Technische Samenvatting: Genoteerde Agenten: Ontvanger-geattesteerde Vertrouwelijke Kwitanties voor AI-agentacties

Probleemstelling

De huidige observabiliteit van AI-agenten is structureel gecompromitteerd omdat de entiteit die het activiteitslogboek produceert, dezelfde entiteit is wiens activiteit wordt gelogd. In het dominante model (bijv. Langfuse, LangSmith) worden traces verzameld vanuit het proces van de agent of de infrastructuur van de operator. Dit creëert een single point of failure: als een agent wordt gecompromitteerd (via prompt injection, context poisoning of foutieve code) of als de operator tegenstrijdige belangen heeft, kunnen de traces worden weggelaten, gewijzigd of gefabriceerd. De agent kan geen betrouwbare verteller zijn van zijn eigen acties, en de eigenaar heeft geen onafhankelijke manier om manipulatie te detecteren.

Bestaande oplossingen voldoen niet aan een dreigingsmodel waarbij de tegenstander zowel de agent als de operator controleert. Een robuust verslag van agentacties moet:

1. Onvervalsbaar zijn door de agent of de operator.
2. Onafhankelijk verifieerbaar zijn door de eigenaar met behulp van publieke infrastructuur.
3. Vertrouwelijk zijn voor publieke infrastructuur-operators.
4. Toegerekend kunnen worden aan een structureel gescheiden partij die aanwezig was bij het evenement.
5. Ophaalbaar zijn, zelfs als de agent niet beschikbaar is.

Geen enkele onderzochte systematiek levert alle vijf de eigenschappen.

Methodologie: Het Sello-protocol

Het artikel stelt "Genoteerde Agenten" voor, een architecturale inversie geïnspireerd door historische notarisering en moderne systemen zoals Apple's Find My netwerk. In plaats van dat de agent zijn acties rapporteert, treden de diensten die de agent aanroept op als onafhankelijke getuigen.

De auteurs instantiëren deze klasse van protocollen als Sello, die vier definiërende eigenschappen combineert:

• P1: Zijde-ontvanger ondertekening: De dienst die de aanroep van de agent ontvangt, ondertekent de kwitantie met haar eigen privésleutel, niet die van de agent of de operator.
• P2: HPKE-encryptie naar een eigenaar-gebonden sleutel: De kwitantie wordt versleuteld naar de publieke sleutel van de agent-eigenaar. Cruciaal is dat deze publieke sleutel via een JWS-claim cryptografisch gebonden is aan de autorisatietoken van de agent, wat substitutie-aanvallen voorkomt.
• P3: Publicatie aan een door getuigen mede-ondertekende Merkle-log: Kwitanties worden toegevoegd aan een publieke transparantie-log (bijv. Sigstore Rekor) met mede-ondertekening door getuigen om manipulatie-detectie te garanderen.
• P4: Ontdekking aan de zijde van de eigenaar: De eigenaar bevraagt de log met een token-afgeleide referentie, ontsleutelt de kwitanties lokaal en verifieert de handtekeningen tegen een service-identiteitsregister.

Protocolflow

1. Token Binding: De agent presenteert een JWS-autorisatietoken die een claim bevat met de HPKE-publieke sleutel van de eigenaar (owner_hpke_pk).
2. Actie & Kwitantiegeneratie: Bij ontvangst van een aanroep verifieert de dienst de token, voert de actie uit en construeert een kwitantie-body (bevattende actie-hashes, status en tijdstempels).
3. Encryptie & Ondertekening: De dienst versleutelt de body naar de owner_hpke_pk met behulp van HPKE (X25519/KEM, ChaCha20-Poly1305). Vervolgens ondertekent zij de versleutelde envelop met COSE_Sign1 (Ed25519).
4. Logging: De ondertekende envelop wordt ingediend bij een transparantie-log. De log retourneert een Merkle-inclusiebewijs.
5. Verificatie: De eigenaar bevraagt de log met SHA-256(token-bytes). Zij verifieert het Merkle-bewijs, lost de publieke sleutel van de dienst op via een register op, verifieert de COSE-handtekening en ontsleutelt de payload.

Beveiligingsmechanismen

• Revocatie (Intrekking): Het protocol koppelt beslissingen over revocatie aan de geïntegreerde tijd van de transparantie-log in plaats van aan de door de dienst zelf geclaimde tijdstempel. Dit voorkomt dat een gecompromitteerde dienst kwitanties terugdatet om revocatie te ontwijken.
• Replay-bescherming: Een deduplicatieregel aan de zijde van de eigenaar, gebaseerd op een tuple van (kid, token_ref, timestamp, action hashes), detecteert herhaalde gebeurtenissen.
• Vertrouwelijkheid: De inhoud van de kwitantie wordt verborgen voor log-operators en netwerkobservatoren via HPKE; alleen de metadata (service ID, token ref) is zichtbaar.

