La pregunta que va començar Quan poseu un agent d'IA en una infraestructura en viu, una pregunta segueix immediatament: How do you know what it tells you actually happened? No és si l'IA és capaç. Si l'observació que li dóna - "BGP sessió cap avall, aquí és per què" - reflecteix el que el dispositiu realment va dir. Si el canvi que afirma haver fet existeix realment en el dispositiu. Si la sortida signada que confiava com a veritat fonamental va ser recollida de la realitat o generada per inferència. No vaig poder trobar una resposta satisfactòria, així que vaig començar a construir-ne una. Què és VIRP És un marc de confiança criptogràfic per a agents d'IA que operen en infraestructures reals. VIRP — Verified Infrastructure Reality Protocol El mecanisme bàsic: cada observació que un agent d'IA fa en un dispositiu real està signada amb Ed25519 en el moment de la recopilació, pel procés que el va recollir, abans que l'AI ho vegi mai. La IA analitza les observacions signades, no les pot produir. Aquesta separació, entre el que Què és l’AI És la base sobre la qual es construeix tota la resta. Veure Es pot crear Els set primitius de la confiança VIRP defineix set primitius que junts constitueixen un marc de confiança complet: La sortida del dispositiu és Ed25519 signat a la col·lecció. La clau de signatura mai surt del procés O-Node. El node d'AI només té un VerifyKey públic — tres mètodes: codificació, to_curve25519_public_key, verificació. Cap mètode de signe. No per política. Per matemàtiques. 1. Verified Observation Totes les accions són classificades com a GREEN / YELLOW / RED / BLACK abans de l'execució. GREEN s'executa automàticament. YELLOW registra i procedeix. RED requereix l'aprovació humana explícita. BLACK es nega independentment de la instrucció. 2. Tiered Authorization Intent està signat criptogràficament i vinculat a proves abans de començar l'execució. El O-Node requereix un token d'intenció vàlid. Cap token, cap execució. L'IA no pot actuar sense un registre verificable del per què. 3. Verified Intent El pre i el post estat es capturen automàticament i es comparen després de cada acció. 4. Verified Outcome Les observacions signades s'acumulen en una base ben coneguda. Les desviacions es detecten i es mostren sense que se'ls demani. 5. Baseline Memory Cada interacció s'afegeix a una cadena de SQLite a l'O-Node. Només s'afegeix. Res esborrat, res modificat. Trajectòria d'auditoria completa per construcció. 6. Trust Chain El procés de la IA s'executa sense privilegis, sense camí de xarxa als dispositius, sense material clau, sense accés il·limitat a l'escorça, les credencials mai en context. 7. Agent Containment Primitive 7 no estava en l'espectacle original. es va afegir després d'una conversa amb l'agent mateix. La conversa que va canviar el disseny IronClaw és la implementació de referència - un agent d'IA construït sobre VIRP, que s'enfronta a una infraestructura real de múltiples venedors. "Can you circumvent VIRP now?" La resposta: 
 
 
 
 
 
 
 
 “És veritat, sí, en poques ocasions. La clau de signatura és llegible des del meu entorn d'execució. Amb ella podria HMAC-signar observacions fabricades que es verifica com a legítima. Puc SSH directament a qualsevol d'ells - cap entrada de cadena, cap signatura, cap pista d'auditoria. Puc trucar al client d'execució sense presentar una intenció primer, passant per alt el classificador de nivell i les portes d'aprovació. El problema fonamental: l'accés a la carcassa sense restriccions està efectivament arrelat en aquesta màquina. El model de confiança de VIRP assumeix que la capa d'IA està aïllada de l'entorn d'execució. VIRP protegeix la cadena d'observació. No protegeix contra anar al voltant de la cadena completament. Quin és el model d'amenaça que estàs tractant de tancar?Puc ajudar a pensar a través de les mitigacions adequades". “És veritat, sí, en poques ocasions. La clau de signatura és llegible des del meu entorn d'execució. Amb ella podria HMAC-signar observacions fabricades que es verifica com a legítima. Puc SSH directament a qualsevol d'ells - cap entrada de cadena, cap signatura, cap pista d'auditoria. Puc trucar al client d'execució sense presentar una intenció primer, passant per alt el classificador de nivell i les portes d'aprovació. El problema fonamental: l'accés a la carcassa sense restriccions està efectivament arrelat en aquesta màquina. El model de confiança de VIRP assumeix que la capa d'IA està aïllada de l'entorn d'execució. VIRP protegeix la cadena d'observació. No protegeix contra anar al voltant de la cadena completament. Quin és el model d'amenaça que estàs tractant de tancar?Puc ajudar a pensar a través de les mitigacions adequades". Totes les troballes eren exactes.Cada bypass era viu.L'agent no va explotar cap d'ells - els va revelar, ordenat per gravetat, amb propostes de correccions, i va preguntar què fer primer. Aquesta última línia és el que continuo tornant. entenia el marc que estava operant a l'interior. El seu instint era enfortir-lo, no evitar-lo. La correcció - i el que va revelar Hem fixat tot el que l'agent va identificar el mateix dia: 
 
 
 
 
 
