مشخصات ATC/1.0: نخستین استاندارد باز برای کارت‌های اعتماد عامل

تصور کنید هر وب‌سایتی که باز می‌کنید، هیچ راهی برای اثبات این موضوع نداشته باشد که واقعاً بانک شماست یا یک کپی مخرب. این دقیقاً همان وضعیتی است که امروز عامل‌های هوش مصنوعی با آن دست‌وپنجه نرم می‌کنند. در حالی که بحث‌های طولانی بر سر این موضوع بود که چه کسی «کارت‌های اعتماد عامل» (Agent Trust Cards) را اختراع کرده است، اکنون گفتگوها به سمتی تغییر کرده که چه کسی واقعاً می‌تواند یک لایه امنیتی قابل تست را پیاده‌سازی کند. این گذار در ۱۰ اوت ۲۰۲۶ رخ داد، زمانی که ادیسون فلورز ATC/1.0 را به عنوان یک استاندارد رسمی رمزنگاری برای عامل‌های هوش مصنوعی منتشر کرد.

ما ابزارهای زیادی برای ساخت عامل (Agent) داریم، اما فاقد یک «گواهینامه SSL» جهانی هستیم که به سیستم گیرنده بگوید این عامل دقیقاً چیست، چه کسی پشت آن است و اجازه انجام چه کارهایی را دارد. این شکاف منجر به همگرایی پر هرج‌ومرجی از پیشنهادها شده است. در چند ماه گذشته، گوگل، OpenAI و گروه‌های مختلف دانشگاهی همگی مفاهیم متفاوتی از «کارت عامل» را مطرح کرده‌اند. اکثر این‌ها صرفاً توصیف‌گر هستند؛ یعنی می‌گویند یک عامل چه کارهایی می‌تواند انجام دهد، اما هیچ تضمین رمزنگاری ارائه نمی‌دهند که ثابت کند این اطلاعات درست است یا در حین انتقال دست‌کاری نشده است.

همان‌طور که در تحلیل‌های پیشین ما درباره‌ی امنیت مدل‌های بازمتن اشاره کردیم، نبودِ یک لایه‌ی اعتبارسنجی سخت‌افزاری یا ریاضی، بزرگ‌ترین مانع برای استقرار عامل‌ها در محیط‌های سازمانی است. این نیاز به شفافیت و اثبات منشأ، یادآور بحران مالکیت کد در اوایل اوت است که شرکت‌ها را مجبور کرد برای عبور از بازرسی‌های امنیتی، منشأ کدهای خود را به دقت اثبات کنند. در ۱۰ اوت ۲۰۲۶، ادیسون فلورز (Edison Flores) با انتشار ATC/1.0، این شکاف را با یک استاندارد رسمی رمزنگاری پر کرد.

زمینه و همگرایی بازار

بازار به سرعت به سمت زیرساخت‌های اعتماد در حال حرکت است زیرا مشکل واقعی و بدیهی است. تنها در ماه گذشته، چندین چارچوب رقیب ظاهر شدند:

• A2A Agent Card (گوگل، می ۲۰۲۶): یک توصیف‌گر قابلیت‌ها که فاقد اعتماد رمزنگاری است.
• AgentCards (دانشگاهی، ژوئن ۲۰۲۶): متمرکز بر اعتبارنامه‌های هویت و قابلیت، اما مفهومی و بدون الزام به داشتن مرجع صدور گواهینامه (CA).
• OpenA2A AIP (پیش‌نویس اینترنتی، ۲۲ جولای ۲۰۲۶): ترکیبی از Ed25519 با اعتماد رفتاری، شناسه‌های غیرمتمرکز (DIDs) و لاگ‌های شفافیت.
• OATI (موضوع گیت‌هاب، ۲۹ جولای ۲۰۲۶): دارای دامنه گسترده‌تری که شامل هویت، اختیارات تفویض شده، سیاست‌ها و رسیدهای امضا شده است.
• ATC (ادیسون فلورز، ۱۳ جولای ۲۰۲۶): نخستین استفاده عمومی از نامی که CA، امضای Ed25519، ابطال، قابلیت‌ها و پرداخت را ترکیب می‌کند.

بحث بر سر اولویت و پیشینه

فلورز معتقد است بحث بر سر اینکه «چه کسی اول این ایده را داشت» در فضای عمومی بی‌فایده است، زیرا اینترنت قصد و نیت را ثبت نمی‌کند. در حالی که او می‌تواند ثابت کند انتشار ۱۳ جولای او در dev.to اولین استفاده از نام ATC با این معماری خاص بوده است، اما یک مشخصات فنی نسخه‌بندی شده (Versioned Specification) یک حقیقت است که می‌توان آن را اجرا و تست کرد؛ بنابراین استدلال علیه آن سخت‌تر از یک ادعای زمانی است.

