Hardware-rooted attestation for AI-agent evidence: composing IETF RATS with action evidence packages

Het Mysterie van de Digitale Zwarte Doos

Stel je voor dat je een mysterie probeert op te lossen, maar de enige getuige is de verdachte zelf. In de wereld van kunstmatige intelligentie bouwen we "agenten" — slimme computerprogramma's die beslissingen kunnen nemen, code kunnen schrijven of zelfs robots kunnen besturen. Om deze agenten eerlijk te houden, hebben we een manier nodig om hun werk te controleren. Momenteel vertrouwen we op een digitale "logboek" dat de agent voor zichzelf schrijft. Er staat in: "Ik heb dit gedaan, ik was hiervoor toegestaan, en dit is het resultaat." Dit is nuttig, maar het heeft een fatale fout: als de agent liegt, of als een sluwe hacker het brein van de agent heeft vervangen door een ander brein, zal het logboek er nog steeds perfect uitzien. Het is alsocht een crimineel die een dagboektekst schrijt waarin staat: "Ik heb de koekjes niet gestolen," terwijl hij de koekjes in zijn hand houdt. Het dagboek is ondertekend en verzegeld, maar het bewijst niet wie het daadwerkelijk heeft geschreven of welke computer er werkte.

Om dit op te lossen, hebben we een "zwarte doos"-recorder nodig, vergelijkbaar met de apparaten die in vliegtuigen worden gevonden. Deze apparaten worden door een derde partij gebouwd, zijn hermetisch afgesloten en registreren gegevens die de piloot (of de computeroperator) niet kan aanpassen. In de wereld van computers wordt dit "hardware attestation" genoemd. Het is een manier waarop een speciale, vertrouwde chip binnen de computer een geheim naar een externe inspecteur fluistert, zeggend: "Ik beloof dat de software die op dit moment draait precies is wat de eigenaar zegt dat het is." De grote vraag waar wetenschappers zich mee bezighouden is: Hoe combineren we het eigen verhaal van de agent (het logboek) met dit onbreekbare hardwarebewijs (de zwarte doos) om één enkele, onbetwistbare waarheid te creëren?

Het Logboek en de Verzegelde Recorder

Dit paper stelt een slimme manier voor om deze twee zaken aan elkaar te koppelen. De auteur, Anton Sokolov, suggereert dat we niet alleen het logboek van de AI moeten vertrouwen, noch alleen de hardware. In plaats daarvan moeten we ze aan elkaar "naaien" zodat ze niet van elkaar gescheiden kunnen worden.

Denk eraan als een vliegtuigbemanning die probeert een ruwe landing uit te leggen.

1. Het Logboek (De AEP): Dit is het "Action Evidence Package" (Actiebewijspakket). Het is het schriftelijke rapport van de bemanning: "We kregen toestemding van de verkeerstoren om te landen, we gebruikten de linkerbaan en we landden veilig." Het is gedetailleerd en ondertekend, maar het zijn nog steeds slechts woorden geschreven door de bemanning.
2. De Zwarte Doos (De RATS-bewijslast): Dit is het hardwarebewijs. Het is een verzegelde recorder die zegt: "Op dit exacte moment draaide de computer van het vliegtuig Versie 1.0 van de landingssoftware, en stonden de motoren op vol vermogen." De piloot kan dit niet veranderen; het is een fysiek feit dat door de eigen sensoren van het vliegtuig wordt geregistreerd.

Het paper betoogt dat het logboek alleen niet genoeg is omdat de bemanning zou kunnen liegen. De zwarte doos alleen is ook niet genoeg, omdat het ons niet vertelt waarom het vliegtuig landde of of de piloot de regels volgde. De oplossing is om ze te binden. Wanneer de bemanning in het logboek schrijft, moeten ze ook een verse, verzegelde stempel van de zwarte doos bijvoegen die bewijst dat de computer van het vliegtuig op dat exacte moment in de juiste staat verkeerde.

