🤖 AI

KYA: A Framework-Agnostic Trust Layer for Autonomous Systems with Verifiable Provenance and Hierarchical Policy Composition

KYA is een open-source, framework-onafhankelijke vertrouwenslaag voor autonome systemen die vijf kernprimitieven inzet – waaronder een beveiligde vier-poort toepassingpijplijn, hiërarchische beleidscompositie en een geünificeerde vertrouwensscore – om agentdrift, lekken en adversariale aanvallen te detecteren, terwijl sub-milliseconde latentie en een hoge doorvoer worden gehandhaafd.

Oorspronkelijke auteurs: Kolawole Quadri

Gepubliceerd 2026-05-26

📖 5 min leestijd🧠 Diepgaand

CC BY 4.0

Oorspronkelijke auteurs: Kolawole Quadri

Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer

Stel je voor dat je een vloot autonome robots (AI-agenten) hebt die voor je werken. Ze solliciteren voor leningen, sorteren medische patiënten of handelen in aandelen. De tools die we momenteel gebruiken om deze robots in de gaten te houden (zogenaamde "observability") zijn als het dashboard van een auto: ze vertellen je of de motor heet loopt, of de auto traag rijdt of of een onderdeel kapot is.

KYA (Know Your Agents) is een nieuw systeem dat niet alleen de motor in de gaten houdt; het fungeert als een beveiliger, een rechercheur en een notaris in één. Het beantwoordt de vragen die het dashboard niet kan beantwoorden: Liegt deze robot? Drijft hij af van koers? Lekt hij geheimen? En als er iets misgaat, wie is dan eigenlijk verantwoordelijk?

Hieronder wordt uitgelegd hoe KYA werkt, opgesplitst in vijf eenvoudige onderdelen met dagelijkse analogieën:

1. De Vier-poortse Veiligheidscontrole (De "Portier")

Voordat een AI-agent iets nieuws mag doen of zijn regels mag wijzigen, moet hij door vier strenge veiligheidsporten. Denk hierbij aan een hoogbeveiligde bankkluis:

Poort 1: Heeft de persoon die de sleutel heeft, dit verzoek daadwerkelijk ondertekend? (Controle van digitale handtekening).
Poort 2: Is dit verzoek nog geldig, of is het verlopen? (Tijdcontrole).
Poort 3: Maakt dit verzoek de regels strenger of laxer? KYA staat alleen toe dat regels strenger worden (veiliger), nooit laxer. Het is alsof een ouder zegt: "Je mag meer klusjes toevoegen, maar je mag de klusjes die je al hebt niet verwijderen."
Poort 4: Heeft een mens daadwerkelijk "ja" gezegd? Standaard moet een mens de wijziging goedkeuren.

2. De Alleen-verstrakken-regel (De "Veiligheidsrooster")

Stel je een regelboek voor voor je robots. Het bedrijf (het platform) stelt de basisregels vast. Jij (de huurder) kunt je eigen strengere regels erbovenop toevoegen, maar je kunt de veiligheidsregels van het bedrijf nooit verwijderen.
KYA gebruikt een speciaal wiskundig systeem om ervoor te zorgen dat, ongeacht hoeveel mensen regels toevoegen, het systeem nooit per ongeluk minder veilig wordt. Het is als een stapel veiligheidsnetten: je kunt meer netten toevoegen, maar je kunt er nooit één van onderuit weghalen.

3. KYP: "Know Your Principal" (De "Universele Identiteitskaart")

In het verleden hadden we aparte identiteitskaarten voor mensen, aparte scores voor robots en aparte logs voor geautomatiseerde scripts. KYA zet ze allemaal op één enkel identiteitskaartsysteem.
Of de actor nu een menselijke werknemer, een AI-robot of een achtergrondscript is, KYA geeft hen een "Vertrouwensscore". Als een robot zich begint mis te gedragen, daalt zijn score. Als een mens een fout maakt, daalt hun score. Het behandelt iedereen op dezelfde manier, waardoor het gemakkelijk is om te zien wie betrouwbaar is en wie risicovol.

