Verifiable Delegated Authority for LLM Agents in Banking: A Formal Architecture, Capability Protocol, and Audit Guarantees
Dit artikel stelt een formele architectuur voor voor beveiligde LLM-agenten in de banksector die autorisatie loskoppelt van het model door middel van verzwakte capability-tokens en deterministische policy-engines, wat aantoonbare garanties biedt voor autoriteitsbeperking, begrensde financiële verliezen en auditintegriteit tegen kwaadwillende actoren.
Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/). Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer
In de risicovolle wereld van het bankwezen is vertrouwen traditioneel gebouwd op rigide regels en voorspelbare actoren. Decennialang hebben banken hun digitale deuren beveiligd door ervoor te zorgen dat elke actie afkomstig is van een bekende mens of een betrouwbare, vooraf geprogrammeerde computerdienst. Deze systemen werken volgens een simpel uitgangspunt: als een verzoek is ondertekend door de juiste persoon en de juiste stappen volgt, is het veilig om uit te voeren. Echter, een nieuw soort werker is het toneel betreden: de kunstmatige intelligentie-agent. In tegen tegenstelling tot een mens of een standaard computerprogramma, worden deze agenten aangedreven door grote taalmodellen die kunnen redeneren door complexe, ongestructureerde informatie zoals e-mails of rapporten. Ze kunnen zelf beslissen welke stappen ze vervolgens zetten. Deze flexibiliteit maakt ze ongelooflijk nuttig voor het afhandelen van rommelige backoffice-taken, maar het introduceert ook een diepe onzekerheid. Omdat deze agenten niet altijd twee keer dezelfde beslissing nemen, zelfs niet wanneer ze met dezelfde informatie worden gevoed, houden de oude beveiligingsmodellen die uitgaan van een voorspelbare actor niet langer stand. Als een AI-agent de sleutels krijgt om geld te verplaatsen, hoe kan een bank er dan zeker van zijn dat hij niet per ongeluk of kwaadwillig fondsen overboekt die hij niet zou mogen overboeken?
Neeraj Aggarwal, een onderzoeker bij Infosys, pakt dit exacte probleem aan met een nieuw framework dat specif으로 voor de bankensector is ontworpen. De kern van het idee is om te stoppen met proberen de AI zelf perfect veilig te maken en in plaats daarvan een beveiligde kooi omheen te bouwen. In deze nieuwe architectuur wordt de AI niet behandeld als een vertrouwde besluitvormer, maar als een onbetrouwbare voorsteller. De AI mag acties voorstellen, maar mag ze nooit rechtstreeks uitvoeren. In plaats daarvan moet elke suggestie door een aparte, deterministische beleidsengine gaan die fungeert als een strikte bewaker. Deze engine controleert de suggestie aan de hand van een reeks regels en een specifieke "capability token" die precies beperkt wat de agent kan doen, hoeveel geld hij kan verplaatsen en voor hoe lang. Het systeem is zo ontworpen dat zelfs als de AI wordt misleid door een kwaadaardige prompt of in de war wordt gebracht door slechte data, hij niet uit zijn toegewezen grenzen kan breken. De onderzoekers bewijzen wiskundig dat onder dit ontwerp de agent nooit zijn eigen bevoegdheden kan opschalen om iets te doen waarvoor hij niet geautoriseerd is, en ze berekenen een nauwkeurige bovengrens voor hoeveel geld er verloren zou kunnen gaan als het systeem wordt aangevallen zonder menselijke tussenkomst.
Om te garanderen dat alles correct is verlopen, hebben de onderzoekers ook een systeem van verifieerbaar bewijs gebouwd. Elke stap die de agent neemt, van het initiële idee tot de uiteindelijke uitvoering, wordt vastgelegd in een beveiligd, onveranderlijk logboek dat is ondertekend en aan elkaar gekoppeld als een ketting. Dit stelt een auditor, of zelfs een andere computer, in staat om maanden later het verslag in te zien en te verifiëren dat de agent binnen zijn regels is gebleven, zonder dat zij het interne denkproces van de AI hoeven te zien of de AI zelf opnieuw hoeven te draaien. Het systeem introduceert ook een methode om meerdere AI-agenten elkaars werk te laten beoordelen. De onderzoekers ontdekten dat het simpelweg toevoegen van meer beoordelaars geen veiligheid garandeert; in plaats daarvan is het cruciaal om beoordelaars te hebben die divers zijn, wat betekent dat ze gebouwd zijn op verschillende modellen of anders getraind zijn. Als alle beoordelaars dezelfde blinde vlek delen, zullen ze allemaal dezelfde fout maken. Door dit risico te kwantificeren, kan het systeem beslissen wanneer een tweede mening daadwerkelijk de kosten waard is en wanneer het noodzakelijk is om te stoppen en om hulp aan een mens te vragen.
Het team testte deze ideeën door een werkend prototype te bouwen en dit door duizenden gesimuleerde aanvallen te halen. In deze tests probeerde een adversariële computer — optredend als een stand-in voor een kwaadwillende agent, zonder een echt taalmodel in de loop — het systeem te misleiden om ongeautoriseerde acties uit te voeren, zoals het vervalsen van tokens, het herhalen van oude commando's of het manipuleren van de logs. In 700.000 pogingen heeft het systeem elke ongeautoriseerde uitvoering succesvol geblokkeerd. De simulaties, die vertrouwden op synthetische data en HMAC-SHA256 gebruikten om echte digitale handtekeningen te vervangen, bevestigden dat de wiskundige limieten op financieel verlies accuraat waren; toen de aanvallers probeerden het systeem tot het absolute uiterste te drijven, kwamen de verliezen exact overeen met de voorspelde maximumwaarde, wat bewees dat het vangnet nauw aansloot. De tests onthulden ook twee specifieke zwakheden in het initiële ontwerp: één gerelateerd aan hoe lang tokens geldig bleven en een andere met betrekking tot de mogelijkheid om logs terug te draaien naar een eerdere staat. Het definitieve ontwerp sloot deze gaten, waardoor zelfs als een aanvaller erin slaagt een token te stelen, deze slechts één keer en alleen binnen een zeer kort tijdsbestek gebruikt kan worden.
Deze aanpak vertegenwoordigt een verschuiving in hoe we denken over het beveiligen van intelligente systemen in kritieke infrastructuur. In plaats van te hopen dat de AI zich altijd goed zal gedragen, gaat het systeem ervan uit dat de AI dat misschien niet doet en bouwt het een laag van handhaving die gescheiden is van de redenering van de AI. Het resultaat is een workflow waarbij de AI haar werk kan doen van het sorteren van complexe informatie en het voorstellen van oplossingen, terwijl de bank de absolute controle behoudt over de uiteindelijke actie. De onderzoekers hebben aangetoond dat het mogelijk is om krachtige, geautomatiseerde agenten in een bankomgeving te hebben zonder een oncontroleerbaar risico te creëren. Door de AI te behandelen als een voorsteller en de executielaag als de handhaver, en door een onveranderlijk verslag van elke beslissing bij te houden, kunnen banken beginnen met het gebruik van deze instrumenten met een niveau van veiligheid en verantwoording dat voorheen onmogend was. Het werk blijft een formeel model en een simulatie, maar het biedt een duidelijk, bewezen pad om AI-agenten van experimentele tools naar de kern van gereguleerde financiële operaties te brengen.
Verdrinkt u in papers in uw vakgebied?
Ontvang dagelijkse digests van de nieuwste papers die bij uw onderzoekswoorden passen — met technische samenvattingen, in uw taal.