Systems Design Meditation · Edition 3
Identität für Maschinen
Autorisierung im agentischen Internet
Edward Calderón
Softwarearchitekt
Jahrelang stellte digitale Identität die Frage: Wer bist du?
Agentische Systeme führen eine weitere Frage ein: Was darfst du im Auftrag von wem tun?
Authentifizierung stellt einen Akteur fest. Sie erklärt nicht die Delegation, die eine Handlung legitim gemacht hat. Dieser Unterschied wird entscheidend, wenn Software über mehrere Dienste hinweg planen und ausführen kann.
Ein Graph der Autorität
Die entstehende Beziehung ist nicht ein einzelner Login, sondern ein Graph:
Mensch ↔ Agent ↔ Dienst ↔ Infrastruktur
Jede Kante braucht ihren eigenen Anspruch. Ein Mensch mag einen Agenten autorisieren, Rechnungen abzugleichen, aber nicht, Lieferanten anzulegen. Der Agent mag einen Buchhaltungsdienst aufrufen, der sich auf Cloud-Infrastruktur stützt. Eine einzige dauerhafte Anmeldeinformation durch die gesamte Kette zu reichen, lässt getrennte Vertrauensgrenzen zu einem einzigen Geheimnis verschmelzen.
Ein robustes System muss wissen, wer den Agenten erstellt hat, wer ihn autorisiert hat, welche Autorität delegiert wurde, auf welche Ressourcen er zugreifen kann, wie lange die Autorität besteht, welche Aktionen stattgefunden haben, ob sie überprüft werden können und ob der Zugriff sofort widerrufen werden kann.
Anmeldeinformationen allein können diese Geschichte nicht ausdrücken. Ein gültiges Token mag beweisen, dass eine Arbeitslast einen Endpunkt aufrufen kann. Es beweist nicht notwendigerweise, dass dieser Nutzer diesen Zweck unter dieser Richtlinie zu diesem Zeitpunkt genehmigt hat.
Identität wird dynamisch
Menschliche Identität ist oft relativ dauerhaft. Agentenautorität sollte in der Regel flüchtig und kontextabhängig sein. Sie kann für eine Aufgabe abgeleitet, für ein Werkzeug eingeschränkt werden und enden, wenn der Workflow endet. Die Grenze kann sich verengen, wenn das Risiko steigt.
Das ist mit Zero Trust vereinbar: Behandeln Sie Netzwerkstandort oder einen früheren Login nicht als dauerhaften Beweis. Bewerten Sie den Akteur, die angeforderte Aktion, die Ressource und den aktuellen Kontext. Kurzlebige Anmeldeinformationen verringern die Exposition, aber die Autorisierungsentscheidung bleibt explizit.
Ein autonomer Akteur sollte nicht einfach Anmeldeinformationen besitzen. Er sollte innerhalb einer überprüfbaren Grenze der Autorität agieren.
Angenommen, eine Führungskraft delegiert die Reiseplanung. Der Agent darf Kalenderverfügbarkeit lesen und Flüge vergleichen. Die Buchung eines erstattungsfähigen Tickets unter einem Limit könnte erlaubt sein. Die Buchung nicht erstattungsfähiger Reisen, das Ändern eines Passeintrags oder das Einladen eines externen Teilnehmers könnte eine erneute Genehmigung erfordern. „Zugriff auf Reisen“ ist zu grob; Autorität ist eine Menge eingeschränkter Übergänge.
Provenienz macht die Kette überprüfbar. Ein Prüfprotokoll sollte die menschliche Delegation, die Agenteninstanz, die Richtlinienversion, die Dienstidentität und die resultierende Operation verknüpfen. Kryptografische Signaturen können Beweise schützen, aber Signaturen entscheiden nicht, ob die Richtlinie sinnvoll war. Governance definiert weiterhin akzeptable Delegation.
Widerruf ist Teil der Identität
Systeme behandeln Widerruf häufig als administrative Bereinigung. Bei Agenten ist er Teil der Laufzeitkontrolle. Autorität muss möglicherweise verschwinden, weil ein Gerät verloren wurde, ein Workflow abgebrochen wurde, Verhalten eine Schwelle überschritten hat oder der delegierende Mensch die Rolle gewechselt hat.
Sofortiger Widerruf ist in verteilter Infrastruktur schwierig. Zwischengespeicherte Richtlinien, offline verfügbare Anmeldeinformationen und lang laufende Jobs können weiterlaufen. Entwickler müssen die maximal akzeptable Verzögerung wählen und Durchsetzungspunkte entsprechend bauen. Das ist eine Systemeigenschaft, kein Kontrollkästchen bei einem Identitätsanbieter.
Maschinenidentität braucht auch Trennung von Agentenidentität. Eine Arbeitslast kann echte Software sein, die in einer attestierten Umgebung läuft, während die darin operierende Agentensitzung einen engeren, delegierten Zweck hat. Sie zu vermischen gibt jedem Denkprozess die volle Autorität der Arbeitslast.
Die Arbeit an digitaler Identität hat sich lange mit Ausstellern, Inhabern, Prüfern und Vertrauensrahmen befasst. Agentische Systeme fügen bewegliche Akteure und schnelle Delegation hinzu, aber die zugrunde liegende Lektion bleibt: Vertrauen ist kontextabhängig. Verifikation zählt nur im Verhältnis zu einer Entscheidung.
Das nächste Identitätsproblem besteht nicht nur darin, zu beweisen, wer ein Akteur ist.
Es besteht darin, zu beweisen, was dieser Akteur zu tun autorisiert war.