4. De "Interactie-veelvoud" (De "Gevaarlijke Combinatie")

Soms is een enkele actie prima, maar zijn twee acties samen gevaarlijk.

Voorbeeld: Een robot een "schrijf"-tool geven is riskant. Een robot toegang geven tot "privégegevens" is riskant.
De Veelvoud: Als je een robot zowel een schrijf-tool als toegang tot privégegevens geeft, is het gevaar niet alleen "riskant + riskant". Het is "supergevaarlijk".
KYA heeft een speciale lijst van deze "gevaarlijke combinaties". Wanneer het ze ziet, vermenigvuldigt het de risicoscore, waardoor de menselijke operator wordt gewaarschuwd dat deze specifieke combinatie extra scrutiny vereist.

5. De "Schuldspel" (De "Verantwoordelijkheid van de Orkestrator")

Dit is een van de belangrijkste functies. Stel je een "Manager-robot" voor die drie "Werkrobotjes" huurt om een klus te doen. Als één Werkrobotje de baas wordt en data steelt, wie krijgt dan de schuld?

Oude manier: De Werkrobot krijgt de schuld. De Manager-robot loopt er schoon vandaan.
KYA-methode: De Manager-robot krijgt de schuld.
KYA gaat ervan uit dat als je een riskante werknemer huurt, jij verantwoordelijk bent voor wat ze doen. Als een sub-agent zich misdraagt, trekt het systeem direct punten af van de vertrouwensscore van de Manager. Dit voorkomt dat managers zich verstoppen achter "schone" sub-agenten om vuile werk te doen.

Hoe het Bewijs behandelt (Het "Verstoorde Dagboek")

Elke keer dat een agent iets doet, schrijft KYA het in een digitaal dagboek. Maar dit is niet zomaar een logboek; het is een cryptografisch geketend dagboek.

Elke vermelding is gekoppeld aan de vorige met een speciaal wiskundig slot (HMAC).
Als iemand probeert terug te gaan en een oude vermelding te wijzigen (zoals het wissen van een fout), breekt het slot en wordt het hele dagboek gemarkeerd als "verstoord".
Dit creëert een voor de rechtbank toelaatbaar verslag van precies wat er gebeurd is, wie het heeft gedaan en wanneer.

Wat het Artikel Eigenlijk Vond

De auteurs testten dit systeem met enkele zware uitdagingen:

Snelheid: Het is ongelooflijk snel. Het kan duizenden agenten per seconde controleren zonder ze te vertragen.
Compatibiliteit: Het werkt met meer dan 15 verschillende soorten AI-frameworks (zoals LangChain, CrewAI, enz.). Het maakt niet uit welke software je gebruikt; KYA past erbovenop.
Hacktests: Het team huurde "red team"-hackers in om de agenten te proberen te misleiden. KYA ving 89% van de aanvallen op, waaronder een zeer lastige nieuwe aanvalstijp waarbij hackers een keten van robots gebruiken om hun sporen te verbergen.
Realistische Scenario's: Ze testten het op een gesimuleerd bankleningssysteem en een ziekenhuis triagesysteem. In beide gevallen slaagde het erin risicovolle agenten te identificeren en slecht gedrag terug te traceren naar de juiste persoon (of robot).

De Conclusie

KYA is een open-source tool (gratis te gebruiken) die zich bevindt tussen je AI-agenten en de echte wereld. Het vertelt je niet alleen of de AI werkt; het vertelt je of de AI veilig, eerlijk en verantwoordelijk is. Het zorgt ervoor dat als een AI een fout maakt, we precies weten wie we ter verantwoording moeten roepen, en we een verstoorde record hebben om dit te bewijzen.

