Cryptographic Registry Provenance: Structural Defense Against Dependency Confusion in AI Package Ecosystems
本文提出了一种加密注册溯源系统，通过在 AI 软件包生态系统中实施强制性的发布者与注册机构双重签名，并结合客户端的加密执行机制，以消除软件分发中的结构性漏洞，从而抵御依赖混淆攻击。
原始论文根据 CC0 1.0（http://creativecommons.org/publicdomain/zero/1.0/）发布到公有领域。 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。 阅读完整免责声明
想象一下，你正在从一家面包店订购定制蛋糕。你有一家位于社区内的私人、可信赖的面包店（你公司的内部注册表），还有一个巨大的公共市场，任何人都可以在那里出售蛋糕（公共互联网注册表）。
问题：“假面包师”诡计
目前，如果你要订购“巧克力蛋糕”，你的送货司机可能会不小心从公共市场的一个陌生人那里取走蛋糕，这个人恰好将蛋糕命名为“巧克力蛋糕”，并贴上了更高的价格标签。司机无法分辨，因为蛋糕盒看起来一模一样，而司机只检查一份可以轻松更改或忽略的指令列表（配置）。
这被称为依赖关系混淆攻击。黑客通过伪装成公司自己的私有软件，但来自公共、不可信的来源，诱骗公司下载恶意软件。一旦恶意软件被安装，就无法证明它究竟来自何处。
解决方案：“防篡改护照”系统
该论文提出了一种新系统，每个软件包都附带一份加密“护照”，证明它究竟是由哪家面包店（注册表）交付的。它的工作原理类似于三层安全检查：
第一层：面包师的身份证（注册表身份）
每家面包店（注册表）都会获得一张独一无二、不可伪造的身份证（加密密钥）。
- 工作原理：甚至在您下单之前，您的公司就会声明：“我们只信任社区面包店。”系统会检查交付蛋糕的面包店的身份证。如果不是社区面包店，交付将立即被拒绝。
- 类比：这就像俱乐部门口的保安检查特定的 VIP 名单。如果您的名字不在这家特定俱乐部的名单上，您就无法进入。
第二层：双重签名（双重签名模型）
每个蛋糕盒都会获得两个签名，就像公证人和面包师共同签署一份文件一样。
- 面包师的签名：制作蛋糕的人首先签名，表示“这是我做的”。
- 配送服务的签名：注册表（配送服务）在收到蛋糕后签名，表示“我已检查此蛋糕，核实了面包师，并且是我将其交付给您”。
- 为什么要两个？ 这证明了两个事实：是谁制作的，以及究竟是哪家配送服务将其送到了您的门口。如果黑客试图调换盒子，第二个签名将与您信任的配送服务不匹配。
第三层：上锁的盒子（权威命名空间绑定）
您不仅仅信任配送服务；您锁上厨房的门，只允许该特定服务进入。
- 工作原理：您的计算机被设定为：“如果包裹声称来自‘公司’命名空间，它必须来自‘公司’注册表的身份证。”如果一个包裹带着正确的名称但错误的身份证到达（即使它看起来完美无缺），您的计算机也会砰地关上门并将其拒绝。
- 类比：这就像拥有一个邮箱，只接受来自您特定邮递员的信件。即使陌生人留下一封看起来和您的邮件一模一样的信，邮箱也不会为他们打开。
“三层”防御
该论文认为，要成功破解此系统，犯罪分子必须同时打破三把不同的锁：
- 欺骗注册表，使其允许他们以您的名义发布（第一层）。
- 欺骗您的计算机，使其信任错误的注册表（第二层）。
- 窃取注册表的秘密数字密钥，以伪造签名（第三层）。
该论文声称，由于第三层（数字签名）在没有私钥的情况下在数学上是不可破解的，因此即使前两层被混淆，攻击概率也会降至零。
那“蛋糕”本身呢？
该论文还介绍了一种特殊的软件打包方式（“双层归档”）。
- 想象软件是一个装在盒子里的易碎蛋糕。
- 内盒：蛋糕本身（已压缩）。
- 外盒：一个透明、不可压碎的信封，内含“护照”（签名和身份证）。
- 好处：送货司机（计算机）可以在不打开内盒的情况下检查外盒中的护照。这使得安全检查极其迅速（毫秒级），并确保护照永远不会丢失或与蛋糕分离。
核心结论
该论文总结道，当前的安全方法就像给司机一张容易丢失或更改的指令纸。而新系统将来源证明内置于包裹本身。它将“相信我”的情况转变为“证明它”的情况，使得在不违反密码学定律的情况下，将私有包裹与公共包裹混淆在数学上成为不可能。
它做不到什么：
该论文承认，该系统无法阻止有人在包裹上伪造名称（名称混淆）或诱骗人类交出密钥（社会工程学）。它严格解决了“究竟是哪个注册表交付了这个文件？”的问题。
您所在领域的论文太多了？
获取与您研究关键词匹配的最新论文每日摘要——附技术摘要，使用您的语言。