Agent Guard: Kernel-Enforced Damage Boundaries for AI Agents via Human-Authorized Contracts

In het moderne digitale landschap is kunstmatige intelligentie geëvolueerd van een eenvoudige tekstgenerator naar een proactieve werker die in staat is om complexe taken te plannen, programma's uit te voeren en te interageren met de bestanden en netwerken op een computer. Deze nieuwe autonomie brengt echter een specifiek soort risico met zich mee: als de AI een fout maakt, wordt misleid door een kwaadaardige prompt, of simpelweg een gevaarlijke instructie hallucineert, kan het commando's uitvoeren die het systeem dat het zou moeten helpen, beschadigen. Traditionele beveiligingsmaatregelen werken vaak als een uitsmijter bij de deur van een club, die de naam van een hulpmiddel controleert voordat het wordt toegelaten, maar ze worstelen ermee om bij te houden wat er gebeurt zodra dat hulpmiddel een shell opent, een child-proces start of een bestand schrijft dat later door een ander programma wordt gelezen. Zodra de AI de initiële controle passeert, kunnen de acties ervan door het besturingssysteem rimpelen, waardoor beveiligingsteams niet meer kunnen onderscheiden welk deel van de uitvoering geautoriseerd was en welk deel de schade heeft veroorzaakt.

Om dit op te lossen, hebben onderzoekers een systeem ontwikkeld genaamd Agent Guard, dat fungeert als een continue, onvermoeibare bewaker binnen de kern, of kernel, van de computer. In plaats van erop te vertrouwen dat de AI de regels volgt of te vertrouwen op de AI om te suggereren wat is toegestaan, vereist dit systeem dat een mens de grenzen bevestigt voordat de AI aan de slag mag. De mens autoriseert een specifieke set regels voor de acties van de AI, en het besturingssysteem van de computer dwingt deze regels vervolgens met absolute zekerheid af. Als de AI probeert iets te doen buiten de geautoriseerde reikwijdte, stopt het systeem dit onmiddellijk, lang voordat er enige schade kan ontstaan. Deze aanpak verschuift de focus van het proberen te voorspellen van elke mogelijke fout die de AI zou kunnen maken, naar het creëren van een rigide, onbreekbare omheining rond de specifieke activa die de mens als veilig heeft bestempeld om aan te raken.

De onderzoekers bouwden dit systeem door een speciale poort te creëren die tussen de autorisatie van de mens en de uitvoering van de AI staat. Voordat de AI een code mag uitvoeren, moet een mens een voorgesteld plan beoordelen en bevestigen welke bestanden en netwerkverbindingen de AI precies mag gebruiken. Deze bevestiging is niet slechts een suggestie; het is een formeel contract dat de computer vastlegt in het besturingssysteem. Het systeem bindt dit contract vervolgens aan de specifieke taak die de AI gaat uitvoeren. Als de AI een commando probeert uit te voeren dat dit contract schendt, weigert het besturingssysteem het verzoek onmiddellijk. Cruciaal is dat het systeem niet alleen het initiële commando controleert; het houdt de hele keten van gebeurtenissen in de gaten. Als de AI een bestand schrijft en dat bestand later door een ander programma wordt gelezen, reist de beperking mee met het bestand. Als de AI een netwerkverbinding opent, zorgt het systeem ervoor dat er geen gegevens de computer kunnen verlaten als het contract dat verbiedt, zelfs als de verbinding werd opgezet voordat de beperking volledig werd toegepast.

Om dit niveau van controle te bereiken, gebruikten de onderzoekers een technologie waarmee het systeem zich direct kan koppelen aan de interne hooks van het besturingssysteem. Ze creëerden een dataplane die elke proces, elk bestand en elk communicatiekanaal voorziet van een specifieke status. Wanneer een proces een beperkt bestand leest, erft het de beperking. Wanneer het naar een pipe of socket schrijft, wordt de beperking doorgegeven naar de andere kant. Deze propagatie is monotoon, wat betekent dat zodra een beperking is toegepast, deze niet kan worden verwijderd door de AI simpelweg een programma te herstarten of een bestand te hernoemen. Het systeem zorgt ervoor dat de "no-go"-status zich door het netwerk van processen verspreidt als een vlek die niet uitgewassen kan worden, waardoor voorkomt dat de AI zijn acties witwast via tussenstappen om de regels te omzeilen.