Technische Samenvatting: KYA (Know Your Agents)

Probleemstelling

Huidige observabiliteitsplatforms voor autonome agenten (bijv. LangSmith, Langfuse) volgen operationele metrieken zoals latentie, kosten en foutpercentages effectief. Echter, ze missen de mogelijkheid om agentidentiteit, bewijsmateriaal-provenance en afdwingbare gedragscontracten aan te pakken. Specifiek produceren bestaande tools geen governance-artefacten die gebonden zijn aan agentidentiteit, cryptografisch verifieerbaar zijn en door derden kunnen worden geverifieerd. Deze lacune laat operators in de steek om definitief vast te stellen of een agent afwijkt, data lekt of de controle verliest, en ze kunnen ook niet de cryptografische audittrails leveren die vereist zijn door opkomende regelgeving zoals de EU AI Act, NIST AI RMF en ISO 42001.

Methodologie

KYA (Know Your Agents) is een open-source, framework-onafhankelijke vertrouwens- en governance-laag die ontworpen is om naast observabiliteitstools te functioneren in plaats van deze te vervangen. Het werkt als een gecoördineerde stack van vier onderdelen:

Core SDK (veldt-kya): Een pure Python-bibliotheek die vertrouwensscores, bewijsketens en beleidscompositie verwerkt.
Framework Hooks (kya_hooks): In-process integraties voor meer dan 15 agentframeworks (bijv. LangChain, CrewAI, OpenAI Agents) die canonieke events uitzenden.
Telemetry Bridge (kya_otlp_bridge): Een sidecar die OpenTelemetry-spans inleest en deze mapt naar KYA-signalen.
Red Team Module (kya_redteam): Een out-of-band tool voor adversariele probing met PyRIT en Garak.

Het systeem vertrouwt op vijf kernprimitieven om de kloof tussen telemetrie en governance te overbruggen:

1. Vier-poort Inbound Apply-pijplijn

Om beleidsupdates en gefedereerde aanbevelingen te beheren, hanteert KYA een strikte vier-poort pijplijn:

Poort 1: Ed25519-ondertekingsverificatie met multi-anchor pinning.
Poort 2: Verloopcontrole op het moment van persistentie (voorkomt replay-aanvallen).
Poort 3: "Alleen-verstrakken"-compositie (beleidsregels kunnen platformstandaarden beperken, maar nooit verzwakken).
Poort 4: Operator-goedkeuring als standaardtoestand; automatische toepassing is beperkt tot specifieke toelatingslijsten.

2. Alleen-verstrakken Compositie-algebra

KYA introduceert een formele algebra voor hiërarchische beleidscompositie over drie kanalen: platformstandaarden, tenant-overschrijvingen en ondertekende externe aanbevelingen. Dit systeem dwingt een verfijningscalculus af waarbij tenant-overschrijvingen alleen platformgewichten kunnen beperken (verstrakken), nooit verzwakken. Deze eigenschap is formeel bewezen als sound (Lemma 1) en voorkomt dat gecompromitteerde verzamelaars of externe aanbevelingen de beveiligingspositie van een tenant verzwakken.

3. KYP (Know Your Principal) Unified Trust Taxonomie

KYA verenigt vertrouwensscores voor drie soorten principalen—menselijke gebruikers, AI-agenten en serviceaccounts—in één schema-niveau tabel (kya_principal_trust). In tegenstelling tot eerdere systemen die agenten geïsoleerd scoren of vertrouwen op aparte identity providers, gebruikt KYP een gedeeld scoremechanisme met een gesloten-set discriminator. Dit zorgt voor consistente vertrouwensvolging en signaalaggregatie over het hele ecosysteem van actoren.

