een toekomstige vereiste blijft.