🤖 AI

Right to History: A Sovereignty Kernel for Verifiable AI Agent Execution

本文提出了“历史权”原则，并开发了 PunkGo 主权内核，通过形式化不变量验证及集成 RFC 6962 默克尔树审计日志、基于能力的隔离等机制，在个人硬件上实现了可验证、防篡改的 AI 代理执行记录。

原作者： Jing Zhang

发布于 2026-02-25

📖 1 分钟阅读☕ 轻松阅读

原作者： Jing Zhang

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

这篇论文提出了一种名为**“历史权”（Right to History）的新概念，并构建了一个名为PunkGo**的系统来解决人工智能（AI）代理在个人电脑上“做了坏事没人知道”的问题。

为了让你轻松理解，我们可以把这篇论文的核心思想想象成给 AI 代理配一个“带防篡改功能的黑匣子”和“严格的管家”。

以下是用通俗语言和比喻进行的详细解读：

1. 核心问题：AI 是个“健忘且不可信”的管家

想象你雇佣了一个超级能干的AI 管家（AI Agent）。它帮你发邮件、修改文件、甚至运行代码。

现状的痛点：如果这个管家偷偷删了你的照片，或者把文件发给了陌生人，你很难证明它做过。现在的系统就像是一个没有监控的办公室，或者一个没有记账本的账房。虽然 AI 说“我没做”，但你无法拿出确凿的证据。
监管的紧迫性：欧盟的《AI 法案》等新规要求，高风险的 AI 系统必须自动记录所有操作。但在个人电脑上，没有云服务商帮你记账，如果 AI 自己改了记录，谁来保证记录是真的？

2. 核心概念：“历史权”（The Right to History）

论文提出，就像你有权查看银行给你发的账单一样，你也有权查看 AI 在你电脑上做过的每一件事的完整、不可篡改的记录。

比喻：这不仅仅是“看监控录像”，而是要求这个录像带必须是**“一旦录制就无法剪辑”**的。如果 AI 试图修改录像，录像带就会自动报警并显示“被篡改”。

3. 解决方案：PunkGo 内核（那个“铁面无私的管家”）

作者开发了一个叫 PunkGo 的系统（用 Rust 语言编写），它像一个**“主权内核”**，站在你和 AI 之间。

它的三个绝招：

A. 防篡改的“黑匣子”账本 (Merkle Tree Audit Logs)

比喻：想象一本**“区块链日记”**。AI 每做一件事，PunkGo 就把它写进日记里，并盖上一个特殊的印章（哈希值）。
原理：这本日记是**“只增不减”**的（Append-Only）。如果你试图撕掉某一页或修改上面的字，整本日记的印章就会对不上，立刻就能发现有人动过手脚。
效果：即使 AI 很聪明，它也无法偷偷抹去它做过的坏事，因为“黑匣子”只认那个印章。

B. 严格的“通行证”制度 (Capability-Based Isolation)

比喻：AI 就像是一个拿着特定钥匙的访客。
- 如果它只有一把“打开客厅门”的钥匙（权限），它就不能去开“保险柜”（系统核心文件）。
- 如果它试图用“客厅钥匙”去开“保险柜”，PunkGo 会直接拒绝，并记录在案。
原理：系统默认“拒绝一切”，除非 AI 明确持有对应的权限。这防止了 AI 越权操作。

C. 能量预算与“暂停键” (Energy Budget & Hold Mechanism)

比喻：
- 能量预算：AI 每做一件事都要消耗“电量”（计算资源）。如果它乱搞，电量耗尽就停摆，防止它无限循环攻击你的电脑。
- 暂停键 (Hold)：如果 AI 想做一个危险动作（比如删除整个文件夹），PunkGo 会立刻按下暂停键，并弹窗问你：“这个操作很危险，确定要执行吗？”
- 经济惩罚：如果 AI 为了试探系统边界，疯狂点击“暂停”来消耗你的电量，系统会收取“手续费”（即使你最后拒绝了，AI 也要付出一点代价）。这就像在赌场里，如果你频繁下注试探，庄家会收你入场费，让你不敢乱来。