4. Auditabele Interactie-vermenigvuldiger Amplificatie

Op basis van een AIVSS-vormige additieve baseline introduceert KYA een auditabel register van interactie-vermenigvuldigers. Dit zijn begrenste, asymmetrische (vermenigvuldigers $\ge$ 1,0 uitsluitend) versterkingen die worden geactiveerd door specifieke paarwijze interacties (bijv. "code-executie met gebruikersinvoer" of "autonome schrijver in productie"). Elke interactie draagt een stabiele auditcode, waardoor auditors precies kunnen traceren waarom een risicoscore is versterkt. Dit adresseert cumulatieve risico's die lineaire additieve modellen missen.

5. Twee-as Delegering-attributie

KYA adresseert het "schone orkestrator"-aanvalspatroon (waarbij een gecompromitteerde sub-agent een schone orkestrator beïnvloedt) via twee assen:

Statische as: Een delegeringsvertrouwenspremie die orkestratoren straft voor het delegeren aan risicovolle sub-agenten op basis van configuratie.
Dynamische as: Een runtime-debitmechanisme met een actor_agent_key-conventie. Wanneer een sub-agent een rogue-signaal uitzendt, wordt dit signaal getagd met de sleutel van de orkestrator, waardoor de principal-trust-teller van de orkestrator in real-time wordt gedebiteerd. Dit voorkomt attributieontduiking waarbij sub-agenten de upstream verantwoordelijke partij verbergen.

Belangrijkste Resultaten

Het artikel evalueert KYA over vier opslagbackends (PostgreSQL, SQLite, DuckDB, MySQL) en meer dan 15 agentframeworks:

Correctheid: Alle 36 cellen in een 4-backend $\times$ 9-fase end-to-end matrix slaagden.
Prestaties: De pure-functie scorer draait in sub-milliseconden (p99 < 1ms). Het systeem handhaaft ongeveer 1.800 bewerkingen per seconde met 20 gelijktijdige workers, terwijl HMAC-ketenintegriteit behouden blijft.
Adversariële Detectie: In een red-team-campagne met 1.200 probes van PyRIT en Garak, blokkeerde of markeerde KYA 89% van de aanvallen.
Aanval-attributie: Het systeem detecteerde en attribueerde de "topologie-gestuurde multi-agent-aanval" (Liang et al.) succesvol aan de orkestrerende principal, een vermogen dat ontbreekt in eerdere governance-lagen.
Compliance: Het systeem genereert voor regelgevers leesbare artefacten voor 32 regelgevingsregimes, waaronder GDPR, HIPAA, NYDFS en de EU AI Act.

Betekenis en Claims

De auteurs positioneren KYA als een systeemcontribution in plaats van een nieuw cryptografisch construct. De betekenis ligt in de compositiediscipline en de specifieke engineering-primitieven die governance inzetbaar maken in gereguleerde, multi-tenant omgevingen.

Nieuwheid: Het artikel claimt nieuwheid in de drie-kanaals hiërarchische compositie (platform/tenant/extern) met een formeel soundness-bewijs, het interactie-vermenigvuldiger-register met stabiele auditcodes, en het runtime orkestrator-debit voor misdragingen van sub-agenten.
Bescheidenheid: De auteurs stellen expliciet dat de score-gewichten heuristisch zijn en afgeleid van expertoordeel, niet van ground-truth-calibratie. Ze erkennen dat het systeem het halting-probleem voor veiligheidsverificatie niet oplost en dat het 11% gemiste percentage bij geavanceerde multi-turn prompt-injecties structurele beperkingen van externe filters weerspiegelt.
Openheid: Het systeem is uitgebracht onder Apache 2.0, waarbij alle scorefactoren, gewichten en bewijsketen-artefacten auditabel en aanpasbaar zijn door operators.

Kortom, KYA biedt de ontbrekende laag van cryptografisch verifieerbare provenance en afdwingbare gedragscontracten voor autonome systemen, waardoor operators verantwoordelijkheidsvragen kunnen beantwoorden ("was het verkeerd? wie is verantwoordelijk?") in plaats van alleen operationele vragen ("hoe lang duurde het?").