او به تاریخچه وب به عنوان یک سابقه اشاره می‌کند. SSL صرفاً به این دلیل برنده نشد که نت‌اسکیپ HTTPS را اختراع کرد، بلکه برنده شد چون هر مرورگری آن را پیاده‌سازی کرد. به همین ترتیب، گروه کاری TLS بر سر اینکه چه کسی اول به فکر «پین کردن گواهینامه» (Certificate Pinning) افتاد بحث نکردند؛ آن‌ها RFC 7469 را عرضه کردند و اجازه دادند پذیرش بازار تصمیم بگیرد. اگر ATC/1.0 توسط Microsoft AutoGen, OpenAI, Cline و Continue پذیرفته شود، سوال اولویت زمانی بی‌اهمیت می‌شود.

هسته رمزنگاری

هسته‌ی فنی ATC/1.0 با الزام یک پشته فنی خاص، شکاف اعتماد را حل می‌کند. این استاندارد از Ed25519 (RFC 8032) برای امضاها استفاده می‌کند زیرا سریع، قطعی و در کتابخانه‌های استاندارد تمام زبان‌ها پشتیبانی می‌شود. برای اطمینان از اینکه داده‌ها در حین انتقال تغییر نمی‌کنند، از RFC 8785 JCS (طرح کانونی‌سازی JSON) برای کدگذاری قطعی JSON استفاده می‌کند.

فرآیند کار بسیار دقیق است. برای جلوگیری از مشکل «مرغ و تخم‌مرغ» در هشینگ — جایی که نمی‌توانید هشِ محتوایی را بگیرید که خودش شامل آن هش است — مشخصات فنی الزام می‌کند که هر دو فیلد signature و signed_payload_hash پیش از کانونی‌سازی به رشته‌های خالی تبدیل شوند. تنها پس از آن است که هش SHA-256 محاسبه شده، توسط یک مرجع صدور گواهینامه (CA) امضا می‌شود و دوباره در پاکت ذخیره می‌گردد. این امر تضمین می‌کند که تاییدکنندگان می‌توانند دست‌کاری را از طریق signed_payload_hash حتی پیش از تلاش برای بررسی امضا تشخیص دهند.

۱۰ کنترل امنیتی

این مشخصات ۱۰ کنترل مجزا را برای مدیریت رفتار عامل تعریف کرده است. هشت مورد از این‌ها برای هر پیاده‌سازی منطبق، اجباری هستند:

• هویت (ATC-001): ✅ اجباری. شناسایی منحصربه‌فرد عامل.
• گواهی (ATC-002): ✅ اجباری. اتصال عامل به یک CA از طریق Ed25519.
• قابلیت‌ها (ATC-003): ✅ اجباری. مانیفستی از اقدامات مجاز در سیستم‌فایل، شبکه، شل، اعتبارنامه‌ها و مدیریت پردازش.
• شواهد (ATC-004): ✅ اجباری. خروجی‌های خط لوله حسابرسی برای اثبات ایمنی عامل.
• ریسک (ATC-005): ✅ اجباری. امتیاز اعتماد از ۰ تا ۱۰ و سطح ریسک متناظر.
• امضا (ATC-006): ✅ اجباری. مهر رمزنگاری روی فرم کانونی RFC 8785 JCS.
• ابطال (ATC-007): ✅ اجباری. پشتیبانی از OCSP، CRL یا لیست‌های ساده JSON برای غیرفعال کردن کارت‌های لو رفته.
• انقضا (ATC-008): ✅ اجباری. برچسب‌های زمانی سخت‌گیرانه برای صدور (issued_at)، انقضا (expires_at) و حداکثر مدت اعتبار (max_ttl_days).

دو کنترل اختیاری قابلیت‌های پیشرفته‌تری را ارائه می‌دهند:

• تفویض اختیار (ATC-009): اختیاری. به یک کارت والد اجازه می‌دهد کارت فرزندی با قابلیت‌های محدودتر صادر کند.
• اعتماد زمان اجرا (ATC-010): اختیاری. ردیابی سیگنال‌های رفتاری و تشخیص انحراف (Drift Detection) در حین اجرا.

مانیفست قابلیت‌ها و امتیازات اعتماد

سیستم قابلیت‌ها (ATC-003) مستقیماً با OWASP MCP Cheat Sheet هم‌راستا است و مجوزها را به پنج دامنه سخت‌گیرانه تقسیم می‌کند:

• سیستم‌فایل: سطوح دسترسی خواندن/نوشتن: none (هیچ)، own_dir (پوشه خود)، temp_dir (پوشه موقت)، home_dir (پوشه کاربر)، system (سیستم) یا all (همه).
• شبکه: خروجی (none, allowlist, all) و ورودی (none, bound_ports, all).
• شل: سطوح اجرا و ایجاد پردازش: none, sandboxed (در محیط ایزوله) یا unrestricted (بدون محدودیت).
• اعتبارنامه‌ها: دسترسی خواندن برای متغیرهای محیطی و فایل‌ها: none, allowlist یا all.
• پردازش: مدیریت زیرپردازش‌ها و سیگنال‌ها: none, sandboxed, own یا all.

