💻 computer science

Proof-of-Continuity: A Temporal Model for Authority Propagation in Distributed Systems and AI Agents

Dit artikel introduceert Proof-of-Continuity, een model voor causale autoriteitspropagatie dat ervoor zorgt dat elke executiestap in gedistribueerde systemen en AI-agenten strikt gekopp kind is aan de oorsprong en beperkt blijft tot een niet-expansieve deelverzameling van de oorspronkelijke autoriteit, waardoor het confused deputy-probleem wordt voorkomen door te garanderen dat de uitgeoefende bevoegdheden aanwezig waren in de initiële verzoekcontext.

Oorspronkelijke auteurs: Nicola Gallo

Gepubliceerd 2026-07-13

📖 5 min leestijd🧠 Diepgaand

CC BY 4.0

Oorspronkelijke auteurs: Nicola Gallo

Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer

Stel je voor dat je een spectaculaire estafette leidt, maar in plaats van een wandelstok, dragen de hardlopers een magische sleutel rond die deuren ontgrendelt.

De oude manier van doen (genoemd Proof-of-Possession) heeft een simpele regel: "Als je de sleutel vasthoudt, kun je de deur openen." Het maakt niet uit wie je de sleutel heeft gegeven of waarom je hem hebt. Als een hardloper een sleutel oppakt uit een verloren-voorwerpen-doos, of een reserve-sleutel uit zijn eigen zak grist, mag hij die sleutel gebruiken.

Dit artikel betoogt dat dit gevaarlijk is. Het is als een verwarde plaatsvervanger (een "confused deputy"): stel je voor dat een gebruiker een computerprogramma vraagt om "een bestand op te slaan". Het programma, dat zijn eigen meestersleutel vasthoudt, besluit dat bestand op te slaan in een geheime overheidsvault omdat het de sleutel heeft, ook al heeft de gebruiker hier nooit om gevraagd en had de gebruiker niet eens het recht om deze vault te openen. Het programma is "verward" omdat het een sleutel gebruikt die het zelf bezit, in plaats van de specifieke toestemming die de gebruiker gaf voor deze specifieke taak.

Het Nieuwe Idee: Proof-of-Continuity

De auteur, Nicola Gallo, stelt een nieuwe regel voor genaamd Proof-of-Continuity.

In plaats van alleen te controleren of je de sleutel hebt, controleren we nu of jouw sleutel verbonden is met het begin van de race.

Beschouw de executieketen (de reeks stappen die een computer neemt) als een rivier.

De Bron: De race begint bij een bron (de oorsprong). De bron laat een specifieke hoeveelheid water vrij (autoriteit/privileges).
De Stroom: Terwijl het water stroomafwaarts stroomt, kan het alleen maar kleiner worden of gelijk blijven. Het kan nooit plotseling groter worden. Als de bron water vrijgaf voor "het lezen van een kaart", kan de rivier stroomafwaarts alleen maar "het lezen van een kaart" vervoeren. Het kan niet plotseling veranderen in een vloedgolf die in staat is tot "het slopen van een gebouw".
Het Controlepunt: Bij elke bocht in de rivier (elke stap in het proces van de computer) vragen we niet alleen: "Heb je een emmer?", maar vragen we: "Stroomt deze emmer water rechtstreeks uit de bron, en is het dezelfde waterstroom?"

Dit is de kernbevinding: Autoriteit is niet alleen iets wat je vasthoudt; het is een continue draad die terug naar het begin leidt. Als een stap in het proces probeert een privilege te gebruiken dat niet in de oorspronkelijke "emmer" van de bron zat, breekt de rivier en wordt de actie geblokkeerd.

Wat Dit Uitsluit

Het artikel betoogt expliciet dat het oude "Proof-of-Possession"-model onvoldoende is voor complexe, meerstaps-taken (zoals AI-agenten of gedistribueerde diensten).