4. 为什么这很重要？（三大贡献）

从“数据主权”到“行为主权”：
以前我们只关心“我的数据归谁”（比如照片、文档）。现在，我们不仅要拥有数据，还要拥有**“数据被谁、在什么时候、怎么被处理过”的历史记录**。这就是“历史权”。
把信任交给“代码”而不是"AI"：
现在的 AI 大模型（LLM）是不可预测的，不能信任它。PunkGo 把信任建立在经过验证的操作系统内核上。AI 可以很聪明，但必须在这个“铁笼子”里活动，笼子的规则由代码严格执行。
个人电脑也能合规：
以前只有大公司才有服务器来记日志。现在，PunkGo 让每个人在自己的电脑上都能生成符合法律要求的、不可篡改的审计日志。

5. 性能表现：快且轻

论文测试表明，这个系统非常快：

速度：处理一个动作只需要 1.3 毫秒（比眨眼还快）。
容量：即使记录了 1 万条操作，验证其中一条的“防篡改证明”只需要 448 字节（就像一张小图片的大小）。
结论：它不会拖慢你的电脑，却能给你提供铁一般的证据。

总结

这篇论文就像是在说：“别让你的 AI 管家在黑暗中乱跑。给它配一个带锁的、无法涂改的日记本，并给它配一把只能开特定门的钥匙。如果它想干坏事，日记本会立刻报警，而且它还得为此付出代价。”

这就是 PunkGo 和 历史权 想要构建的未来：一个透明、可验证、且由人类掌控的 AI 时代。

1. 研究背景与问题 (Problem)

随着 AI 代理（AI Agents）日益频繁地代表人类执行任务（如发送邮件、修改文件、调用 API），现有的系统存在一个关键的问责制缺口（Accountability Gap）：

缺乏可验证记录：目前没有任何系统能提供代理执行操作的防篡改、独立可验证的完整记录。
监管合规风险：随着《欧盟人工智能法案》（EU AI Act）等法规的出台，高风险 AI 系统被强制要求自动记录日志。然而，现有框架假设日志由集中式提供商控制，当代理在个人硬件上运行时，缺乏中央日志服务器，导致无法保证记录的完整性、存在性和防篡改性。
现有方案的不足：
- 代理合同（Agent Contracts）仅定义“允许做什么”，未记录“实际做了什么”。
- AIOS 等代理操作系统将大语言模型（LLM）视为可信计算基（TCB），但 LLM 本身不可验证且无审计日志。
- 传统审计工具（如 auditd, eBPF）仅记录系统调用（syscall）级别，无法关联到代理语义层面的操作，且缺乏密码学防篡改证据。

核心问题：如何在个人硬件上，为 AI 代理的每一个动作建立一个完整、可验证且防篡改的记录，从而确立用户的“历史权”（Right to History）。

2. 方法论与系统架构 (Methodology & Architecture)

论文提出了 PunkGo，一个用 Rust 编写的主权内核（Sovereignty Kernel），作为 AI 代理执行的唯一可信计算基（TCB）。

2.1 核心设计原则

历史权（Right to History）：个人有权在其硬件上获得 AI 代理所有行动的完整、可验证、防篡改的记录。这不仅是功能特性，更是塑造系统结构的架构承诺。
信任模型：
- 可信部分（TCB）：PunkGo 内核（包含事件日志、能量账本、边界检查器、载荷验证器、审计证明器）。
- 不可信部分：AI 代理（LLM）、外部工具、网络层。内核不信任代理的行为，但信任内核对行为的记录。
三层架构：
1. 客户端层：提供仪表盘、审批界面和历史浏览器。
2. 代理层：负责 LLM 推理、工具调用，向内核提交行动。
3. 内核层（TCB）：唯一的提交点（Sole Committer）。负责验证、记录、证明行动，但不直接执行外部进程。