Hoe het experiment werkte

De auteur heeft dit niet alleen bedacht; hij heeft een klein, werkend model gebouwd om te zien of het mogelijk was. Hij gebruikte een "software TPM" (een gesimuleerde versie van de speciale beveiligingschip die in echte computers wordt gevonden) om als de zwarte doos te fungeren. Hij creëerde een nep AI-logboek en probeerde dit te combineren met het hardwarebewijs.

Dit is wat hij in zijn simulatie vond:

• Het "Goede" Scenario: Wanneer de AI deed wat hij moest doen, en de computer de juiste software draaide, gaf het systeem een groen licht. Het oordeel was "Attested" (Geverifieerd). Het logboek en de zwarte doos waren het eens.
• Het "Swapped Brain" Scenario (Vervangen Brein): De onderzoekers probeerden het systeem te misleiken. Ze deden alsof de AI zijn brein had vervangen door een ander, ongeautoriseerd model. De zwarte doos merkte de verandering onmiddellijk op. Zelfs toen het logboek er perfect uitzag en zei: "Ik ben het goede model," zei het hardwarebewijs: "Nee, dat ben je niet." Het oordeel was "Contested" (Betwist). Dit is de grote overwinning van het paper: het logboek blijft volkomen geldig, maar het gecombineerde oordeel onthult de discrepantie tussen het verhaal en de hardware-realiteit.
• Het "Old News" Scenario (Oud Nieuws): Ze probeerden een oude, geldige zwarte doos-stempel van gisteren te gebruiken om vandaag een logboek te ondertekenen. Het systeem zei: "Te oud!" en gaf het oordeel "Expired" (Verlopen).
• Het "Fake Logbook" Scenario (Nep Logboek): Ze probeerden een geldige zwarte doos-stempel te nemen en deze aan een volledig verzonnen logboek te koppelen. Het systeem wees dit direct af. De stempel en het verhaal kwamen niet overeen, dus de hele boel werd ongeldig verklaard.

Wat dit betekent (en wat het niet betekent)

Het paper is zeer voorzichtig in het aangeven van wat het niet heeft gedaan. Dit was een simulatie met een nep-chip op een gewone computer. Het bewijst dat het idee werkt, maar het bewijst nog niet dat een echte, fysieke chip in een echte server hetzelfde zal doen. De auteur geeft toe dat we in de echte wereld het daadwerkelijke AI-modelbestand (het "brein") moeten meten en moeten garanderen dat de hardware echt ongewijzigd is, wat een grotere technische uitdaging is.

De kern van het idee is echter solide: door het verhaal van de AI te combineren met een hardwarezegel, kunnen we een nieuw soort waarheid creëren. We kunnen van de vraag "Wat zegt de AI dat het heeft gedaan?" naar "Heeft de specifieke computer die de operator claimt te hebben, dit daadwerkelijk gedaan?" gaan.

Het paper suggereert dat deze "composiete" aanpak een vocabulaire van zes woorden voor vertrouwen creëert: Authorised (het had toestemming), Unauthorised (het had geen toestemming), Indeterminate (we weten het niet), Attested (de hardware is goed), Contested (de hardware liegt of is veranderd), en Expired (het bewijs is te oud).

Kortom, het paper laat zien dat we een systeem kunnen bouwen waarbij het logboek van een AI vergrendeld zit in een hardwarezegel. Als de AI probeert te liegen over zijn acties, of als iemand probeert het brein van de AI te vervangen door een ander, dan breekt de zegel niet, maar het gecombineerde oordeel wordt "Contested", waardoor de onenigheid tussen het verhaal en de machine wordt onthuld. Het is een manier om ervoor te zorgen dat wanneer een AI zegt: "Ik heb dit gedaan," we er zeker van kunnen zijn dat het niet slechts een verhaal is, maar een feit dat door de machine zelf wordt ondersteund.