Belangrijkste Bijdragen

Het artikel levert vier specifieke bijdragen:

1. Architecturale Inversie: Het identificeren van ondertekening aan de zijde van de ontvanger als de structurele oplossing voor agent-observabiliteit en het definiëren van de vier cryptografische eigenschappen (P1–P4) die genoteerde protocollen onderscheiden.
2. Sello-specificatie: Een concreet protocol dat gebruikmaakt van standaard primitieven (COSE_Sign1, HPKE, Ed25519, Merkle-logs) en een nieuw JWS-tokenprofiel dat de encryptiesleutel van de eigenaar bindt aan de autorisatietoken.
3. Tijd-binding Nieuwigheid: Het voorstellen van het gebruik van de geïntegreerde tijd van de transparantie-log voor beslissingen over sleutel-revocatie, om dit te scheiden van de tijdstempel in de kwitantie-body om backdating-aanvallen te mitigeren.
4. Vergelijkende Analyse: Een eigenschap-per-eigenschap vergelijking die aantoont dat geen enkel bestaand systeem (Signet, AgentROA, Agent Passport System, etc.) alle vier de eigenschappen combineert.

Resultaten en Evaluatie

De auteurs leveren microbenchmarks van de cryptografische operaties met behulp van een referentie-implementatie op een Apple M2.

• Overhead: Een Sello-bewuste dienst voegt ongeveer 0,45 ms mediane CPU-werk toe per agent-aanroep (HPKE seal + ondertekening + log append).
• Verificatie: Een eigenaar die activiteiten reconstrueert, voert ongeveer 0,28 ms mediane CPU-werk uit per kwitantie (bewijsverificatie, handtekeningcontrole, decryptie).
• Payload Grootte: Een volledige Sello-envelope is ongeveer 467 bytes (onafhankelijk van de actiegrootte, aangezien inputs/outputs gehasht worden).
• Schaalbaarheid: Een dienst die 1.000 aanroepen per seconde afhandelt, zou ongeveer 0,45 seconden CPU-tijd per seconde aan kwitanties besteden. Een eigenaar kan een dag aan activiteiten (100.000 kwitanties) reconstrueren in ongeveer 32 seconden CPU-tijd met behulp van batch-verificatie.

Het artikel merkt op dat netwerklatentie voor log-indiening buiten deze metingen valt en afhangt van de specifieke log-operator.

Beperkingen en Claims

Het artikel is expliciet over wat Sello niet oplost:

• Suppressie-aanval (Onderdrukking): Als de agent simpelweg geen diensten aanroept, worden er geen kwitanties gegenereerd. De eigenaar kan niet onderscheid maken tussen "geen actie" en een "onderdrukte actie".
• Service Collusie (Samenspanning): Als een dienst samenwerkt met de operator om valse kwitanties uit te sturen, kan Sello dit niet detecteren op basis van een enkele kwitantie.
• Adoptieprikkel: Diensten hebben momenteel geen reden om kwitanties uit te sturen. Het artikel stelt dat adoptie vereist is door regelgevende mandaten (bijv. de EU AI Act), koppeling aan financiële afwikkeling, of marktprijzen voor vertrouwen.
• Set Volledigheid: Sello biedt verificatie per kwitantie, maar niet cryptografische set-volledigheid. Een log-operator zou theoretisch overeenkomende kwitanties kunnen weglaten zonder detectie, tenzij specifieke mechanismen voor volledigheid (zoals geauthenticeerde query-resultaten of volledige log-audits) worden ingezet.

Betekenis

De auteurs beargumenteren dat de betekenis van Sello niet ligt in nieuwe cryptografische primitieven, maar in de architecturale compositie van bestaande primitieven om de vertrouwensgrens te inverteren. Door de bron van waarheid te verschuiven van de agent naar de onafhankelijke diensten die zij raakt, biedt Sello een traceerbaar, vertrouwelijk en door de eigenaar verifieerbaar spoor dat standhoudt bij een gecompromitteerde agent.

De auteurs concluderen dat hoewel het probleem van de adoptieprikkel onopgelost blijft, het protocol de noodzakelijke voorwaarde biedt voor rigoureuze AI-auditing. De kernstelling is dat "de agent niet de juiste verteller is van zijn eigen acties; de diensten die hij raakt zijn dat wel."