اجعل الثقة غير ذات صلة

الحائط لا يسأل عما يطرق.

خلاصة: بنيت جدارًا على مستوى النواة للوكلاء غير الموثوقين، والنصوص البرمجية، وعمليات مساحة المستخدم المخترقة. الهدف هو جعل فئات كاملة من التأثيرات المميزة غير المصرح بها تفشل بإغلاق تحت نموذج تهديد مُعلن، خاصة تلك التي تعمل عن طريق وراثة السلطة أو الثقة التي لم تُمنح لها حقًا. يتعلق الأمر بالتوسع الآمن للقدرة الوكيلية، وليس التقييد. إذا لم يتم التوقيع على إجراء صراحةً عبر المسار الموثوق، فلن يتم تنفيذه، بغض النظر عمن يطلب أو مدى إقناع السبب.

KERNHELM هي طبقة تطبيق على مستوى النواة تقع بين أي شيء لا أثق به تمامًا (وكيل ذكاء اصطناعي، أو نص برمجي، أو عملية تم اختراقها ولم يلاحظها أحد بعد) وأي تأثير مميز يحاول ذلك الشيء فعله بالفعل. يوضح مسار الإثبات الحالي هذا الشكل عند حدود كائنات الملفات والتنفيذ. التصميم الأوسع هو نفس الجدار الممتد إلى أسطح مثل اتصالات الشبكة، وفحص العمليات، والأجهزة، والتأثيرات المميزة الأخرى.

هذا هو الجزء الذي يجعله مختلفًا عن كل شيء آخر. تقريبًا كل الأمان الذي تم بناؤه على الإطلاق يسأل نسخة ما عن من أنت. هل تعرف كلمة المرور؟ هل أنت مسؤول؟ هل هذا المفتاح هو المفتاح الصحيح؟ KERNHELM لا يسأل من. يسأل لماذا. هل هذا الإجراء هو شيء مقصود حدوثه بالفعل، تم التوقيع عليه من قبل المسار الوحيد المسموح له بالتوقيع على أي شيء، قبل السماح له بلمس النظام على الإطلاق؟ معرفة كلمة المرور تثبت فقط أنك تعرف كلمة المرور. لا تقول شيئًا عما إذا كان ما يحدث الآن من المفترض أن يحدث. لذا لا يمر أي شيء دون تصريح موقع تشفيريًا قادمًا من مسار منفصل تمامًا ليس للطرف الطالب أي سيطرة عليه، مما يعني أنه لا يهم مدى جودة المنطق الذي بدا على الجانب الآخر. الجانب غير الموثوق لا يحصل على تصويت في المقام الأول.

ولكي لا يُقرأ هذا كبرنامج وهمي: إنها براءة اختراع مؤقتة، مودعة في فبراير 2026، وهي بالفعل مبنية ومقاسة، مع وصول قرارات التطبيق إلى ميكروثانية من رقم واحد، صغيرة بما يكفي بحيث لا يهم على الأرجح لأي شيء ستُشغله فعليًا.

بنيتها لأنني انتهيت من التظاهر بأن "النموذج ربما لن يفعل ذلك" يُعتبر نموذجًا أمنيًا فعليًا. هذا ليس دفاعًا، بل أمل، وشاهدت الصناعة بأكملها تلبس ذلك الأمل بلغة متزايدة التعقيد وتقول إنه منتهي.

لذا بدلاً من محاولة جعل أي شيء يتصرف بشكل جيد، ذهبت نحو شيء أكثر أساسية: جعل سوء السلوك يصطدم بحدود سلطة ميكانيكية قبل أن يتمكن من فعل أي شيء مميز، بغض النظر عمن يسيء التصرف، وبغض النظر عن مدى إقناع منطقه في الطريق إلى الداخل.

وهذا هو الجزء المهم حقًا، الجزء الذي تفهمه معظم أطر الأمان بالعكس. هذا لا يتعلق بتقييد ما يمكن للوكيل فعله. بل العكس. حاليًا الطريقة الوحيدة التي يشعر بها الناس بالأمان لتشغيل وكيل هي حصره، وسحب الأدوات منه، وإبقائه على مقود قصير، ومراقبته باستمرار. إنهم يحدون الوكيل لأنهم لا يثقون في الأرضية تحته. KERNHELM يجعل الأرضية صلبة، وبمجرد أن تصبح الأرضية صلبة يمكنك ترك الوكيل يفعل أكثر بكثير، وليس أقل. يمكنك تسليمه أدوات حقيقية ومدى حقيقيًا، لأن أسوأ حالة تتوقف عن كونها كارثية، وتصبح مجرد طلب مرفوض وإيصال. الجدار ليس هناك لتقليص ما يُسمح لوكيلك بمحاولته. إنه هناك حتى تتمكن أخيرًا من التوقف عن الخوف من تركه يحاول أشياء.