Het bewijst dat als je alleen controleert wie de sleutel vasthoudt (bezit) zonder te controleren waar die sleutel vandaan kwam in de keten (lineage), je het probleem van de "verwarde plaatsvervanger" (confused deputy) niet kunt stoppen. Het artikel gebruikt een wiskundig bewijs om aan te tonen dat een systeem niet drie dingen tegelijk kan hebben:

Een helper toestaan om zowel zijn eigen sleutels als de sleutels van de gebruiker vast te houden.
Beslissingen nemen op basis van alleen wie de sleutels vasthoudt (de geschiedenis negeren).
Veilig zijn voor de "confused deputy".

Het artikel concludeert dat om veilig te zijn, je het idee van het negeren van de geschiedenis moet opgeven. Je moet de beslissing "lineage-gevoelig" maken. Je kunt niet alleen naar de sleutel kijken; je moet naar de rivier kijken.

Hoe Zeker Zijn We?

Het artikel suggereert niet alleen dat dit zou kunnen werken; het bewijst het wiskundig.

De auteur definieert een formeel model (het PIC-model) met strikte regels.
Hij levert Theorem 1 en Theorem 6 aan, wat logische bewijzen zijn die laten zien dat als je de regels van "Proof-of-Continuity" volgt, het onmogelijk is dat een "confused deputy" optreedt. Het is geen bug die later misschien gerepareerd kan worden; het is een regel van het systeem die de fout fysiek onmogelijk maakt binnen het model.
Het artikel stelt dat onder dit model "de confused deputy conditie niet als geldig modelgedrag kan worden voldaan." Het is geen "misschien"; het is een "nooit".

Waarom Dit Belangrijk Is voor AI en Robots

Het artikel benadrukt dat dit superbelangrijk is voor AI-agenten. Stel je een AI-assistent voor die je vraagt om "een document samen te vatten".

Oude Manier: De AI kan een "verwijder bestand"-sleutel in zijn zak hebben. Als je de AI per ongeluk met een prompt misleidt, kan hij zijn eigen "verwijder"-sleutel gebruiken om je bestanden te verwijderen, denkend: "Ik heb de sleutel, dus ik kan het doen."
Nieuwe Manier (Proof-of-Continuity): De AI controleert de rivier. Hij ziet dat het "samenvat"-verzoek alleen een "lees"-sleutel heeft meegebracht. Zelfs als de AI een "verwijder"-sleutel in zijn zak heeft, kan hij deze niet gebruiken voor deze taak, omdat het "verwijder"-privilege niet in de oorspronkelijke stroom water van de bron zat. De rivier stroomt simpelweg niet die kant op.

De Kernboodschap

Het artikel introduceert een nieuwe manier om over toestemming na te denken. Het gaat niet over wie je bent of wat je op dit moment vasthoudt. Het gaat over waar je vandaan kwam en wat je mocht doen aan het begin.

Door autoriteit te behandना als een continue, krimpend rivier in plaats van een statisch object dat je bij je draagt, bewijst het artikel dat je wiskundig kunt garanderen dat geen enkele stap in een keten ooit iets kan doen wat de oorspronkelijke aanvraag niet toestond. Het verandert een beveiligingsprobleem in een eenvoudige regel van stroming: Je kunt geen nieuwe permissies uit het niets creëren; je kunt alleen doorgeven wat je gegeven is.

Technische Samenvatting: Proof-of-Continuity: Een Temporeel Model voor Autoriteitspropagatie in Gedistribueerde Systemen en AI-agenten

1. Probleemstelling

Het artikel identificeert een fundamentele beperking in huidige autorisatiemodellen, specifiek Proof-of-Possession (PoP) en capability-gebaseerde systemen, wanneer deze worden toegepast op discrete, multi-hop executieketens (bijv. gedistribueerde services, AI-agent tool-invocaties).

In PoP-modellen wordt autoriteit afgeleid van het bezit van artefacten (tokens, credentials, capabilities). Hoewel deze modellen effectief beperken wie een artefact mag presenteren, falen ze er niet in te garanderen dat de autoriteit die bij een latere stap wordt uitgeoefend, een causaal continuatie is van de autoriteitscontext die aan de oorsprong van de aanvraag is vastgesteld.

