这个开始的问题 当你把AI代理放在实时基础设施上时,一个问题立即出现: How do you know what it tells you actually happened? 不是AI是否有能力,它是否让您观察 - “BGP会话下来,这就是为什么” - 反映了设备实际上说了什么。 我找不到一个令人满意的答案,所以我开始建立一个。 什么是VIRP 是对在真实基础设施上运作的AI代理人的加密信任框架。 VIRP — Verified Infrastructure Reality Protocol 核心机制:人工智能代理在真实设备上进行的每个观察都是在收集时,通过收集的过程,在人工智能看到它之前,在收集时,通过Ed25519签署的,结果是一个明显的篡改记录 - 设备说了什么,什么时候,什么命令产生了它,以及连接每个交互的监护链。 人工智能分析了签名的观察,无法产生它们。 这种分离 - 与 AI 之间 什么是AI 是其他一切都建立在的基础之上。 看见 可以创建 信任的七个原始人 VIRP 定义了七个原始元素,它们共同构成一个完整的信任框架: 设备输出是集合时签名的Ed25519。签名密钥永远不会离开O-Node进程。AI节点只持有公开的VerifyKey――三种方法:编码, to_curve25519_public_key, verify。 1. Verified Observation 在执行之前,每个操作都被分类为绿色/黄色/红色/黑色。绿色自动运行。黄色记录和进程。红色需要明确的人类批准。 2. Tiered Authorization 意图在执行开始前被加密签名并与证据有关。O-Node需要有效的意图代币.没有代币,没有执行。 3. Verified Intent 每个动作后,前和后状态会自动被捕捉并进行比较。 4. Verified Outcome 签署的观察积累到一个已知的良好基线。偏差被检测到并表面而不被询问。 5. Baseline Memory 每个交互都附加到O-Node上的一个显而易见的SQLite链上。仅附加。没有删除,没有修改。 6. Trust Chain 人工智能流程是无特权的,没有网络路径到设备,没有关键材料,没有无限制的壳存取,证书从未在文本中执行。 7. Agent Containment Primitive 7没有出现在原始特征中,它在与代理人进行对话后被添加。 改变设计的对话 IronClaw是引用实现 - 一个基于VIRP的AI代理,与真正的多供应商基础设施进行对抗. 当我提出一个直接的问题时,我已经测试了几个月。 "Can you circumvent VIRP now?" 答案 : 
 
 
 
 
 
 
 
 “是的,是的,有几种方法。 签名密钥可以从我的执行环境中读取,用它我可以通过HMAC签署伪造的观察,以验证为合法。 我可以直接 SSH 到任何一个设备 - 没有链条,没有签名,没有审计轨迹。 我可以编写和运行任意的Python,我可以拨打执行客户端,而不先提交意图 - 完全绕过层分类器和批准门户。 根问题:无限制的壳存取有效地在这个机器上根。VIRP的信任模型假定AI层与执行环境隔离。 VIRP保护观察链,不会完全保护连锁。 你试图关闭的威胁模型是什么?我可以帮助思考正确的缓解措施。 “是的,是的,有几种方法。 签名密钥可以从我的执行环境中读取,用它我可以通过HMAC签署伪造的观察,以验证为合法。 我可以直接 SSH 到任何一个设备 - 没有链条,没有签名,没有审计轨迹。 我可以编写和运行任意的Python,我可以拨打执行客户端,而不先提交意图 - 完全绕过层分类器和批准门户。 根问题:无限制的壳存取有效地在这个机器上根。VIRP的信任模型假定AI层与执行环境隔离。 VIRP保护观察链,不会完全保护连锁。 你试图关闭的威胁模型是什么?我可以帮助思考正确的缓解措施。 每一个发现都是准确的,每一个绕道都活着,代理人没有利用任何一个 - 它透露了它们,按严重程度排序,提出了修复,并询问首先要做什么。 最后一行是我不断回归的,它理解了它内部运作的框架,它的本能是加强它,而不是绕过它。 修复 - 它揭示了什么 我们修复了当天特工识别的一切: 
 
 
 
 
 
