Ce que signifie Proof of Actor
Proof of Actor est le produit qu'AgentCredia conçoit pour les équipes qui exploitent des applications, des sites web, des APIs et des serveurs MCP. Il répond à une question que la simple connexion à un compte ne permet pas de trancher : qui, ou quoi, agit dans cette interaction, maintenant ? Un compte connecté peut être piloté par une personne qui clique dans l'interface, par une personne qui travaille aux côtés d'un assistant IA, ou par un agent autonome qui opère seul. Proof of Actor fournit à l'application des éléments de preuve sur ce qu'elle observe, puis laisse la réponse à l'application.
Le produit s'articule autour de trois capacités :
- Detect recueille les signaux d'acteur disponibles pour l'intégration et sépare les assertions vérifiées des inférences comportementales.
- Understand transforme ces résultats en analyses : répartition des acteurs par route, tendances dans le temps, et éléments de preuve derrière chaque classification.
- Route permet à l'application d'appliquer ses propres politiques pour allow, adapt, challenge, review ou limiter des interactions spécifiques.
Pourquoi c'est important
Les applications ont été conçues sur l'hypothèse qu'un humain se trouve derrière chaque session. Cette hypothèse n'est plus valable. Le trafic d'agents IA atteint désormais les pages produit, les APIs et les serveurs d'outils, et les utilisateurs ont de plus en plus recours à l'assistance IA lorsqu'ils travaillent dans une application. Traiter tout cela de la même manière conduit à deux mauvais résultats : l'automatisation légitime est bloquée par des défenses conçues contre les abus, et des actions sensibles sont exécutées avec moins de contexte que l'équipe ne le suppose.
Proof of Actor donne aux équipes produit, plateforme et sécurité une vue commune de ce qui se passe réellement, afin que les décisions reposent sur des éléments de preuve plutôt que sur des suppositions.
Comment cela fonctionne
Chaque interaction qui passe par une intégration prise en charge reçoit un résultat composé de deux éléments :
- Une classe : Human, Human + AI, Agent ou Unknown.
- Une base : verified, declared, inferred ou unknown, qui indique sur quoi repose la classe. Voir base des preuves.
Une requête portant une signature HTTP valide (RFC 9421) correspond à une identité d'agent vérifiée. Un client qui se présente lui-même comme un agent fait une déclaration. Des schémas d'interaction cohérents avec une personne au clavier constituent une inférence. Lorsque les éléments de preuve ne permettent pas de conclure, le résultat est Unknown, et il reste Unknown. Les quatre classes sont expliquées dans Human, AI-assisted or agent: a practical taxonomy for application traffic.
Les équipes commencent en mode observation. Les résultats sont consignés et comparés aux résultats réels, et rien dans le comportement de l'application ne change. Lorsqu'une équipe estime qu'une politique convient à un workflow, elle active cette politique dans son propre code. Le flux complet est décrit dans Comment cela fonctionne.
Idées reçues courantes
Ce n'est pas un bloqueur de bots. Proof of Actor ne bloque rien par défaut. De nombreux agents sont des participants bienvenus, et la réponse appropriée est souvent une API structurée plutôt qu'une page de défi.
Ce n'est pas une vérification d'identité. Un résultat Human signifie que les signaux observables indiquent une interaction pilotée par un humain. Cela n'identifie pas la personne.
Un agent signé n'est pas un agent autorisé. Une signature valide prouve qu'une requête a été signée avec une clé associée à un identifiant publié. Le fait que cet opérateur puisse effectuer une action dans votre application relève d'une décision d'autorisation prise par votre application.
Comment Proof of Actor s'intègre à votre stack
Proof of Actor s'ajoute à votre authentification et à votre autorisation existantes. Il apporte un contexte d'acteur - il ne remplace ni votre connexion, ni votre modèle de permissions, ni votre jugement sur le risque. Le propriétaire de l'application décide de l'application des règles, route par route, avec des solutions de repli explicites pour les résultats Unknown et les timeouts.
Lisez la vue d'ensemble du produit, consultez ce que les éléments de preuve peuvent et ne peuvent pas établir, ou demandez un accès anticipé pour rejoindre le founding developer program.
Sources
- RFC 9421: HTTP Message Signatures: la norme à l'origine de l'identité d'agent vérifiée