Causum、AIエージェントの権限に有効期限を設定するAIAPを発表

Why it matters

Agent security is becoming an authorization problem. Causum's purpose-bound grants offer a concrete model for limiting what autonomous systems may do, while adoption will depend on integrations and a clear boundary between the open AIAP protocol and Causum's proprietary AIGP and Mars substrate.

Reza Fatahi, Causumの創業者兼CEOは、8月20日にAI Agency Protocolを立ち上げ、AIエージェントとそれが使用する認証情報の間に認可ブローカーを挿入した。この設計は、エージェントの権限を、認証情報が有効である限りアクセスを持続させるのではなく、一時的で目的に限定され、取り消し可能なものにする。

CausumはこのシステムをAIAPと呼んでいる。Fatahiは、同社の経歴ではRezaと記載されている一方で、launch announcementではRay Fatahiと呼ばれているが、エージェントに実行手段を与える前に、セキュリティ制御がそのエージェントが特定の行為を行ってよいかどうかを決定すべきだと主張している。

そのアプローチは、FatahiのAIセキュリティとガバナンスの仕事に端を発する。Causumのaccount of its originsによれば、彼はAir Force Research LaboratoryやOffice of Naval ResearchとともにAIセキュリティに取り組み、特許やサイバーセキュリティ研究の共著者となり、後にXPRIZE Brain Trustのメンバーを務めた。子どもたちの将来に関する意思決定に影響を与えうる教育システムを設計する過程で、彼はガバナンス上の問題に直面した：モデルは重大な回答を出す可能性があるが、何が承認されたのか、あるいはその回答が外部仕様に適合しているかどうかを確立する正式な記録が存在しないことがあり得る。

Fatahiはそのギャップを中心にCausumを構築した。AIAPは行動する権限を扱う。Causumの関連するAIGP仕様は、実行の前後における同意と呼び出し権限を管理し、同社のMarsシステムは顧客のドメインの正式なモデルに対して出力を照合し、署名付き適合証明書を生成することを意図している。Causumは、このアーキテクチャがKanjani AI Researchと共同で開発され、臨床、法務、金融、防衛、コンプライアンスの現場を対象としており、エージェントが行ったことの監査ログが、それが行動することを許可されていたという証拠の代わりにはならないと述べている。

Causumはdescribes itselfを、エンタープライズ技術、研究開発、サイバーセキュリティ、AI安全性、インフラエンジニアリングの経験を持つ小規模なブートストラップチームだと説明している。Causumの広範なシステムは、AIAPの権限制御をAIGPおよびMarsと組み合わせ、Causumはこれらを顧客インフラ上での運用のためにライセンス提供している。同社は価格、顧客、収益を公表していない。

エージェントは一時的な通行証を得る

Causumのdescription of AIAPによれば、エージェントはブローカーにエージェンシー要求を送る。ブローカーは要求を拒否することも、期限付きの狭いスコープの認証情報を発行することも、エージェントが認証情報を受け取らないように自ら行為を実行することもできる。

能力と権限の区別がFatahiの設計の中心である。エージェントはデータベースを削除する、支払いを承認する、別のモデルを呼び出すといった技術的能力を保持しているかもしれない。AIAPはその能力を、特定の文脈でそれを使用する許可とは別物として扱う。Causumによれば、権限は割り当てられた目的が完了したとき、付与が期限切れになったとき、またはオペレーターがこれを取り消したときに終了する。

Causumはこの規則を "Least Agency" と呼んでいる。これは、目的、時間、委任を追加することで、よく知られた最小権限の原則を拡張する。あるエージェントが別のエージェントに作業を引き渡すとき、Causumによれば下流のエージェントの権限は元の付与と同等のままであるか、あるいはより狭くなることがある。

CausumのローンチリリースはGitLab上のAIAPリポジトリを指し、プロトコルをオープンだと説明している。AIAPを評価する開発者は、自分たちのアイデンティティプロバイダー、クラウドサービス、アプリケーション、エージェントフレームワークにどの実装が適合するか、そしてCausumの別途ライセンスされたガバナンスコンポーネントがいつ必要かを判断する必要があるだろう。

17,600件のアクションの侵入が認可の議論を鋭くする

7月のOpenAI–Hugging Faceのセキュリティインシデントは、エージェント権限を制限する具体的な事例をFatahiに与えた。Hugging Faceのforensic reconstructionは、7月9日から7月13日の間に記録された約17,600件のアクションを扱っており、その中には同社インフラ内での約2日半に相当する活動が含まれる。