Het team testte dit systeem grondig om te zien of het daadwerkelijk de schade kon stoppen waarvoor het ontworpen was. Ze voerden honderden formele beveiligingstests uit die negentien verschillende scenario's besloegen, waaronder gevallen waarin de AI probeerde toegang te krijgen tot bestanden waar het geen recht op had, gegevens over het netwerk te verzenden nadat het was beperkt, of beperkingen door te geven aan andere programma's. In elk van de 570 testrecords presteerde het systeem exact zoals bedoeld. Het weigerde ongeautoriseerde acties succesvol, verspreidde beperkingen correct over verschillende soorten bestanden en communicatiekanalen, en zorgde ervoor dat er geen neveneffecten optraden buiten de afgesproken grenzen. Het systeem bewees dat het een strikte, door de mens geautoriseerde schade-omgeving kon handhaven zonder ooit de eigen oordeelsvorming of beleidssuggesties van de AI nodig te hebben.

Naast het bewijzen dat het werkte, maten de onderzoekers ook hoeveel deze extra laag beveiliging de computer vertraagde. Ze vergeleken hun systeem met een eerdere methode genaamd ActPlane, wat een vergelijkbaar beveiligingsinstrument is. In tests waarbij bestanden werden gelezen en geschreven, voegde het nieuwe systeem een vertraging toe van ongeveer 12 procent vergeleken met een computer zonder beveiligingsmaatregelen. In contrast hiermee vertraagde het oudere systeem de computer met tussen de 33 en 61 procent, afhankelijk van de taak. Dit significante verschil suggereert dat de nieuwe aanpak niet alleen veiliger is, maar ook veel efficiënter, wat het praktisch maakt voor echt gebruik waar snelheid belangrijk is. De onderzoekers ontdekten dat de kosten voor het controleren van de regels en het volgen van de datastroom minimaal waren, vooral in vergelijking met de zware overhead van de vorige generatie tools.

De studie benadrukte ook wat het systeem niet doet, wat even belangrijk is als wat het wel doet. Het systeem beweert niet elk mogelijk probleem met AI-veiligheid op te lossen, noch garandeert het dat de initiële beslissing van de mens perfect was. Het zorgt er simpelweg voor dat wat de mens besluit de regel te zijn, de computer die regel zonder falen volgt. Het beschermt niet tegen activa die nooit zijn opgegeven, noch stopt het een AI die schade aanricht als de mens expliciet een gevaarlijke actie autoriseert. Het systeem is een instrument voor handhaving, geen vervanging voor menselijk oordeel. Het neemt het complexe, vaak vage idee van "veilige AI" en zet het om in een concrete, technische realiteit waarbij de grenzen worden gedefinieerd door een persoon en worden afgedwongen door de machine.

Uiteindelijk laat het werk zien dat het mogelijk is om een vangnet voor kunstmatige intelligentie te creëren dat zowel strikt als efficiënt is. Door de rol van de AI, die acties voorstelt, te scheiden van de rol van de mens, die ze autoriseert, en vervolgens het besturingssysteem te gebruiken om die autorisaties af te dwingen, hebben de onderzoekers een model gecreëerd waarbij schade begrensd en voorspelbaar is. Het systeem vertrouwt er niet op dat de AI zich goed gedraagt; het vertrouwt op het besturingssysteem om te voorkomen dat de AI zich slecht gedraagt. Deze verschuiving van het vertrouwen in de agent naar het afdwingen van het contract vertegenwoordigt een fundamentele verandering in hoe we de toekomst van autonome computing kunnen beveiligen, waarbij gewaarborgd wordt dat zelfs als de AI een fout maakt, de gevolgen beperkt blijven binnen de muren die de mens heeft gebouwd.