‏نقد چارچوب Zero Trust آنتروپیک: توکن‌های Bearer امتحان خودشو پاس نمی‌کنن

یه پست تو وبلاگ hello.coop به چارچوب امنیتی Zero Trust for AI Agents که آنتروپیک منتشر کرده، نقد جدی وارد کرده. نویسنده می‌گه این چارچوب نقطه‌ی شروع درستی داره -اینکه ایجنت‌ها فرق دارن با چت‌بات‌های ساده و می‌تونن هدف رو تفسیر کنن، ابزار انتخاب کنن و بین چند نشست کانتکست رو حفظ کنن- ولی معتقده وقتی تست خودِ آنتروپیک رو روی پیشنهادهاش پیاده کنیم، خیلی‌هاشون رد می‌شن.

تست مرکزی سند اینه: یه کنترل امنیتی باید حمله رو غیرممکن کنه، نه فقط سخت‌تر. نویسنده می‌گه توکن‌های کوتاه‌مدتی که آنتروپیک پایه‌ی احراز هویت گرفته، دقیقاً همین مشکل رو دارن؛ توکن Bearer هرچقدرم کوتاه‌مدت باشه بازم یه رمز قابل سرقته. راه‌حل واقعی اینه که اصلاً رمزی برای دزدیدن نباشه: ایجنت با یه کلید خصوصی که هیچ‌وقت خارج نمی‌شه درخواستاشو امضا کنه، همون چیزی که HTTP Message Signatures و پروتکل AAuth روش ساخته شدن.

نکته‌ی بعدی درباره‌ی سطح مجوزدهی‌ـه. تو چارچوب آنتروپیک، مجوز یعنی «این ایجنت به این ابزار دسترسی داره»، مثلاً یه ایجنت ایمیل به ایمیل دسترسی داره یا یه ابزار دیتابیس فقط اجازه‌ی خوندن داره. نویسنده می‌گه این سطح کافی نیست؛ چیزی که لازمه اینه که پارامترهای هر درخواست جداگانه تأیید بشه، مثلاً «این ایجنت می‌تونه حداکثر ۳۰۰۰ دلار، فقط به این گیرنده، فقط یه بار، قبل از جمعه جابه‌جا کنه». تو AAuth بهش می‌گن constrained calls.

بخش تفویض اختیار (delegation) رو هم خوب تشخیص داده ولی درمانش ضعیفه. آنتروپیک دو خطر رو اسم می‌بره: وراثت بی‌قید اختیار وقتی یه ایجنت مدیر همه‌ی دسترسیاشو به زیرمجموعه‌هاش می‌ده، و سوءاستفاده‌ی «معتمد گول‌خورده» وقتی یه ایجنت کم‌دسترسی با دستور جعلی، ایجنت پردسترسی رو فریب می‌ده. ولی راه‌حلش فقط لاگ کردن و پایش‌ـه، نه جلوگیری. نویسنده به‌جاش «اختیار مشتق‌شده» رو پیشنهاد می‌ده: هر بار ایجنتی به ایجنت دیگه‌ای اختیار می‌ده، اون اختیار خودش‌به‌خود محدودتر و زمان‌دار می‌شه.

درباره‌ی اثبات و لاگ هم نویسنده می‌گه لاگ تغییرناپذیر فقط ثابت می‌کنه رکورد دستکاری نشده، نه اینکه عمل انجام‌شده اصلاً مجاز بوده یا نه. چیزی که واقعاً اثبات مجاز بودن یه عمل رو می‌کنه، خود توکن مجوزـه: یه سند قابل‌تأیید که نشون می‌ده دقیقاً همین ایجنت، برای دقیقاً همین درخواست، مجوز داشته.

آخرین و شاید مهم‌ترین نقد درباره‌ی هویت ایجنت‌هاست. آنتروپیک هویت ایجنت رو یه چیز از پیش موجود در نظر می‌گیره -یه شناسه‌ی رمزنگاری‌شده که فقط تو لاگ‌ها ثبت می‌شه- ولی نمی‌گه این ایجنت زیر اختیار کدوم آدم یا سازمان کار می‌کنه. نویسنده می‌گه بدون این پیوند، هویت ایجنت فقط یه اسمه که به هیچ مسئولی وصل نیست؛ تو AAuth این پیوند از لحظه‌ی ثبت‌نام، با تأیید حضور یه انسان واقعی، برقرار می‌شه.

نتیجه‌ی نویسنده اینه که این تغییر شبیه یه نسخه‌ی بهتر از OAuth نیست، بلکه یعنی حذف کلی ابزارهایی مثل API key و توکن Bearer، نه فقط بهینه‌تر کردنشون. اون این تغییر رو به رفتن از موتور احتراقی به موتور برقی تشبیه می‌کنه: نه یه کاربراتور بهتر، بلکه اصلاً حذف کاربراتور.

نکات کلیدی:

• نقد بر چارچوب Zero Trust for AI Agents آنتروپیک با تست خودِ همون سند: آیا این کنترل حمله رو غیرممکن می‌کنه یا فقط سخت‌تر؟
• توکن‌های کوتاه‌مدت Bearer بازم رمز قابل سرقتن؛ راه‌حل واقعی امضای درخواست با کلید خصوصی غیرقابل‌خروجه
• مجوزدهی باید روی پارامترهای هر درخواست باشه، نه فقط روی رابطه‌ی ایجنت-ابزار
• تفویض اختیار باید ذاتاً محدودتر بشه، نه فقط لاگ و پایش بشه
• هویت ایجنت بدون پیوند به یه انسان یا سازمان مسئول، ناقصه