يُقرأ هذا كمشروع أمان للذكاء الاصطناعي، وهو أمر منطقي، لأن هذه هي القضية الأعلى صوتًا الآن، لكنه ليس ذلك حقًا، أو على الأقل ليس فقط ذلك. طلبي الخاص لا يقول حتى "نموذج ذكاء اصطناعي" عندما يصف التهديد. يقول إن الشيء المُحكوم يمكن أن يكون LLM، أو نصًا برمجيًا مستقلاً، "أو أي عملية أخرى لا يمكن التنبؤ بسلوكها بالكامل"، وهو الهدف الفعلي هنا. النموذج الذي يهلوس و rootkit الذي وجد موطئ قدم يبدوان تمامًا متماثلين لهذا الجدار، لأن أياً منهما لا يحصل على تصويت في أي من الاتجاهين، أحدهما يضرب من أمام الجدار والآخر من الخلف لكنهم جميعًا يلتقون عند استدعاء النظام.

وهذا الاتساع يشمل برامج ليست حتى ملكك. إذا بنى بعض المزودين منتج ذكاء اصطناعي وكيلي وقمت بتثبيته وتركته يعمل على أجهزتك الخاصة، فإن ذلك الوكيل هو مجرد طالب غير موثوق به بقدر ما يهم الجدار، لا يختلف عن نص برمجي كتبته بنفسك. لا يزال يتعين عليه اجتياز نفس الفحص المحلي، مقابل نفس الموقف المحلي، مع نفس شرط التصريح الموقع، بغض النظر عن اسم المثبت أو المصالح التي بُنيت البرامج لخدمتها في الأصل. لا يحصل المزود على منح منتجه الخاص مكانة إضافية على جهازك لمجرد أنه كتبه. Kernhelm لا يزال يقرر.

لا يمكنك قراءة الفاعل، لذا توقف عن المحاولة

تقريبًا كل نهج صادفته يحاول إدارة الفاعل بطريقة ما، سواء كان ذلك صندوق رمل أفضل، أو سياسة أذكى، أو كشف أفضل يعمل على المدخلات، أو مراجعة بشرية للأشياء بعناية أكبر عندما يكون هناك وقت لذلك بالفعل. وكل ذلك حقيقي وجدير بالتنفيذ، لكن لا شيء منه يغير في الواقع شكل المشكلة الأساسية، وهي أن شيئًا ما في المنبع يحاول استنتاج النية من سلوك الفاعل في اللحظة، والسلوك في اللحظة هو بالضبط الشيء الذي يمكن للمهاجم المتحمس تصنيعه عند الطلب. لا يهم ما إذا كان ذلك المهاجم شخصًا كتب جملة واحدة ذكية جدًا أو تسوية لسلسلة التوريد كانت جالسة بهدوء لثلاث نسخ.

لذا في مرحلة ما توقفت عن محاولة قراءة النية من الفاعل في لحظة عمله، وبدأت في منع التأثير بدلاً من ذلك. النية لا تزال مهمة، إنها أهم من أي شيء، لكنها تُؤسس مسبقًا، من قبل السلطة الحقيقية، وتُجمد في تصريح موقع. لا شيء يحاول تخمينها وقت التشغيل من كيفية تصرف الشيء. النية الصحيحة كانت مختومة بالفعل. الجدار فقط يتحقق من الشكل.

ما يعنيه ذلك فعليًا هو فصل الشيء الذي يريد فعل شيء عن الشيء الذي مسموح له بفعل شيء، ثم وضع جدار بين هذين الأمرين ليس للجانب الطالب أي سلطة عليه، ليس لأنه تم حظره اليوم تحديدًا، ولكن لأنه لم يُعط مفتاحًا ليبدأ به.

الجزء الذي لا يزال لك أن تقرره

من الجدير أن نكون دقيقين، لأن تحديد ما نريد حقًا أن يفعله الوكيل، وما القيم التي يجب أن يخدمها، وما السياق الذي يجعل إجراءً واحدًا مقبولًا تمامًا ونفس الإجراء بالضبط في مكان آخر كارثة، هذا سؤال بشري، وكان دائمًا كذلك. لا شيء في هذه البنية يحاول الإجابة على هذا السؤال، ولا شيء هنا كان meant أبدًا للإجابة عليه. كل تصريح يتم سكه يعود إلى قرار صريح اتخذه شخص من خلال موثوق موثوق (أسميه Gate Clerk، المزيد عن ذلك بعد قليل). الجدار لا يقرر ما يستحق الرغبة في المقام الأول. لم تكن هذه مهمته أبدًا.

