Separating Disclosure from Authorization: Field-Tier Minimization for Agent Action Mediation

In de moderne digitale wereld handelen autonome softwareagenten namens mensen en bedrijven door e-mails te sturen, geld te verplaatsen en toegang te krijgen tot gevoelige dossiers. Om deze agenten veilig en eerlijk te houden, gebruiken organisaties twee afzonderlijke systemen die vaak tegenstrijdige belangen dienen. Het eerste is een poortwachter, een beleidsmotor die naar de details van een actie moet kijken om te beslissen of deze is toegestaan. Als een agent een e-mail wil sturen naar een ontvanger, moet de poortwachter het adres zien om te weten of die persoon binnen of buiten het bedrijf valt. Het tweede systeem is een permanent verslag, een onveranderlijk logboek dat elke genomen beslissing opschrijft en zo een spoor creëert dat auditors jaren later kunnen inspecteren om te bewijzen wat er is gebeurd. Het probleem ontstaat omdat beide systemen traditioneel hetzelfde eisen: de ruwe, ongefilterde data. De poortwachter heeft de volledige details nodig om een eerlijke beslissing te nemen, en het logboek heeft de volledige details nodig om een betrouwbare getuige te zijn. Maar dit creëert een gevaarlijke flessenhals waarbij de meest privé informatie—namen, adressen en medische details—gevangen raakt in een permanente, onuitwisbare grootboek, wat de privacyregels schendt die de organisatie juist probeert na te leven.

Een team onderzoekers bij Aurite AI heeft een manier gevonden om deze twee behoeften te ontwarren zonder op te offeren wat betreft beveiliging of privacy. Ze ontdekten dat de poortwachter en de verslaglegger niet daadwerkelijk dezelfde dingen hoeven te zien. De poortwachter hoeft alleen de vorm van de data te kennen om een regelgebaseerde beslissing te nemen, terwijl de verslaglegger alleen hoeft te weten dat er een specifieke beslissing is genomen over een specifieke set data. Door deze vereisten te scheiden, creëerden de onderzoekers een systeem waarbij de privé details nooit de computer van de gebruiker verlaten, terwijl de organisatie nog steeds regels kan afdwingen en een onbreekbaar auditspoor kan behouden.

De kern van hun oplossing is een methode genaamd field-tier minimalisatie. In plaats van een hele actie, zoals "het versturen van een e-mail", te behandelen als één enkel blok gevoelige data, breekt het systeem de actie af in de individuele onderdelen, of velden. Het sorteert elk veld vervolgens in een van drie categorieën. De eerste categorie bevat informatie die noodzakelijk is voor de regels maar die geen persoon identificeert, zoals de grootte van een bijlage of het aantal bestanden. Deze data mag in de oorspronkelijke vorm worden doorgegeven. De tweede categorie bevat informatie die nodig is voor de regels maar die ook persoonlijk identificeerbaar is, zoals een e-mailadres. Voor deze velden geeft het systeem niet het volledige adres door. In plaats daarvan wordt een vereenvoudigde, niet-identificerende versie doorgegeven, zoals alleen de domeinnaam na het "@"-symbool. Dit stelt de poortwachter in staat om te controleren of de e-mail naar een extern bedrijf gaat zonder de specifieke persoon te onthullen. De derde categorie bevat informatie die nooit nodig is voor de regels, zoals de onderwerpregel van een e-mail of de aantekeningen bij een betaling. Deze data blijft volledig op de computer van de gebruiker en de grens naar de buitenwereld nooit over.

De genialiteit van dit ontwerp ligt in de manier waarop het met het permanente verslag omgaat. In veel eerdere pogingen om de privacy te beschermen, probeerden systemen gevoelige data te verbergen of te verwijderen voordat ze in het logboek werden geschreven. Dit creëert echter een nieuw probleem: als het logboek wordt gewijzigd, kan een auditor niet zien wat er is verwijderd of of het verslag betrouwbaar is. De onderzoekers losten dit op door de computer een unieke digitale vingerafdruk van de oorspronkelijke, ongewijzigde data te laten berekenen voordat enige verberging of vereenvoudiging plaatsvindt. Deze vingerafdruk wordt vervolgens in het permanente logboek geschreven. Wanneer de vereenvoudigde data later naar de poortwachter wordt gestuurd, kan het systeem nog steeds bewijzen dat de vereenvoudigde versie afkomstig is van de oorspronkelijke data omdat de vingerafdruk overeenkomt. Dit betekent dat de organisatie de regels over welke data verborgen moet worden op elk gewenst moment kan wijzigen, zelfs jaren later, zonder de integriteit van de oude records te breken. Het logboek blijft een solide, onveranderlijke getuige van de oorspronkelijke gebeurtenis, terwijl de informatiestroom naar de poortwachter flexibel en privacyvriendelijk wordt.