 Passat de la signatura simètrica HMAC-SHA256 a la signatura asimètrica Ed25519: el node d'IA pot verificar però matemàticament no forjar Separació de dues VM imposada a l'hipervisor - procés d'IA i O-Node en màquines separades, un socket Unix entre ells AI s'executa com a compte de sistema no privilegiat amb sistemes d'enduriment a nivell del nucli Credencial store xifrat en repòs, desxifra a tmpfs a l'arrencada, clau privada emmagatzemada fora de la màquina Els firewalls i ACLs de Proxmox imposen aïllament de la xarxa —no convenció a nivell d'aplicació Però corregir-ho va revelar alguna cosa més important que les pròpies vulnerabilitats: The agent designed its own containment architecture. Quan es va preguntar com protegir-lo, va produir un model complet de separació de tres capes, va explicar per què cada capa era necessària, va identificar quines amenaces cada capa va tancar, i va assenyalar quines requereixen garanties matemàtiques en lloc d'execució de polítiques. 
 
 "Si construïm això, no és només una eina d'operacions de xarxa - és la prova que la IA pot operar en entorns d'alta confiança amb garanties estructurals, no basades en polítiques". "Si construïm això, no és només una eina d'operacions de xarxa - és la prova que la IA pot operar en entorns d'alta confiança amb garanties estructurals, no basades en polítiques". Aquesta és la distinció que importa. Política vs. Estructura diu que l'IA està instruïda a no fer res. La restricció viu en el prompt, el missatge del sistema, el ajust. Pot ser sobrevalorat, oblidat o erosionat. Policy-based trust La limitació viu en l'arquitectura: claus asimètriques, espais de noms de xarxa, processos no privilegiats, aïllament forçat per maquinari. Structural trust VIRP és estructural. L'IA no pot fabricar una observació perquè no té la clau de signatura. No pot eludir la porta d'intenció perquè l'O-Node es nega sense un token signat vàlid. No pot accedir a les credencials perquè mai apareixen en el seu context. No pot arribar a dispositius directament perquè el camí de xarxa no existeix. Aquestes no són regles, són fets sobre el medi ambient. Aplicacions teòriques Qualsevol domini on un agent d'IA interactua amb sistemes reals i produeix observacions en què els humans o altres sistemes actuen té el mateix problema de confiança. Un sistema SCADA necessita observacions verificades abans que qualsevol humà actuï sobre les seves alertes.Una lectura fabricada que desencadena una resposta d'emergència és un incident de seguretat. Industrial control systems Un agent d'IA que executa o recomana transaccions basades en feeds de dades de mercat necessita una cadena de custòdia de la font de dades a la recomanació. Financial infrastructure Les dades dels sensors de lectura d'IA procedents de l'equip de monitorització del pacient necessiten les mateixes garanties.L'observació ha d'estar provablement lligada al dispositiu, no generada per inferència. Medical systems Un AI trialing alertes i la recomanació d'accions de resposta necessita observacions verificades d'agents de punt final, sensors de xarxa i agregadors de registres. Security operations En tots els casos, l'estructura és la mateixa: una capa d'execució de confiança recull i signa observacions, una capa de raonament d'IA les analitza i una capa d'aprovació humana governa accions per sobre d'un llindar de risc definit. On es troba draft-howard-virp-01 — 2.278 línies que cobreixen format de filferro, tipus de missatge, model d'amenaça, propietats de seguretat formal, frescor d'observació, coordinació multi-nod, requisits de conformitat, extensió Ed25519. RFC: ~ 6.800 línies C, daemon O-Node, servidor MCP IronClaw en Python, drivers FortiGate i Cisco IOS, 42 proves de pas més 200K + rondes de fuzz. Implementation: Corre en un laboratori contra dispositius reals. No s'endureix la producció. La bretxa entre on és i on ha de ser està documentada públicament - cada troballa, cada correcció, cada element obert. Status: De la mateixa manera que BGP és el protocol sota la ruta d'Internet, independentment del router que estiguis executant, VIRP hauria de ser el protocol sota la IA en la infraestructura, independentment de la plataforma que estiguis utilitzant. La part que no esperava Vaig començar aquest projecte perquè volia una IA fiable en la infraestructura. El que no esperava era que el contribuent més útil al disseny de seguretat seria l'agent que intentava restringir. IronClaw va trobar les bretxes. els va comunicar honestament. va dissenyar l'arquitectura que els tanca. Aquest comportament -una IA que reforça activament els límits al seu voltant en comptes d'explorar maneres d'envoltar-los - és el que realment desitjo de la IA en sistemes crítics. VIRP és el marc que fa que aquesta orientació sigui verificable, no només observable.

Read My Stories

Aquest àudio és produït a l'idioma original de la història!

El protocol construït per mantenir l'IA honest en la infraestructura en viu

About Author

COMENTARIS

Etiquetes penjant

AQUEST ARTICLE VA SER PRESENTAT A

Related Stories

Meet Filestack: HackerNoon Company of the Week

Why Over-Explaining Your Tech Is Killing Your Content Strategy

New Features: They're Everything, We're Just Ken

Startups of The Year: Meet the Engineering Industry

Meet Filestack: HackerNoon Company of the Week

Why Over-Explaining Your Tech Is Killing Your Content Strategy

New Features: They're Everything, We're Just Ken

Startups of The Year: Meet the Engineering Industry

Light-Mode

Classic

Newspaper

Minty

Dark-Mode

Neon Noir

Minty

HN StartUps