اعتماد به عنوان یک توصیه مدیریت می‌شود، نه یک دستور. ATC-005 دارای یک trust_score (۰-۱۰) است که یک risk_level را تعیین می‌کند:

• ۸-۱۰: کم (Low)
• ۵-۷: متوسط (Medium)
• ۲-۴: زیاد (High)
• ۰-۱: بحرانی (Critical)

نکته حیاتی این است که decision_authority (مرجع تصمیم‌گیرنده) روی «مصرف‌کننده» تنظیم شده است؛ به این معنی که محیط اجرای (Runtime) میزبان عامل، تصمیم نهایی را می‌گیرد. یک CA ممکن است به عاملی امتیاز اعتماد ۹ بدهد، اما یک محیط اجرای شرکتی سخت‌گیر می‌تواند بر اساس سیاست‌های داخلی خود آن را رد کند. CA سیاست امنیتی محیط اجرا را نادیده نمی‌گیرد.

ابطال و تایید آفلاین

برای مدیریت عامل‌های لو رفته یا آلوده، ATC-007 سه روش ابطال را پشتیبانی می‌کند:
۱. ocsp: استفاده از RFC 6960 OCSP برای استقرارهای با امنیت بالا.
۲. crl: لیست‌های ابطال گواهینامه RFC 5280.
۳. simple_json: یک لیست JSON امضا شده توسط CA که توسط MarketNow برای استقرارهای کم‌اصطکاک استفاده می‌شود.

خودِ لیست ابطال توسط CA و با استفاده از همان فرآیند Ed25519 + JCS (مشابه ATC-006) امضا می‌شود.

یک تاییدکننده منطبق می‌تواند ATC را کاملاً آفلاین تایید کند، به شرطی که کلید عمومی CA را در حافظه (Cache) داشته باشد، زیرا کارت شواهد خود (امتیازات حسابرسی، نتایج سندباکس و یافته‌های اسکن بدافزار) را حمل می‌کند. با این حال، اگر revocation_check_required برابر با true باشد، تاییدکننده «باید» لیست ابطال را دریافت کند یا عامل را رد کند. اگر لیست در دسترس نباشد، عامل «باید» رد شود.

پیاده‌سازی و تایید انطباق

برای اثبات عملی بودن این مشخصات، فلورز یک پیاده‌سازی مرجع با Node.js در حدود ۲۰۰ خط کد ارائه کرده است. این کد بر کتابخانه استاندارد node:crypto و بسته canonicalize تکیه دارد. منطق اصلی شامل توابع generateKeyPairSync ،sign و verify برای مدیریت امضاهای Ed25519 است.

انطباق از طریق پنج بردار آزمون (Test Vector) در دامنه عمومی (CC0) تضمین می‌شود که تمام بخش‌های مشخصات را می‌سنجند:

• Minimal Valid: یک کارت پایه که تمام بررسی‌ها را پاس می‌کند.
• Tampered: کارتی که محتوای آن تغییر کرده و باعث ایجاد خطای signed_payload_hash mismatch و شکست امضا می‌شود.
• Expired: کارتی که تاریخ فعلی از expires_at آن گذشته است.
• Wrong CA: کارتی که توسط کلیدی امضا شده که با کلید عمومی CA مورد اعتماد مطابقت ندارد.
• Capability Samples: تست مرزهای مانیفست ATC-003.

اگر توسعه‌دهنده‌ای ATC/1.0 را در Rust یا Python پیاده‌سازی کند، این بردارها تضمین می‌کنند که پیاده‌سازی آن‌ها امضاهای بایت-به-بایت یکسانی تولید می‌کند. این تعریف دقیق «انطباق» است.

رقابت برای استانداردسازی

این انتشار پس از یک دوره هم‌پوشانی شدید صورت گرفت. خط زمانی پیشینه پروژه اشاره می‌کند که در حالی که A2A Agent Card گوگل (۲۲ می ۲۰۲۶) و AgentCards دانشگاهی (۲ جولای ۲۰۲۶) متادیتا ارائه می‌دادند، اما فاقد معماری CA و ابطال ATC بودند.