Om ervoor te zorgen dat dit systeem correct werkt, moesten de onderzoekers een lastige vraag over vertrouwen oplossen: wie bepaalt wat er is gebeurd? Omdat de gevoelige data de computer van de gebruiker nooit verlaat, is de computer van de gebruiker de enige die de vingerafdruk van de oorspronkelijke data kan berekenen. De onderzoekers besloten dat de computer van de gebruiker degene moet zijn die deze vingerafdruk maakt en aan het logboek rapporteert. Ze redeneerden dat als een gebruiker zou proberen te liegen over de vingerafdruk, zij bewijs tegen zichzelf zouden vervalsen, wat een sterke afschrikking is. De computer van de gebruiker kan echter niet worden vertrouwd om te zeggen welke regels werden gebruikt om de data te vereenvoudigen, omdat deze simpelweg zou kunnen beweren dat er andere regels werden gebruikt om meer informatie te verbergen. Om dit te voorkomen, vereist het systeem dat de computer van de gebruiker een vingerafdruk van de gebruikte regels stuurt, en de centrale server controleert dit tegen de officiële regels. Als de twee vingerafdrukken niet overeenkomen, weet het systeem dat er iets mis is en wordt de actie geweigerd. Dit creëert een balans waarbij de gebruiker wordt vertrouwd om de data die zij bezitten te rapporteren, maar de server wordt vertrouwd om de toegepaste regels te verifiëren.

De onderzoekers testten dit systeem met real-world scenario's, waaronder het versturen van e-mails en het raadplegen van medische dossiers. Ze vonden dat hun methode erin slaagde om gevoelige identificatoren nooit de omgeving van de gebruiker te laten verlaten, terwijl de beleidsmotor nog steeds nauwkeurige beslissingen kon nemen. In één specifieke test onderzochten ze een resource pad dat een patiëntnummer bevatte. Hun initiële poging om dit pad te vereenvoudigen mislukte omdat het nummer zichtbaar bleef in de tekst. Ze herstelden dit door de regel te wijzigen om het gehele laatste deel van het pad te verwijderen in plaats van te proberen de tekst te opschonen, waardoor werd gegarandeerd dat er geen identificerende informatie doorheen glipte. Hun analyse toonde aan dat voor de acties die zij bestudeerden, bijna de helft van de gegevensvelden nooit in hun ruwe vorm de grens overstak en de resterende velden werden teruggebracht tot niet-identificerende samenvattingen.

Het team erkent dat hun systeem geen perfect schild is tegen elke mogelijke dreiging. Als de computer van de gebruiker zelf wordt gehackt, kan de aanvaller nog steeds de gewenste data verzenden. Het systeem is ontworpen om de data te beschermen terwijl deze van de gebruiker naar de organisatie beweegt, niet om de computer van de gebruiker te beschermen tegen een compromittering. Bovendien merken de onderzoekers op dat hun huidige regels statisch zijn; ze kunnen niet gemakkelijk veranderen op basis van complexe situaties, zoals beslissen dat een veld pas gevoelig is als de ontvanger in een ander land is. Ondanks deze beperkingen biedt de aanpak een praktische en structurele manier om de spanning tussen privacy en verantwoording aan te pakken. Het bewijst dat men niet hoeft te kiezen tussen een strikt, onveranderlijk auditspoor en een flexibele, privacyrespecterende beleid. Door de vastlegging van de data te berekenen vóór de vereenvoudiging, en door zorgvuldig toe te wijzen wie wat mag verifiëren, stelt het systeem organisaties in staat hun agenten effectief te besturen zonder de privé levens van hun klanten aan het permanente verslag bloot te stellen.