Định nghĩa
Cơ sở bằng chứng của một kết quả tác nhân mô tả loại bằng chứng đứng sau nó. Proof of Actor sử dụng bốn giá trị:
- đã xác minh: một xác nhận mật mã hoặc có thể kiểm tra bằng cách khác đã thành công.
- do khai báo: tác nhân hoặc ứng dụng đã nêu điều đó.
- suy luận: kết luận được rút ra từ các tín hiệu hành vi hoặc ngữ cảnh.
- không xác định: không có đủ bằng chứng để đi đến kết luận.
Mỗi kết quả đều mang cả một lớp (Human, Human + AI, Agent hoặc Unknown, được mô tả trong phân loại của chúng tôi cho lưu lượng ứng dụng) và một cơ sở. "Agent, đã xác minh" và "Agent, suy luận" là hai kết quả khác nhau và cần được xử lý khác nhau.
Vì sao cơ sở này quan trọng
Nếu không có cơ sở, một phân loại sẽ che đi mức độ nó có thể chịu trách nhiệm tới đâu. Một bảng điều khiển hiển thị "Agent" cho một yêu cầu đã ký và cũng hiển thị "Agent" cho một phỏng đoán dựa trên thời điểm yêu cầu sẽ khiến các đội áp dụng cùng một chính sách cho cả hai. Đặc biệt với các ứng dụng nhạy cảm về bảo mật, một suy luận không bao giờ được trông giống như xác minh mật mã.
Tách lớp khỏi cơ sở giúp chính sách phù hợp với sức nặng của bằng chứng:
- Một tuyến chỉ đọc có thể cho phép bất kỳ kết quả Agent nào.
- Một tuyến có tác động cao hơn có thể chỉ xem các agent đã xác minh là toán tử đã biết và yêu cầu thông tin xác thực mạnh hơn từ mọi trường hợp còn lại.
Bốn giá trị chi tiết
Đã xác minh
Một thứ đã được kiểm tra và vượt qua. Ví dụ rõ nhất là một chữ ký thông điệp HTTP (RFC 9421) hợp lệ theo khóa được công bố bởi người vận hành của agent. Bằng chứng đã xác minh chứng minh kiểm tra cụ thể đó, và không hơn thế: một chữ ký hợp lệ cho thấy khóa nào đã ký yêu cầu, chứ không cho thấy hành động đó đã được ủy quyền.
Do khai báo
Có ai đó đã nói như vậy. Một client tự nhận mình là một agent, tên client MCP, hoặc một nội dung công bố hỗ trợ AI trong chính ứng dụng của bạn đều là các khai báo. Chúng hữu ích, thường là trung thực, và đôi khi sai. Giả mạo user-agent là ví dụ kinh điển của một khai báo sai. Header User-Agent được tự báo cáo theo thiết kế.
Suy luận
Hệ thống đã suy ra từ các tín hiệu: mẫu tương tác trong một phiên trình duyệt, thời điểm yêu cầu, thiếu ngữ cảnh trình duyệt, chi tiết giao thức. Suy luận có thể sai, vì vậy chúng luôn được gắn nhãn là suy luận và các quyết định có hệ quả đối với con người không bao giờ nên chỉ dựa trên chúng.
Không xác định
Bằng chứng không đủ để đi đến kết luận. Giá trị này đi cùng với phân loại Unknown và nên ánh xạ tới một phương án dự phòng rõ ràng trong chính sách của bạn. Bài viết của chúng tôi về vì sao Unknown là một kết quả hợp lệ khi phân loại lưu lượng AI giải thích lý do.
Cơ sở so với điểm tin cậy
Nhiều hệ thống nén bằng chứng thành một con số duy nhất. Một điểm số che đi việc nó đến từ một kiểm tra mật mã hay từ một heuristic, và một phần trăm không được hiệu chỉnh sẽ tạo cảm giác chính xác mà thực tế không tồn tại. Một tập nhỏ các cơ sở được đặt tên rõ ràng sẽ dễ suy luận hơn, dễ kiểm toán hơn và khó bị lạm dụng hơn.
Những hiểu lầm phổ biến
"Do khai báo nghĩa là không đáng tin." Các khai báo thường chính xác và đôi khi là bằng chứng duy nhất có sẵn cho một số câu hỏi, chẳng hạn như công bố hỗ trợ AI. Chúng chỉ đơn giản là không nên bị coi là xác minh.
"Đã xác minh nghĩa là an toàn." Việc xác minh nói về danh tính của bên ký, không nói về ý định hay quyền hạn.
Cơ sở bằng chứng trong Proof of Actor
Mỗi kết quả Proof of Actor đều nêu cơ sở của nó và một bản tóm tắt bằng ngôn ngữ dễ đọc về bằng chứng. Các chính sách chạy trong ứng dụng của bạn và có thể dùng đồng thời cả lớp lẫn cơ sở. Xem Phát hiện và Giới hạn hoặc đăng ký quyền truy cập sớm.
Nguồn
- RFC 9421: Chữ ký thông điệp HTTP: nguồn rõ ràng nhất của bằng chứng đã xác minh
- RFC 9110: Ngữ nghĩa HTTP, User-Agent: một định danh do tự báo cáo, do khai báo