Deze kloof leidt tot het Confused Deputy-probleem in gedistribueerde contexten. Een deputy (executor) kan meerdere bronnen van autoriteit bezitten (ambient privileges, gedelegeerde tokens, bearer credentials). Als de deputy een aanvraag verwerkt en, op basis van de parameters van de aanvraag, een privilege uitoefent dat het bezit maar dat niet deel uitmaakte van de oorspronkelijke autoriteitscontext van de aanvraag, treedt een beveiligingsschending op. De deputy is "verward" omdat het een actie uitvoert die causaal wordt getriggerd door een gebruiker die niet de autoriteit had om die actie te veroorzaken, terwijl de deputy het benodigde privilege onafhankelijk bezit.

Het artikel stelt dat bezitsgebaseerde modellen lineage-invariant zijn: ze behandelen een gebeurtenis $(o, r)$ (operatie $o$ op resource $r$ ) als geldig enkel op basis van het bezit van het privilege, waarbij de temporele lineage $\ell$ die de gebeurtenis heeft voortgebracht, wordt genegeerd. Bijgevolg kunnen ze niet onderscheid maken tussen een geldige voortzetting van een geautoriseerde lineage en een ongeautoriseerde uitvoering die toevallig hetzelfde privilege bezit.

2. Methodologie en Modeldefinitie

De auteurs introduceren het Provenance Identity Continuity (PIC)-model en de Proof-of-Continuity (PoC)-discipline om dit temporele gat te dichten.

Kernformalismen

Executieketen: Executie wordt gemodelleerd als een causale keten van stappen $\pi = \langle (s_0, C_0), (s_1, C_1), \dots, (s_n, C_n) \rangle$ , waarbij $s_i$ een stap is en $C_i$ de autoriteitscontext is (een deelverzameling van privileges $O \times R$ ) die op die stap wordt meegedragen.
Proof of Relationship (PoR): Een single-hop causaal primitief. $PoR(s_i, s_{i+1})$ stelt dat stap $s_{i+1}$ een geldige causale voortzetting is van $s_i$ binnen dezelfde lineage.
Monotone Autoriteitsrestrictie: Een geldige transitie vereist dat de autoriteitscontext bij de volgende stap een deelverzameling is van de huidige stap: $C_{i+1} \subseteq C_i$ . Autoriteit kan alleen worden geattenueerd (beperkt), nooit uitgebreid.
Proof of Continuity (PoC): Gedefinieerd als de transitieve compositie van PoR en monotone restrictie over de gehele keten. $PoC(\pi)$ is waar als elke aangrenzende transitie geldig is.

Theoretisch Kader

Het artikel formaliseert het onderscheid tussen Bezit en Continuïteit met behulp van een projectie-argument:

Bezit-gebaseerde policies zijn gedefinieerd als functies die invariant zijn onder lineage: $A(o, r, \ell) = \bar{A}(o, r)$ . Ze projecteren de gebeurtenisruimte $E = O \times R \times L$ op $O \times R$ , waarbij de lineage-coördinaat $L$ wordt weggefilterd.
Stelling 3: Lineage-invariante policies kunnen instanties niet individualiseren. Twee gebeurtenissen met identieke privileges maar verschillende lineages (één geautoriseerd, één confused deputy) ontvangen hetzelfde autorisatie-oordeel.
Stelling 5 (Trade-off): Een systeem kan niet gelijktijdig voldoen aan:
1. Lineage-invariante autorisatie.
2. Autoriteit-mixende delegatie (executors die onafhankelijke autoriteitsbronnen bezitten).
3. Confused-deputy veiligheid.
  Om veiligheid te garanderen in systemen die autoriteits-mixing vereisen, moet het model de lineage-invariance opgeven, waardoor autorisatie lineage-sensitief wordt.

