摘要
AI代理基于无法验证的文本发出工具调用，因此，任何控制部分上下文的方都可能伪造权威外观。我对15种当代语言模型在八种攻击场景下进行了评估，这些场景源自已发布的真实代理事件文献，发现拒绝率从100%下降到38%，而最昂贵的模型在面对攻击时仅拒绝了一半，尽管价格差异达到20倍。
我提出了aiAuthZ，一个将安全决策移出代理主机的授权网关。在工具调用执行之前，网关使用与单次使用的nonce和时间戳窗口绑定的每消息HMAC-SHA256签名来验证调用者身份，并评估一个代理无法读取或修改的基于角色和参数级别的策略。每个决策都加入一个SHA-256哈希链审计日志中，每条接受的消息都会产生一个HMAC认证的QR收据，在八个传输通道中实现94%的平均验证率，且在25次错误密钥试验中未接受任何伪造。
在实施该网关后，所有15个模型的剩余攻击成功率降至0%，且仅增加了不超过0.03毫秒的决策延迟。在AgentDojo银行套件中，aiAuthZ阻止了所有七个针对代理发出的攻击者导向的工具调用，而代价是一次合法的首次支付，而对照基线则允许两次注入成功。在来自同一事件文献的九个相关案例研究中，aiAuthZ阻止了九次中的九次，而没有身份绑定的策略基线则只能阻止九次中的四次。该网关并不阻止模型被欺骗；而是阻止被欺骗的模型在每次通过它路由的调用中超出经过验证的用户权限进行操作。实施和所有实验均已发布在 GitHub。
博主点评： aiAuthZ的提出为AI代理的安全性提供了强有力的保障，通过离线身份验证和基于角色的策略，显著降低了攻击成功率。这一创新不仅提升了AI系统的安全性，也为未来的智能代理应用奠定了基础。