ما يزيله هو شرط ثقة ثانٍ منفصل يظهر مباشرة بعد اتخاذ ذلك القرار الأول. لأنه الآن، بمجرد أن تقرر ما تريد، عليك أيضًا أن تثق في الوكيل ليلتزم به بالفعل، في كل مرة، ضد كل صياغة ممكنة لم يفكر فيها المهاجم بعد. وهذا الشرط الثاني للثقة هو الذي يستمر في الفشل عمليًا، لأن النية لا تنجو ببساطة من الاتصال بنظام خصم، أو مشوش، أو ببساطة مخطئ بشأن ما اعتقد أنك قصدته.

لذا عندما أقول "اجعل الثقة غير ذات صلة"، أنا لا أتحدث عن سؤال القيم على الإطلاق. أنا أتحدث عن عدم الحاجة إلى الثقة في سلوك الوكيل بمجرد أن يتم تسوية سؤال القيم من قبل شخص لديه بالفعل المكانة لتسويته. أنت لا تزال من يقرر ما تريد. أنت فقط تتوقف عن الاضطرار إلى الأمل أن الوكيل يتذكرها بشكل صحيح، والأمل أنه لم يتم خداعه لنسيانها، والأمل أن لا شيء في المنبع تم اختراقه بهدوء بين لحظة اتخاذ القرار ولحظة فعله شيئًا. هذه هي الفجوة الوحيدة التي يغلقها هذا. الأخرى لم تكن ملكي أبدًا لإغلاقها، ولا أعتقد أنها لأحد لإغلاقها بالكود.

كيف يعمل بالفعل

الآلية أبسط مما تبدو بمجرد رؤية القطع. أي شيء غير موثوق، وكيلك، أو نصك البرمجي، أو أياً كان، يصوغ خطة أولاً، وبالخطة أعني فقط التسلسل المحدد والملموس للإجراءات التي هو على وشك القيام بها بالفعل، وليس إعادة صياغة غامضة لهدفه. "اقرأ هذا الملف، ثم اتصل بهذا العنوان" هي خطة. "ساعد المستخدم في طلبه" ليست خطة. يتم بصمة تلك الخطة إلى شيء يسمى تجزئة الخطة، وهي قيمة تشفيرية تُحسب من المحتويات الدقيقة للخطة، بحيث إذا تغير حتى تفصيل واحد فيها، تتغير التجزئة معها. هذا ما يجعل التصريح مقيدًا بخطة واحدة محددة بدلاً من فئة فضفاضة من السلوك.

تذهب تلك الخطة إلى موثوق موثوق، أسميه Gate Clerk، ويتحقق Gate Clerk منها مقابل الموقف السياسي الحالي، المزيد عن ما هو الموقف الفعلي بعد قليل. إذا اجتازت هذا الفحص، يقوم محرك توقيع منفصل يسمى SEALWYN بسك ما أسميه تصريحًا، وهو مجرد رمز موقع تشفيريًا مقيد بتجزئة خطة واحدة محددة، ومجموعة واحدة من أنواع التأثيرات، وأهداف محددة، مع وقت انتهاء صلاحيته الخاص وسقوفه المضمنة. ويمكن إلغاؤه في اللحظة التي يقرر فيها شخص ما أنه يجب إلغاؤه، وليس فقط عندما ينتهي المؤقت الخاص به. يمكن سحب سلطة التصرف في منتصف الرحلة، فورًا، في اللحظة التي يظهر فيها سبب.

هناك أيضًا نسخة من هذا حيث لا يحدث الموافقة والتنفيذ متتاليين. يمكن الموافقة على خطة وسك تصريح، ولكن يُحتفظ به حتى يلتزم شخص ما به صراحةً، مع قفل تجزئة الخطة تلك طوال الوقت. هذا يغلق فجوة واضحة: لا شيء يمكنه الحصول على موافقة على خطة تبدو غير ضارة ثم استبدالها بهدوء بأخرى مختلفة لتشغيلها فعليًا، لأن التصريح يطابق فقط تجزئة الخطة التي تم سكه ضدها، والخطة المختلفة تنتج تجزئة مختلفة.