3. Belangrijkste Bijdragen

Proof-of-Continuity (PoC): Een minimaal autoriteitspropagatie-discipline waarbij autoriteit niet wordt gedefinieerd als een statische eigenschap van een entiteit, maar als een temporele eigenschap van een executieketen. Autoriteit bestaat alleen als een niet-expansieve voortzetting van de oorspronkelijke context.
Formalisering van de Confused Deputy als een Lineage Mismatch: Het artikel herformuleert de confused deputy niet louter als een scheiding van designatie en autoriteit (het ruimtelijke beeld van capabilities), maar als een botsing van verschillende lineages onder een projectie die tijd vergeet.
Onmogelijkheidsresultaten:
- Stelling 3: Bewijst dat bezit gebaseerd op lineage-invariance geen onderscheid kan maken tussen geldige voortzettingen en confused deputy-uitvoeringen.
- Stelling 6: Bewijst dat onder het PIC-model de confused deputy-conditie onmogelijk te voldoen is als geldig gedrag. Als een privilege afwezig is in de oorspronkelijke context $C_0$ , kan het niet verschijnen in een volgende context $C_n$ binnen een geldige PoC-keten.
Onderscheid van Primitieven: Verheldert de rollen van:
- Proof-of-Possession: Bewijst controle over een artefact.
- Proof-of-Relationship: Bewijst de causale koppeling tussen aangrenzende stappen.
- Proof-of-Continuity: Bewijst autoriteitspropagatie zonder expansie over de gehele lineage.

4. Resultaten en Veiligheidsgaranties

Het primaire resultaat is de veiligheid van het PIC-model. Onder Proof-of-Continuity:

Origin-Bounded Authority: Elk privilege dat bij stap $n$ wordt uitgeoefend, moet aanwezig zijn geweest in de oorspronkelijke autoriteitscontext $C_0$ .
Onomkeerbare Attenuatie: Als een privilege bij een stap $j$ wordt gedropt (d.w.z. niet is opgenomen in $C_j$ ), gaat het voor altijd verloren en kan het niet verschijnen bij een latere stap $k > j$ .
Eliminatie van de Confused Deputy: Het model voorkomt structureel de confused deputy-conditie. Een executor kan een privilege niet uitoefenen dat getriggerd wordt door een aanvraag als dat privilege niet geautoriseerd was in de oorspronkelijke context van de aanvraag, ongeacht welke andere privileges de executor bezit.

Het artikel demonstreert dat deze veiligheid wordt bereikt door de lineage-invariance op te geven. Autorisatiebeslissingen moeten de lineage-coördinaat lezen (via PoR-bewijs) om te bepalen of een actie een geldige voortzetting is.

5. Betekenis en Omvang

Het artikel positioneert Proof-of-Continuity als een modellering-verfijning in plaats van een vervanging voor bestaande mechanismen zoals OIDC, wallets of bearer tokens.

Complementariteit: Identiteits- en authenticatiemechanismen blijven essentieel voor het vaststellen van de oorsprong. PoC adresseert hoe autoriteit wordt gepropageerd nadat de oorsprong is vastgesteld.
Relevantie voor AI-agenten: Het model wordt expliciet benadrukt als cruciaal voor AI-agenten, die vaak meerdere autoriteitsbronnen bezitten (service credentials, user tokens, tool scopes) en ketens van tool-invocaties uitvoeren. PoC zorgt ervoor dat een agent niet een tool kan gebruiken om een actie uit te voeren (bijv. een bestand verwijderen) als de oorspronkelijke intentie van de gebruiker (bijv. een document samenvatten) die actie niet autoriseerde, zelfs niet als de agent het recht om te verwijderen onafhankelijk bezit.
Temporeel vs. Ruimtelijk: Het artikel betoogt dat hoewel capability-modellen het ruimtelijke probleem van designatie oplossen, ze vaak falen voor het temporele probleem van multi-hop propagatie, tenzij de capability wordt behandeld als een vastgehouden artefact (wat terugvalt op bezit). PoC breidt de "by-construction" garantie van capabilities uit over multi-hop lineages door autoriteit te behandelen als een continue, niet-expansieve stroom.

Het artikel concludeert dat de confused deputy geen runtime-kwetsbaarheid is die gepatcht moet worden, maar een structurele onmogelijkheid in een geldige PIC-executie. Het model verlegt de last van runtime-waakzaamheid naar een discipline waarbij autoriteit strikt wordt gedefinieerd door de causale geschiedenis.