Bir yapay zekâ ajanı neden asla özel anahtar tutmamalı
Anahtar sınırsız yetki verir; üstüne konan her sınır yazılımdır. Atama geri alınabilir, kopyalanmış anahtar geri alınamaz.
Agentic cüzdan yapmanın en hızlı yolu, bir özel anahtar üretip ajana vermek ve onunla ne yapabileceğine dair birkaç kural yazmaktır. Neredeyse bütün erken yapımlar böyle çalışır ve sektör şimdi bu yoldan çıkmaya uğraşıyor — Coinbase savını açıkça yaptı ve gerekçe tek cümleye sığıyor.
Özel anahtar bir izin değildir. İznin ta kendisidir. Üstüne koyduğunuz her şey bir ricadır.
Anahtarın gerçekte verdiği yetki
Ayda en fazla 500 USDC harca. Yalnızca şu üç protokol. Listede olmayan bir adrese asla gönderme.
Bu hesabın yapabileceği her işlemi, her tutarda, her adrese, her zincirde, sonsuza kadar imzala.
Soldaki sütunu, ajanla zincir arasında o an çalışan kod uygular. Sağdaki sütunu matematik uygular. İkisi anlaşmazlığa düştüğünde — bir hata, bir ele geçirme, ikna edilmiş bir model ya da yanlış yapılandırmayla yeniden başlatılmış bir süreç yüzünden — her seferinde sağdaki kazanır.
Kimsenin planlamadığı asimetri
İşte yapılandırmayı değil mimariyi değiştiren kısım.
Bir anahtarı kopyalanmamış hâle getiremezsiniz.
Bir anahtar sızarsa — bir log satırı, bir bellek dökümü, ele geçirilmiş bir bağımlılık, olmaması gereken bir yedek — kopyası olan herkes kalıcı olarak tam yetkilidir ve kaç kopya olduğunu bilemezsiniz. Döndürmek, her varlığı yeni bir adrese taşımak demektir; bu da artık güvenmek zorunda olduğunuz bir dizi işlemdir.
Atama bunun tersidir. Zincirde yaşar, her çağrıda denetlenir ve kimsenin iş birliğini gerektirmeyen tek bir işlemle geri alınır.
- Kaç kopya var
- Anahtar: bilinemez. Atama: kopyalanabilir bir şey değil
- Nasıl durdurursunuz
- Anahtar: her varlığı taşıyarak. Atama: kendi cüzdanınızdan tek işlem
- Ne kadar çabuk etkili olur
- Anahtar: son varlık taşındığında. Atama: bir sonraki çağrıda
- Kimin yardımı gerekir
- Anahtar: her zincirde yeterli gas ve zaman. Atama: kimsenin
- İşletmeci düşmansa
- Anahtar: zaten bir kopyası olabilir. Atama: kendilerine veremezler
Anahtarın yerine ne geçer
Dolaşımda üç cevap var ve eşdeğer değiller.
- Anahtarı bölün (MPC ya da çoklu imza)
Tek taraf yalnız imzalayamaz ve bir politika motoru neyin birlikte imzalanacağına karar verir. Baskın ticari cevap budur ve gerçek bir ilerlemedir: artık çalınması hikâyeyi bitiren tek bir nesne yoktur.
Değiştirmediği şey ifade gücüdür. Birlikte imzalanan şey hâlâ rastgele bir işlemdir, yani politika motoru hâlâ bir hedef adresin kabul edilebilir olup olmadığına karar veren bir filtredir.
- Anahtarı modelden uzak tutun
İmzalama anahtarını donanıma ya da modelin okuyamayacağı ayrı bir servise koyun; model yalnızca imza istesin. Yine daha iyi — ikna edilmiş bir model artık anahtarı dışarı sızdıramaz.
Ama ikna edilmiş bir model hâlâ yanlış şeyi isteyebilir ve bir şeyin o isteği yargılaması gerekir.
- Ajana ne anahtar ne de adres sözcüğü verin
Ajan, hesabınızın atadığı bir sözleşmedir. Gönderdiği şey, kapalı bir işlem listesinden alınmış etiketli kutulardan oluşan sabit bir formdur. Hedef için kutu yoktur, veri yükü için kutu yoktur; hedefler roldür ve adım çalışırken hesabınızdan çözümlenir.
İkna edilmiş bir model “bana gönder” diyemez, dolayısıyla denediğini hiçbir şeyin saptaması gerekmez.
Bizim elimizde ne var
Somut olmakta fayda var, çünkü “ajan bir sözleşmedir” demek bizim tarafımızda ne kaldığı sorusunu davet ediyor.
- Ajan
- Bir sözleşme. Hesabınız onu atar. Düz bir anahtar hiç atanamaz
- Keeper
- Bizim tuttuğumuz bir anahtar. Tek yapabildiği, o sözleşmeye bir çağrı yaptırmaktır
- Ücret ödeyici
- Gas öder. Varlık tutmaz, hiçbir yerde sürekli harcama izni yoktur
Çalınmış bir keeper anahtarı hesabınızı alamaz. Sözleşme zincirde, çağrı gerçekleşmeden reddeder: hesabınızı doğrudan hedef alamaz, izin kuran ya da sahipliği değiştiren talimatları çalıştıramaz ve sizin açmadığınız bir işleme dokunamaz. Ayrıca hesabınızda sabitlenmiş, bizim tarafımızdan yükseltilemeyen limitlerle sınırlıdır.
Tek yönlü kapı
Bir özellik daha, çünkü “atama geri alınabilir”in diğer yarısı bu.
Hesabınız asla farklı bir ajana yönlendirilemez. İlk atama bağlar ve izin verilen tek değişiklik hiçbirine dönmektir.
Ajanı değiştirilebilen bir hesapta bir rol vardır — değişimi yapabilen kişi. O rol bir hedeftir ve sorun onun var olmasıdır.
Bu bizim için gerçek bir kısıt, keyfini sürdüğümüz bir özellik değil. Yayınlanmış bir ajanı altınızdan yamalayamayız demek. Yeni bir ajan, yeni bir hesapla, bilerek geçtiğiniz bir şeydir. Bizim için daha yavaş; mesele de bu.
Bunu nasıl değerlendirirsiniz
Bir güvenlik sayfasına güvenmeniz gerekmiyor. Ajanın neyi yazabildiğini sorun.
Cevapta bir adres varsa, o sağlayıcının saydığı her kontrol, ikna edilebilir bir modelle paranız arasında duran bir filtredir — ve filtreler birinin önceden düşündüğü saldırılara göre yargılanır. Cevapta adres yoksa, harcama limitinin nerede uygulandığını ve sunucuları kapalıyken ayrılıp ayrılamayacağınızı sorun.
Bu iki soru, tasarımları her türlü belgeden daha hızlı ayırır.