تصور کنید یک عامل هوش مصنوعی ابزاری را تأیید کرده است، اما این تأییدیه در دست عامل دوم، به بلیطی منقضا شده تبدیل میشود که هنوز راه باز است. اگر از مدلهای چندعاملی برای اتوماسیون کسبوکار استفاده میکنید، باید بدانید که انتقال «اعتماد» بین این عاملها یکی از بزرگترین حفرههای امنیتی فعلی است.
به نقل از Alice Labs، یک حالت تأییدشده در یک عامل (Agent) — شبیه به پاسپورتی که هویت شما را ثابت میکند — تضمینی نیست که در لحظهٔ استفاده هنوز معتبر باشد. برای حل این ناپایداری، این آزمایشگاه در ۲۱ سپتامبر ۲۰۲۶ مجموعهای از درسهای طراحی را منتشر کرد که بر «بستههای اعتماد» (Trust Bundles) تمرکز دارد؛ بستههای مهرومومشدهای از حالتهای تأییدشده که عاملها برای جلوگیری از اعتبارسنجیهای تکراری، به یکدیگر پاس میدهند.
این چالش درست زمانی رخ میدهد که صنعت به سمت ارکستراسیون چندعاملی حرکت میکند. وقتی یک عامل ابزاری یا بخشی از حافظه را تأیید میکند، انتقال این اعتماد به عامل دیگر اغلب منجر به ایجاد حفرههای امنیتی میشود. یک پاسپورت دیجیتال را تصور کنید: اگر پاسپورت فاقد یک برچسب زمانی ضد-دستکاری باشد، یک مهاجم میتواند بهسادگی از یک پاسپورت قدیمی و منقضیشده برای کسب دسترسی استفاده کند.
همانطور که در تحلیلهای قبلی ما دربارهی امنیت مدلهای بازمتن اشاره کردیم، هر نقطه اتصال جدید، یک سطح حمله جدید است.
زمینه: پیشنهاد LlamaIndex
این چرخش معماری پس از یک پیشنهاد ادغام در LlamaIndex دربارهٔ خروجی و ورودی بستههای حافظهٔ محافظتشده شکل گرفت. مسئله اصلی، جابجایی حالتهای تأییدشده بین عاملهاست. آزمایشگاه Alice Labs بهطور خاص پروتکل Trust Card را برای تأیید هویت عامل-به-عامل به کار گرفته است، جایی که بستههای قابل حمل و مهرومومشده به عنوان اثر مرکزی عمل میکنند.
طبق گزارش Alice Labs، رویکردهای فعلی در برابر حملاتی مثل «مسمومسازی ابزار» (Tool Poisoning)، «Rug Pulls» و «Shadow MCP» آسیبپذیر هستند. برای مقابله با این تهدیدات، تیم مذکور پروتکل Trust Card را پیادهسازی کرده است که بر چهار تغییر بنیادین معماری استوار است:
۱. تثبیت ساعت ارزیابی
اگر عاملی حالتی را در ماه مارس تأیید کند، این مدرک نباید بهطور خودکار در ماه آوریل معتبر باشد. اکثر سیستمها اعتبار را بر اساس ساعت محلی دریافتکننده (Importer) میسنجند که به مهاجم اجازه میدهد با دستکاری زمان میزبان یا بهرهبرداری از اختلاف ساعت (Clock Skew) بین محیطهای مختلف، بستههای قدیمی را دوباره ارسال کند.
- سازوکار: این تیم با ثبت یک
evaluation_clockصریح در داخل بسته، این مشکل را حل کرد. - نتیجه: اعتبار بهجای ساعت محلی متغیر، با یک زمان مرجع تثبیتشده سنجیده میشود و در برابر حملات بازپخش (Replay Attacks) مقاوم میشود.
- ریسک: این روش دقیقاً همان آسیبپذیری ساختاری «Rug Pull» — جایی که تعاریف ابزار بعداً جایگزین میشوند — را در سطح برچسب زمانی هدف قرار میدهد.
۲. سقفگذاری و هش کردن شواهد
رسیدهای کامل — که شامل دستورات، نتایج، کدهای خروجی و هشهای خروجی هستند — بهطور مداوم رشد میکنند. برای عاملی که یک ماه فعال بوده، حجم شواهد بهقدری زیاد میشود که انتقال بسته غیرممکن میشود.
الگو: پروتکل اکنون یک گزیده محدود از خروجی را در کنار یک هش (Hash) کامل از کل رسید ذخیره میکند.
ذخیرهسازی خارج از باند: رسید کامل در فضای مجزایی (Out-of-band) ذخیره شده و فقط هنگام حل اختلافات بازیابی میشود.