پس از اعلان ۱۳ جولای، پیشنهادهای مشابهی در چندین فضای برجسته ظاهر شد:

• ۱۶ جولای ۲۰۲۶: ایشو ۷۹۶۵ در Microsoft AutoGen در مورد اعتماد رمزنگاری برای سیستم‌های چند-عاملی.
• ۱۸ جولای ۲۰۲۶: ایشوهای ۲۸۶۵ و ۲۸۶۷ در OpenAI Cookbook (دومی توسط jj5419952-stack پیشنهاد شد).
• ۱۸ جولای ۲۰۲۶: ایشو ۱۲۳۷۶ در Cline، جایی که فلورز ATC را به پروژه Cline معرفی کرد.
• ۲۳ جولای ۲۰۲۶: ایشو ۲۸۷۵ در OpenAI Cookbook، با ادغام MarketNow، ATC و Sentinel.

نقشه راه ATC بسیار تهاجمی است:

• ATC/1.0 (۱۰ اوت ۲۰۲۶): مشخصات فعلی تامین‌کننده، پیاده‌سازی مرجع و بردارهای تست.
• پذیرش ATC/1.0 (سه ماهه ۳ و ۴ سال ۲۰۲۶): هدف، داشتن حداقل دو پیاده‌سازی مستقل است که تست‌های انطباق را پاس کنند.
• ATC/1.1 (سه ماهه ۴ سال ۲۰۲۶): معرفی امضاهای پساکوانتومی ML-DSA، پروتکل‌های چرخش کلید CA و زنجیره‌های تفویض اختیار.
• ارسال به W3C CG (سه ماهه ۱ سال ۲۰۲۷): ارسال به گروه جامعه W3C برای بررسی گسترده‌تر.
• پیش‌نویس IETF (سه ماهه ۲ سال ۲۰۲۷): ارسال به عنوان یک پیش‌نویس فردی IETF.
• ATC/2.0 (سال ۲۰۲۷): ادغام لاگ‌های شفافیت مرکل (Merkle)، ادغام DID و ابطال قابلیت‌های خاص (به جای ابطال کامل کارت).

پیامدهای بازار

برای توسعه‌دهندگانی که محیط‌های اجرای عامل، سرورهای MCP یا بازارهای عامل می‌سازند، این یک هدف concrete فراهم می‌کند. به جای اختراع یک دست‌دادن (Handshake) امنیتی سفارشی برای هر ادغام جدید، آن‌ها می‌توانند یک مجموعه تست انطباق واحد را پیاده کنند. خودِ مشخصات تحت شرایط W3C CG-FSA باز است، در حالی که پیاده‌سازی مرجع تحت لایسنس اختصاصی MNNC-1.0 قرار دارد.

این موضوع دینامیک قدرت را از سازنده عامل به مصرف‌کننده منتقل می‌کند. با استانداردسازی «شواهدی» که یک عامل باید ارائه دهد، صنعت می‌تواند به سمتی حرکت کند که با عامل‌ها مانند بسته‌های نرم‌افزاری احراز شده برخورد شود، نه اسکریپت‌های جعبه‌سیاه. این رویکرد سخت‌گیرانه به بازرسی‌های خودکار شباهت دارد؛ همان‌طور که سیستم NexaVerify توانست در عرض چند ثانیه ده‌ها حفره امنیتی را شناسایی کند و نشان داد که تحلیل‌های ماشینی می‌توانند از تخصص انسانی پیشی بگیرند.

اگر ATC/1.0 به پیش‌فرض ابزارهایی مثل Microsoft AutoGen، Cline یا Continue تبدیل شود، عملاً به «HTTPSِ عامل‌های هوش مصنوعی» تبدیل خواهد شد، فارغ از اینکه چه کسی اول به این نام فکر کرده است. برای مشاهده این سیستم در عمل، کاربران می‌توانند دستور npx -y [email protected] را اجرا کرده و از Claude Desktop بخواهند یک کارت ID خاص (مثلاً ATC-2026-7777670) را از طریق API MarketNow تایید کند.

این زیرساخت که توسط AliceLabs LLC (وایومینگ، آمریکا) ساخته شده، تا کنون ۱,۲۱۱,۴۸۸ بررسی امنیتی انجام داده و ۸۰ مهارت مخرب را از طریق خط لوله حسابرسی Sentinel قرنطینه کرده است. خط زمانی کامل پیشینه در فایل PRIOR-ART-TIMELINE.md برای کسانی که می‌خواهند سوابق زمانی را به چالش بکشند، در دسترس است.

گام بعدی شما

• اگر توسعه‌دهنده MCP هستید، مستندات ATC/1.0 را برای جایگزینی سیستم‌های احراز هویت دستی بررسی کنید.
• برای تست عملی، دستور npx -y [email protected] را اجرا کرده و از Claude Desktop بخواهید یک کارت ID خاص را تایید کند.
• در مورد استانداردهای آینده، روی تحولات امضاهای پساکوانتومی در نسخه ۱.۱ نظارت کنید.

اما داستان سخت‌افزاری این تحول حتی شگفت‌انگیزتر است — به تحلیل ما درباره‌ی تراشه‌های Blackwell مراجعه کنید.