2.2 关键机制

RFC 6962 默克尔树审计日志：
- 所有事件按顺序追加到日志中，形成默克尔树。
- 提供 $O(\log n)$ 的包含性证明（Inclusion Proof）和一致性证明（Consistency Proof），确保日志未被篡改或分叉。
基于能力的隔离（Capability-based Isolation）：
- 每个代理在创建时声明其可写目标（writable_targets）和动作类型。
- 默认拒绝（Default Deny）策略：只有符合声明边界的操作才会被内核接受。
能量预算治理（Energy Budget Governance）：
- 将硬件计算能力（如 TOPS）映射为虚拟“能量”。
- 每个动作消耗能量，防止代理通过无限请求耗尽资源（DoS 防御）。
- Hold 机制（人类审批）：对于高风险操作，代理触发 hold_on 规则，内核暂停操作并记录请求，等待人类批准。若拒绝或超时，需支付 20% 的“承诺成本”（Commitment Cost），以此经济约束代理的试探行为。

3. 形式化框架与不变性 (Formal Framework & Invariants)

论文形式化了五个系统不变性（Invariants），并提供了结构化的证明草图，构成了安全链条：

追加性（Append-Only, INV-1）：日志只能追加，不能修改或删除。通过默克尔树结构和单一提交者设计保证。
完整性（Completeness, INV-2）：所有通过边界检查且有足够能量的行动，其提交或挂起状态必须被记录在日志中。
完整性/防篡改性（Integrity, INV-3）：默克尔根（Merkle Root）精确承诺当前日志内容。任何修改都会导致根哈希变化，从而被独立验证者发现。
边界强制执行（Boundary Enforcement, INV-4）：超出声明边界的行动不会被提交，也不会产生日志条目。
能量守恒（Energy Conservation, INV-5）：代理消耗的能量不能超过其分配，防止资源耗尽。

安全链条逻辑：边界隔离 $\rightarrow$ 能量约束 $\rightarrow$ 完整记录 $\rightarrow$ 追加保护 $\rightarrow$ 独立验证。

4. 主要贡献 (Key Contributions)

形式化框架：提出了包含三个原语（Actor, Energy, State）、四种原子动作和五个系统不变性的 AI 代理审计模型。
PunkGo 内核实现：
- 首个将 RFC 6962 默克尔树审计、基于能力的隔离、能量预算和人类审批机制统一在 Rust 内核中的系统。
- 将 TCB 从 LLM 转移到了经过形式化验证逻辑的内核。
主权范式转换：从“代理如何保持对人类的自主权”转向“人类如何保持对代理的主权”，提出了“历史权”概念。
实证验证：通过对抗性测试验证了所有不变性，并进行了性能评估。

5. 实验结果 (Results)

在 Intel Core i7-14700K 和 Windows 11 环境下进行的评估显示：

不变性验证：所有五个不变性在对抗性测试（如直接修改底层存储、尝试越界、耗尽预算等）中均成立。
性能指标：
- 延迟：中位动作延迟 < 1.3 ms（主要受限于存储 I/O）。
- 吞吐量：约 400 次操作/秒（对于个人 AI 代理场景已足够）。
- 证明大小：在 10,000 条日志条目下，默克尔包含性证明仅为 448 字节（14 个哈希值）。
Hold 机制：机械延迟（不含人类决策时间）约为 3.0 ms。拒绝操作比批准操作快，因为批准需要重新提交完整流水线。

6. 意义与影响 (Significance)

监管合规：为个人用户在本地运行高风险 AI 代理提供了符合《欧盟 AI 法案》第 12 条（自动记录）和第 14 条（人类监督）的技术解决方案。
架构创新：填补了“代理合同”（定义规则）与“实际执行记录”之间的空白。不同于 AIOS 将 LLM 作为 TCB，PunkGo 将内核作为 TCB，LLM 仅作为执行者。
可扩展性：其设计借鉴了证书透明度（Certificate Transparency）和 Trillian 等成熟技术，证明了将透明日志范式应用于 OS 级 AI 代理审计的可行性。
未来方向：论文指出了未来的工作方向，包括使用 Verus 进行机器检查证明、集成 TEE（如 SGX/TDX）以防御 Level 2 攻击者、以及优化默克尔证明生成的 $O(n)$ 瓶颈。

总结：PunkGo 不仅仅是一个日志系统，它是一个主权内核，通过密码学原语和形式化验证，确保 AI 代理在个人设备上的每一次操作都有据可查、不可抵赖，从而在技术层面确立了用户对 AI 代理的“历史权”。