مزیت: این کار «وجود مدرک» را از «انتقال مدرک» جدا میکند تا بستهها کوچک بمانند اما قابلیت تأیید کامل داشته باشند.
۳. تست خصمانه دریافتکننده
پارسرهایی که بر اساس ورودیهای نامعتبر تصمیم به اعتماد میگیرند، هدف اصلی مسمومسازی ابزار هستند. چون پارسر همان کدی است که تصمیم نهایی را میگیرد، باید به عنوان یک مرز پرخطر مدیریت شود.
- روش تست: تیم با تولید مکانیکی «بستههای جهش دو-نقطهای» (Two-point mutation bundles) که مرزهای امضا را میشکنند، سیستم را به چالش کشید.
- شرط انتشار: یک نسخه تنها زمانی تأیید میشود که دریافتکننده تمام ورودیهای خصمانه را رد کند.
- مدل: این امر تضمین میکند مدل
observed-until-reverifiedاستوار است، زیرا مسیر اعتبارسنجی مجدد باید در برابر ورودیهای مخرب دوام بیاورد تا معتبر باشد.
۴. جداسازی اعتماد از ارسالکننده
برای جلوگیری از اتکا به یک مرجع مرکزی یا اعتماد کورکورانه به ارسالکننده، سیستم اثر انگشت (Digest) بستهها را به یک دفتر ثبت شفافیت عمومی، مشابه Rekor، متصل میکند.
- زنجیرههای انتشار: ترکیب این روش با یک زنجیره انتشار امضا شده، امکان تأیید و ابطال توسط شخص ثالث را بدون نیاز به سازمان مرکزی فراهم میکند.
- هزینه نگهداری: این کار مشکل «پرشهای متعدد» (Multi-hop) را حل میکند. معمولاً اعتماد با هر بار انتقال بین عاملها (هر پرش) کاهش مییابد، اما اتصال به دفتر ثبت عمومی مانع از این افت میشود.
این تغییر، فرض بنیادین اعتماد در سامانههای عاملمحور را از «چه کسی این را فرستاد» به «آیا این بهطور مستقل قابل اثبات است» تغییر میدهد. برای توسعهدهندگان، این یعنی گذار از کلیدهای ساده API به مدلی از اثبات رمزنگاریشده (Cryptographic Provenance). این امر باعث میشود «تازگی» (Freshness) یک هویت به یک محدودیت طراحی اصلی تبدیل شود.
شکافهای باقیمانده: تازگی هویت
یک شکاف بحرانی همچنان باقی است: تازگی هویت. در حالی که تازگی محتوا توسط مدل observed-until-reverified مدیریت شده است، پروتکل هنوز با چرخش کلیدها (Key Rotation) مشکل دارد. بهطور خاص، بستهای که با یک کلید قدیمی امضا شده، حتی پس از چرخش آن کلید، از نظر رمزنگاری معتبر میماند.
Alice Labs اشاره میکند که پاسخ به این سؤال که آیا بستههای امضا شده با کلید قدیمی باید همچنان قابل پذیرش باشند یا خیر، در حال حاضر یک «برهوت طراحی» (Design Wasteland) است و هیچ پاسخ صنعتی تثبیتشدهای برای آن وجود ندارد.
منابع در دسترس
توسعهدهندگان اکنون میتوانند برای پیادهسازی این استانداردها به مصنوعات متنباز زیر دسترسی داشته باشند:
- Universal Trust Adapter: یک رانر مرجع (تحت لایسنس MIT) شامل قوانین ساعت تثبیتشده و توزیع پنجره خصمانه. مخزن:
https://github.com/alicelabs-llc/universal-trust-adapter - Vector Index: در دسترس در:
https://www.marketnow.site/uta/conformance/vectors/_index.json - Offline Verification SDK: بستهای که فقط از
node:cryptoبا یک رجیستری کلید CA داخلی استفاده میکند. در دسترس از طریق npm:https://www.npmjs.com/package/agent-trust-card
گام بعدی شما
- برای پیادهسازی این استانداردها، از Universal Trust Adapter استفاده کنید که قوانین ساعت تثبیتشده را شامل میشود.
- بسته Offline Verification SDK را از طریق npm نصب کنید تا اعتبارسنجی را بدون وابستگی به سرور انجام دهید.
- ساختار حافظه عاملهای خود را از مدل «اعتماد به منبع» به مدل «اثبات مستقل» تغییر دهید.
اما داستان سختافزاری این تحول حتی شگفتانگیزتر است — به تحلیل ما دربارهی تراشههای Blackwell مراجعه کنید.
گفتگو