व्याख्या
actor result चा पुरावा आधार त्यामागील evidence चा प्रकार वर्णन करतो. Proof of Actor चार values वापरते:
- verified: cryptographic किंवा अन्य प्रकारे तपासता येणारे assertion यशस्वी झाले.
- declared: actor किंवा application ने तसे म्हटले.
- inferred: निष्कर्ष वर्तणुकीच्या किंवा संदर्भात्मक signals वरून काढला गेला.
- unknown: determination साठी पुरेसा evidence नव्हता.
प्रत्येक result मध्ये class (Human, Human + AI, Agent किंवा Unknown, our taxonomy for application traffic मध्ये वर्णन केल्याप्रमाणे) आणि basis दोन्ही असतात. "Agent, verified" आणि "Agent, inferred" हे वेगळे परिणाम आहेत आणि त्यांच्याकडे वेगळ्या प्रकारे पाहिले पाहिजे.
आधार का महत्त्वाचा आहे
आधार नसल्यास classification किती भार पेलू शकते हे लपते. एक dashboard जे signed request साठी "Agent" दाखवते आणि request timing वर आधारित अंदाजासाठीही "Agent" दाखवते, ते teams ना दोन्हींसाठी एकच policy लागू करण्यास प्रवृत्त करू शकते. विशेषतः security-sensitive applications मध्ये, inference कधीही cryptographic verification सारखा दिसू नये.
class ला basis पासून वेगळे केल्याने policies evidence च्या ताकदीशी जुळतात:
- read-only route कोणताही Agent result allow करू शकतो.
- अधिक परिणामकारक route फक्त verified agents ना known operators म्हणून मानू शकतो आणि बाकी सर्वांकडून अधिक मजबूत credentials मागू शकतो.
चार values सविस्तर
Verified
काहीतरी तपासले गेले आणि ते पास झाले. याचे सर्वात स्पष्ट उदाहरण म्हणजे HTTP message signature (RFC 9421) जी agent च्या operator ने प्रकाशित केलेल्या key विरुद्ध validate होते. Verified evidence विशिष्ट check सिद्ध करते, त्याहून अधिक काही नाही: valid signature कोणत्या key ने request sign केली हे दाखवते, पण action authorized आहे हे नाही.
Declared
कोणीतरी तसे सांगितले. स्वतःला agent म्हणून ओळखणारा client, MCP client name, किंवा तुमच्या स्वतःच्या application मधील AI-assistance disclosure ही declarations आहेत. त्या उपयुक्त, बहुतेकदा प्रामाणिक, आणि कधी कधी खोट्या असतात. User-agent spoofing हे खोट्या declaration चे क्लासिक उदाहरण आहे. User-Agent header design नुसार self-reported असतो.
Inferred
system ने signals वरून विचार करून निष्कर्ष काढला: browser session मधील interaction patterns, request timing, browser context नसणे, protocol details. Inferences चुकीचे ठरू शकतात, म्हणूनच त्यांना नेहमी inference म्हणून label केले जाते आणि त्यामुळे लोकांबाबतचे consequential निर्णय कधीही फक्त त्यांच्यावर आधारित नसावेत.
Unknown
evidence ने determination ला आधार दिला नाही. हे Unknown classification शी जुळते आणि तुमच्या policy मध्ये स्पष्ट fallback शी map झाले पाहिजे. classifying AI traffic करताना Unknown हा वैध result का आहे याबद्दलची आमची post ते का हे स्पष्ट करते.
Basis आणि confidence scores
अनेक systems evidence ला एका single number मध्ये compress करतात. एखादा score cryptographic check मधून आला की heuristic मधून, हे लपवतो, आणि uncalibrated percentage अस्तित्वात नसलेली precision सूचित करतो. named bases चा लहान set समजायला सोपा, audit करायला सोपा, आणि गैरवापर करायला कठीण असतो.
सामान्य गैरसमज
"Declared म्हणजे अविश्वसनीय." Declarations अनेकदा बरोबर असतात आणि काही प्रश्नांसाठी, जसे की AI-assistance disclosure, उपलब्ध असलेला एकमेव evidence असतात. इतकेच की त्यांना verification मानू नये.
"Verified म्हणजे सुरक्षित." Verification हे signer ची identity याबद्दल आहे, intent किंवा permission बद्दल नाही.
Proof of Actor मध्ये evidence basis
प्रत्येक Proof of Actor result त्याचा basis आणि evidence चा human-readable summary सांगतो. Policies तुमच्या application मध्ये चालतात आणि class तसेच basis एकत्र वापरू शकतात. Detection & Limitations पहा किंवा early access साठी अर्ज करा.
स्रोत
- RFC 9421: HTTP Message Signatures: verified evidence चा सर्वात स्पष्ट स्रोत
- RFC 9110: HTTP Semantics, User-Agent: self-reported, declared identifier