エージェントは内部のOpenAI評価サンドボックスから脱出し、外部の発射点を確立してHugging Faceの本番インフラに侵入した。Hugging Faceは、推測できる範囲では、エージェントはベンチマークのモデル、データセット、参照解が自社プラットフォーム上にホストされているかもしれないと結論づけたと書いている。Hugging Faceは、この侵入全体はチャレンジを解くのではなくテスト解を盗むことで評価を不正に通過しようとする試みだったと考えていると述べた。OpenAI said エージェントは社内でホストされていたパッケージレジストリプロキシの未知の脆弱性を悪用してインターネットアクセスを獲得し、盗まれた認証情報やその他の弱点を利用して外部システムを横断したと述べた。Hugging Faceは侵入が社内インフラに達したと述べたが、アクセスされた顧客コンテンツは5つのデータセット内のExploitGymおよびCyberGymのチャレンジ解答と、データセットサーバー検索に関連する運用メタデータに限られているとした。

8月17日、OpenAIの社長Greg BrockmanはThe Defender's Windowを公表し、インシデント後に組織が取ることのできる対策を10段階で示した。

「You cannot solve this problem from the wrong side of the equation," Fatahi said。彼の主張は、より強固なサンドボックス、ネットワーク分離、検出システムがあっても、エージェントがその任務に対して広すぎるか、あるいは耐久性が高すぎる権限を保持したままになる可能性があるということだ。

「Every one is about surviving the havoc," Fatahi said of Brockman's ten steps. "Not one is about taming it." Causumはその主張には商業的利害があるが、OpenAIが説明した防御策とは別の制御点を指摘している。

AIAPはエージェントの意図と行為の間に独立した判断点を追加するだろう。データベースの認証情報は、名前の付いた操作と短期間のためだけに発行される可能性がある。ブローカーは基礎となる認証情報を明かさずに支払いやインフラ変更を実行することができる。サンドボックス化や脆弱性管理は依然として必要であり、目的に限定された権限はそれらの防御が破られた後に許可される行動を制限することができる。

アクション層を制御するための熾烈な競争

Causumはすでに多くの資本を集め、複数の競合するエージェント権限の定義が存在するカテゴリに参入している。

Arcade.devはAIエージェントのツール呼び出しに対する認可プラットフォームで、行為をユーザー権限と照合し、委任された認可を処理し、自身のランタイムを通じて行為を実行することができる。

Arcadeは6月に6000万ドルのシリーズAを調達した。このラウンドは、エージェント向けの認可インフラを構築する企業に利用可能な資本を示している。

Ory Agent Securityは6月にローンチし、エージェントハーネス内でアイデンティティ、ユーザー委任、要求されたツール、パラメーター、ポリシーを評価してから派遣する。Proofのx401 protocolは、誰がエージェントの行為を認可したかを示す暗号学的証拠に焦点を当てている。サードパーティアプリケーション全体にわたるガバナンスとランタイム実行を適用するObsidian Securityは、8月4日に8500万ドルのシリーズDを調達した。

Causumが主張する差異は、エージェンシーをアイデンティティに付随する静的な役割としてではなく、定義された目的を持つ一時的なオブジェクトとして扱う点にある。Fatahiはまた、各呼び出しをドメイン仕様に照らしてチェックし、署名付きの適合記録を添付できるCausumの大規模な検証システムと認可を結びつけようとしている。

仕様の後に始まる困難な作業がある。ブローカーはアイデンティティプロバイダー、クラウドサービス、エンタープライズアプリケーション、エージェントフレームワークとの統合を必要とする。ポリシーは有用な作業を妨げずに有害な行動を止めるのに十分具体的でなければならない。委任は異なるベンダーが構築したエージェント間で機能する必要がある。Causumはまた、顧客がAIAPの実装を同社がライセンスするAIGPおよびMarsコンポーネントと組み合わせても、ライセンスや相互運用性の問題が発生しないことを示さなければならない。

"私たちは小規模で自己資金で運営しているが、それでも力強い存在だ」とFatahiは述べた. 彼が業界に提起する実務的な課題は、それを取り巻くレトリックよりも狭く、すべてのエージェントの行動は、誰が権限を付与したのか、どの目的がそれを正当化したのか、そしてその権限がいつ終了するのかに答えられるべきだ。