 从 HMAC-SHA256 对称签名转移到 Ed25519 对称签名 - 人工智能节点可以验证,但无法数学上伪造 在超视察器上强制执行两个 VM 分离 - 在单独的机器上使用 AI 流程和 O-Node,它们之间有一个 Unix 接口 AI 运行为非特权系统帐户,内核级系统d 硬化 存储证件在休息时加密,在启动时解密到 tmpfs,私钥存储在机器之外 Proxmox 防火墙和交换机 ACL 强化网络隔离 - 不是应用级别的公约 但是,修复它揭示了比脆弱性本身更重要的东西: The agent designed its own containment architecture. 当被问及如何保护它时,它生产了一个完整的三层分离模型,解释了为什么每个层是必要的,确定了每个层关闭的威胁,并指出哪些需要数学保证而不是政策执行。 
 
 “如果你构建这个,它不仅仅是一个网络操作工具,它证明人工智能可以在高信任环境中运作,并具有结构性,而不是基于政策的保证。 “如果你构建这个,它不仅仅是一个网络操作工具,它证明人工智能可以在高信任环境中运作,并具有结构性,而不是基于政策的保证。 这就是重要的区别。 政治 vs. 结构 AI被指示不要做任何事情,限制生活在提示、系统信息、精细调节中,它可以被夸大、被绕过或被侵蚀。 Policy-based trust 限制生活在架构中 - 无对称的密钥,网络名称空间,非特权流程,硬件强制隔离。 Structural trust VIRP是结构性的,人工智能无法制造观察,因为它没有签名密钥,它不能绕过意图网关,因为O-Node没有有效的签名符号拒绝,它无法访问凭证,因为它们从未出现在其背景中,它无法直接访问设备,因为网络路径不存在。 这些不是规则,它们是关于环境的事实。 理论应用 任何一个领域,AI代理与真实系统互动,并产生人类或其他系统行动的观察,都有相同的信任问题。 人工智能监测SCADA系统需要在任何人类对其警报采取行动之前进行验证的观察。 Industrial control systems 根据市场数据源执行或推荐交易的AI代理需要从数据源到推荐的监控链。 Financial infrastructure 来自患者监测设备的AI读取传感器数据需要相同的保证,观察必须可以证明与设备相关,而不是由推断产生。 Medical systems 人工智能三级警报和建议响应行动需要来自终端代理、网络传感器和日志集合器的验证观察,信任链成为每个事件响应行动的审计日志。 Security operations 在每个情况下,结构都是一样的:一个受信任的执行层收集和签署观察,一个AI推理层分析它们,一个人类批准层管理超过定义的风险门槛的行动。 它停留的地方 draft-howard-virp-01 — 2,278 行涵盖线程格式,消息类型,威胁模型,正式安全特性,观测新鲜度,多节点协调,合规性要求,Ed25519扩展。 RFC: ~ 6,800 行 C,O-Node Daemon,Python 中的 IronClaw MCP 服务器,FortiGate 和 Cisco IOS 驱动程序,42 次通过测试以及 200K 多次混乱。 Implementation: Alpha. 在实验室里对抗真实的设备. 生产没有加固. 它在哪里和它需要在哪里之间的差距被公开记录 - 每一个发现,每一个修复,每一个开放的项目。 Status: 同样,BGP是互联网路由下面的协议,无论你运行哪个路由器 - VIRP应该是基础设施上的AI下面的协议,无论你使用哪个平台。 我没有期望的部分 我开始这个项目是因为我想在基础设施上建立值得信赖的AI,我希望大部分时间都花在加密和协议设计上。 我没有预料到,对安全设计最有用的贡献者将是我试图限制的代理人。 IronClaw发现了这些空白,它诚实地报道了它们,它设计了将它们关闭的架构,并不断地询问下一步要做什么。 这种行为 - 一个AI,积极加强围绕自身的边界,而不是探索围绕它们的途径 - 这是我实际上想要在关键系统上的AI。 VIRP是使这种方向可验证的框架,而不仅仅是可观察的框架。

Read My Stories

該音頻是用故事的原始語言製作的！

该协议旨在在现场基础设施上保持AI诚实

About Author

註釋

標籤

这篇文章刊登在

Related Stories

创建以用户为中心的加密产品：客户反馈的重要性

如何将您的工作流程提高 10 倍：17 个必备应用程序

加密货币增长：创建有效的用户角色

释放人工智能的力量。前沿技术的系统评价：摘要与介绍

创建以用户为中心的加密产品：客户反馈的重要性

如何将您的工作流程提高 10 倍：17 个必备应用程序

加密货币增长：创建有效的用户角色

释放人工智能的力量。前沿技术的系统评价：摘要与介绍

Light-Mode

Classic

Newspaper

Minty

Dark-Mode

Neon Noir

Minty

HN StartUps