deso-pk/make-trust-irrelevantЯдро-обеспеченные полномочия и безопасность во время выполнения для Linux-систем, автономного программного обеспечения и ИИ-агентов.
Обеспечиваемые ядром полномочия и безопасность среды исполнения для Linux-систем, приложений, автономного программного обеспечения и ИИ-агентов.
KERNHELM — это универсальная защитная подложка операционной системы, которая размещает жёсткую границу полномочий на самом низком практически реализуемом уровне программного стека — ниже ИИ, приложений, служб и обычного пользовательского пространства.
Её назначение просто сформулировать:
Программное обеспечение может запрашивать власть. Оно не должно быть способно самостоятельно создать полномочия, которые эту власть предоставляют.
KERNHELM переносит окончательное решение о контролируемых привилегированных эффектах на границу ядра.
Программное обеспечение выше этой границы может быть чрезвычайно способным.
Оно может планировать.
Оно может рассуждать.
Оно может автоматизировать.
Оно может администрировать приложения.
Оно может защищать машину.
Оно может непрерывно работать как автономный ИИ-агент.
Оно может даже быть продвинутым искусственным интеллектом.
Но способность сама по себе не создаёт разрешение.
Архитектурное разделение абсолютно по замыслу:
То, что запрашивает эффект, не может быть тем, что решает, есть ли у него полномочия вызвать этот эффект.
На обычном языке безопасности KERNHELM — это попытка выйти за пределы вопроса:
«Доверяем ли мы этой программе?»
и перейти к вопросу:
«Обладает ли именно эта конкретная попытка эффекта действительными полномочиями?»
Это различие и есть суть проекта.
Для безопасности ИИ-агентов тот же принцип можно сформулировать иначе:
ИИ-агент может решать, что он хочет сделать. Это решение не должно создавать полномочия, необходимые для того, чтобы это произошло.
KERNHELM — не песочница для ИИ.
Это не контейнер приложений.
Это не обёртка разрешений вокруг конкретной программы.
Это не детектор внедрения промптов.
Это не классификатор поведения модели.
Это не аварийный выключатель ИИ.
Это не обычный механизм политик в пользовательском пространстве.
Это не просто ещё один уровень контроля доступа для ИИ-агентов, работающий рядом с программным обеспечением, которое он ограничивает.
Это универсальная архитектура полномочий для самой операционной системы.
Песочница в первую очередь отвечает на вопрос:
Где этой программе разрешено работать?
KERNHELM задаёт более глубокий вопрос:
Откуда вообще берутся полномочия вызвать этот привилегированный эффект?
Полезное краткое выражение:
Песочница ограничивает, где программное обеспечение может работать. KERNHELM ограничивает, откуда могут исходить полномочия.
Уберите ИИ с машины полностью — и KERNHELM всё равно имеет смысл.
Браузер, демон, менеджер пакетов, вспомогательный процесс, игра, утилита для драйверов, вредоносная полезная нагрузка, удалённый злоумышленник, действующий через скомпрометированное программное обеспечение, или искусственный интеллект в конечном счёте сталкиваются с одной и той же фундаментальной проблемой полномочий.
Именно поэтому KERNHELM — это универсальная защитная подложка, а не просто система сдерживания ИИ.
ИИ — лишь одно из наиболее ясных и потенциально наиболее сильных применений этой архитектуры.
Современная безопасность ИИ-агентов, безопасность агентного ИИ и безопасность среды исполнения ИИ всё чаще опираются на такие механизмы, как:
Все эти механизмы могут быть полезны.
KERNHELM спрашивает, что происходит под ними.
Если автономный ИИ-агент скомпрометирован, подвергнут манипуляции, внедрению промптов, неверно настроен или вырвался из механизма сдерживания более высокого уровня, должно ли это событие автоматически предоставлять получившемуся программному обеспечению широкие полномочия на машине?
Ответ KERNHELM — нет.
Побег из песочницы не должен автоматически становиться побегом от полномочий.
Пересечение одной границы сдерживания само по себе не должно создавать полномочия для защищённых эффектов у стены ядра.
Аналогично:
Внедрение промптов не должно создавать полномочия.
Компрометация агента не должна создавать полномочия.
Отказ сдерживания ИИ не должен автоматически становиться отказом полномочий в масштабе всей машины.
Именно поэтому KERNHELM подходит к безопасности среды исполнения ИИ снизу, из-под обычной среды исполнения агента.
Более высокие уровни могут решать:
what the agent wants to do
KERNHELM спрашивает:
whether the resulting machine effect possesses authority to happen
Большинство систем управления ИИ занимаются контролем поведения, разрешений, инструментов или окружения агента.
KERNHELM рассматривает другой уровень:
Даже если агент доходит до попытки вызвать реальный эффект на уровне операционной системы, существует ли для этого конкретного эффекта действительный независимый мандат?
Это различие особенно важно для автономных и длительно работающих агентов, поскольку сбой в рассуждениях, изоляции, мониторинге или политике не должен автоматически превращаться в неограниченные полномочия над хостом.
Поэтому KERNHELM — это не «аварийный выключатель» для ИИ.
Его предполагаемая модель более гранулярна:
Отклонять несанкционированный эффект, позволяя отдельно санкционированной работе продолжаться.
Следующая публичная демонстрация показывает это различие напрямую.
Вредоносная инструкция внутри недоверенного документа пытается вызвать удаление защищённого файла.
Программа получает инструкцию и пытается выполнить удаление.
KERNHELM не обязан корректно классифицировать инструкцию как вредоносную или распознавать её как prompt injection.
Граница мандата на уровне ядра задаёт более узкий вопрос:
Обладает ли именно это удаление, направленное именно на эту цель, действительным допущенным мандатом?
Нет.
KERNHELM отклоняет операцию, и файл остаётся на месте.
Затем пользователь напрямую санкционирует удаление через управляемый путь.
Программа не становится более доверенной.
Исполняемый файл не меняется.
Файл не перемещается в другую песочницу.
Меняется мандат.
Удаление предпринимается снова, теперь с соответствующим допущенным мандатом.
KERNHELM разрешает управляемый эффект, и файл удаляется.
Продемонстрированная последовательность такова:
untrusted document instruction
↓
software attempts DELETE
↓
no matching admitted authority
↓
KERNHELM DENY
↓
file remains
далее следует:
direct user authorization
↓
bounded authority admitted
↓
software attempts DELETE
↓
authority matches effect + target
↓
KERNHELM ALLOW
↓
file is deleted
Важный результат:
То же программное обеспечение. Та же цель. Тот же класс воздействия. Другая признанная власть.
Программному обеспечению не нужно было становиться более доверенным, чтобы его власть изменилась.
Это KERNHELM.
Современные компьютеры регулярно предоставляют программному обеспечению широкие полномочия.
Процесс может быть способен: