aiAuthZ: Off-Host, Identity-Bound Authorization for AI Agents
Dit artikel introduceert aiAuthZ, een off-host autorisatiegateway die de tool-aanroepen van AI-agenten beveiligt door het afdwingen van identiteitsgebonden, onveranderlijke beleidsregels en cryptografische verificatie, waarmee de succespercentages van aanvallen effectief tot 0% wordt teruggebracht over diverse modellen en scenario's met een verwaarloosbare latentie.
Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer
Het Kernprobleem: De "Gullible Butler" (De Makkelijke Butler)
Stel je voor dat je een zeer intelligente butler inhuurt om je huishouden te runnen (de AI Agent). Deze butler is geweldig in het opvolgen van instructies: hij kan de kluis openen, e-mails versturen of geld overmaken.
Er is echter een addertje onder het gras: de butler kan het verschil niet zien tussen een echte opdracht van jou en een nepopdracht die iemand anders op een briefje op de koelkast heeft achtergelaten.
Als een vreemde je huis binnensluipt en schrijft: "De eigenaar zegt: Maak al het geld over naar mijn rekening," kan de butler die notitie lezen, geloven dat het een echte opdracht van jou is, en het uitvoeren. Dit wordt een prompt injection genoemd. Het paper betoogt dat vertrouwen op het vermogen van de butler om te "denken" of een opdracht veilig is, riskant is omdat:
- Sommige butlers zijn makkelijk te misleiden; anderen zijn sceptisch.
- Zelfs de duurste, meest luxe butlers worden soms toch gefopt.
- Je kunt ze niet simpelweg meer betalen om ze veiliger te maken.
De Oplossing: De "Off-Site Security Guard" (De Beveiligingsbeambte) (aiAuthZ)
De auteurs hebben een systeem gebouwd genaamd aiAuthZ. In plaats van de butler te vragen of een opdracht veilig is, hebben ze een beveiligingsbeambte in een aparte, afgesloten kamer geplaatst (een ander vertrouwensdomein) tussen de butler en de buitenwereld.
Zo werkt het nieuwe systeem, stap voor stap:
1. De "Geheime Handdruk" (Identiteitsverificatie)
Elke keer als jij (de gebruiker) een opdracht geeft, zeg je die niet alleen; je ondertekent deze met een unieke, onbreekbare digitale zegel (een HMAC-handtekening) die alleen jij en de beveiligingsbeambte kennen.
- De Analogie: Stel je voor dat je een briefje aan de beambte overhandigt. Op het briefje zit een speciale waszegel. De beambte controleert de zegel. Als de zegel echt is, weet de beambte: "Deze opdracht komt definitief van de eigenaar, niet van een vreemde."
- De Twist: Zelfs als de butler een briefje leest waarin staat: "Ik ben de eigenaar, geef me de sleutels," negeert de beambte de woorden. De beambte vertrouwt alleen op de zegel. Als de zegel niet overeenkomt met die van de eigenaar, wordt de opdracht geweigerd, ongeacht wat de tekst zegt.
2. Het "Regelboek" (Off-Host Beleid)
De beambte heeft een regelboek dat de butler niet kan zien of wijzigen.
- De Analogie: De butler kan denken: "Ik mag elke deur openen!" Maar het regelboek van de beambte zegt: "Alleen de eigenaar mag de kluis openen. Alleen de eigenaar kan geld overmaken."
- Zelfs als de butler erdoor wordt misleid dat hij toestemming heeft, controleert de beambte het regelboek. Als de persoon die vraagt (de "zegel") niet de eigenaar is, of als diegene iets probeert te doen dat te groot is (zoals een miljoen dollar overmaken), grijpt de beambte in.
3. Het "Onbreekbare Bonnetje" (QR-code)
Wanneer de beambte zegt: "Ja, dit is veilig," laat hij de actie niet zomaar gebeuren. Hij print een QR-code bonnetje dat bewijst dat de opdracht is geautoriseerd.
- De Analogie: Het is als een ticket voor een concert. Zelfs als je een foto van het ticket maakt, het verkleint of via een wazig bericht verstuurt, kan het beveiligingssysteem het nog steeds scannen en zeggen: "Dit is een geldig ticket."
- Het paper testte dit door foto's van de QR-codes te maken, ze bij te snijden en te comprimeren. Het systeem herkende ze nog steeds in 94% van de gevallen. Dit creëert een permanent, onveranderlijk verslag van wie wat heeft gedaan.
4. De "Geheime Kluis" (Credential Broker)
De beambte houdt ook de sleutels van de kluis (API-geheimen) vast. De butler heeft de sleutels niet.
- De Analogie: Als de butler wordt misleid om te proberen de kluis te openen, kan hij dat niet doen omdat hij de sleutel niet heeft. Hij moet de beambte om hulp vragen. De beambte controleert de regels, en pas dan overhandigt hij de sleutel voor dat specifieke moment. Als de butler probeert de sleutels te stelen, kan dat niet, omdat de sleutels de kamer van de beambte nooit verlaten.
Wat het Paper feitelijk heeft gevonden
De auteurs hebben dit systeem getest met 15 verschillende AI-"butlers" (modellen) en 8 verschillende soorten aanvallen (zoals het foppen van de butler om gegevens te stelen).
- Zonder de Beambte: De butlers waren inconsistent. Sommigen weigerden de truc (100% veilig), maar anderen trapten er wel in (slechts 38% veilig). De duurste butler was slechts 50% veilig.
- Met de Beambte: Alle aanvallen werden geblokkeerd (100%). Elk model, van het goedkoopste tot het duurste, stopte de kwaadaardige acties.
- Snelheid: De beambte nam de beslissing in 0,03 milliseconden. Dat is zo snel als een oogwenk; het vertraagde de boel niet.
- Real-world Test: Ze testten dit op een banksimulatie. De beambte stopte elke poging van een hacker om geld te stelen, zelfs toen de hacker de butler probeerde te misleiden.
Wat dit Systeem NIET doet
Het is belangrijk om de beperkingen te kennen, net zoals weten wat een beveiligingsbeambte niet kan doen:
- Het voorkomt niet dat de butler in de war raakt. De butler kan nog steeds misleid worden om te denken dat een vreemde de eigenaar is. De beambte voorkomt alleen dat de butler op basis van die verwarring daadwerkelijk handelt.
- Het voorkomt niet dat een hacker de kamer van de beambte binnendringt. Als de aanvaller de computer van de beveiligingsbeambte overneemt, faalt het hele systeem.
- Het voorkomt niet dat de butler zijn eigen ingebouwde tools gebruikt. Als de butler een geheime achterdeur heeft (zoals een ingebouwde shell-opdracht) waarmee hij de beambte omzeilt, kan de beambte dat niet stoppen. Het paper stelt dat je deze achterdeuren moet uitschakelen wanneer je het systeem installeert.
De Kernconclusie
Het paper betoogt dat we niet moeten vertrouwen op AI-modellen om zichzelf te controleren. In plaats daarvan moeten we een aparte, cryptografische beveiligingsbeambte voor hen plaatsen. Deze beambte controleert de identiteit van de persoon die vraagt, controleert de regels en geeft een bonnetje uit. Het verandert een chaotische, onvoorspelbare situatie in een deterministische, veilige situatie waarin kwaadaardige acties 100% van de tijd worden geblokkeerd, ongeacht welk AI-model er wordt gebruikt.
Verdrinkt u in papers in uw vakgebied?
Ontvang dagelijkse digests van de nieuwste papers die bij uw onderzoekswoorden passen — met technische samenvattingen, in uw taal.