// AUTHORITY: VALID · ACTION: WITHIN_SCOPE
Definición
Proof of Actor es una infraestructura de confianza propuesta para determinar si una interacción digital la lleva a cabo una persona, una persona que utiliza AI o un agente autónomo de AI, y para establecer quién autorizó la acción.
Dónde termina la autenticación
Proof of Actor empieza donde termina la autenticación.
Son problemas distintos. Resolver uno no resuelve los demás.
La autenticación responde
¿Puede esta entidad acceder a esta cuenta?
La identidad responde
¿A quién pertenece esta identidad?
Proof of Actor pregunta
¿Quién o qué está realizando realmente esta acción ahora mismo?
Una persona puede autenticarse correctamente y después:
El modelo de actores
Cuatro estados del actor
Un actor es la entidad efectivamente responsable de producir o controlar una interacción digital. Las interacciones se clasifican en cuatro estados comprensibles. Ninguno es universalmente mejor que otro.
HUMANO
Parece que una persona controla directamente la interacción.
Una persona candidata completa la evaluación por sí misma, sin ayuda externa significativa de AI.
HUMANO + AI
Una persona sigue siendo responsable de la interacción, pero AI le presta una ayuda significativa.
Un profesional escribe un correo electrónico con ayuda de un asistente de escritura con AI. Según el contexto, esto puede ser perfectamente aceptable.
AGENTE AUTORIZADO
Un agente de AI realiza la interacción en nombre de una persona o una organización identificada, dentro de los límites de la autoridad delegada.
Un agente de compras autorizado por su usuario compra un vuelo dentro de un presupuesto determinado.
ACTOR NO VERIFICADO
El servicio no puede determinar con suficiente confianza quién es el actor, si existe control humano o quién es el mandante responsable.
Esto no implica automáticamente que haya una intención maliciosa. Significa que la relación de confianza es desconocida.
Confianza contextual
Proof of Actor proporciona las pruebas. El servicio que las utiliza decide la política.
Cada contexto requiere políticas distintas. Las mismas pruebas pueden dar lugar a decisiones diferentes e igualmente correctas.
| Contexto | Puede exigirlo o permitirlo |
|---|---|
| Evaluación de candidatos | HUMANO |
| Interacción de atención al cliente | HUMANO o AGENTE AUTORIZADO |
| Mercado en línea | HUMANO, HUMANO + AI o AGENTE AUTORIZADO |
| Un banco que aprueba una transferencia importante | Identidad humana verificada + presencia humana actual + intención humana explícita |
La arquitectura de confianza de Proof of Actor
Diez preguntas detrás de cada interacción con consecuencias importantes
Proof of Actor está diseñado para analizar distintas capas por separado, de modo que una aplicación pueda solicitar exactamente las pruebas que necesita según el contexto.
Condición de persona
¿Hay indicios de que una persona real está detrás de esta interacción?
No es lo mismo que identificar a la persona. Un servicio puede saber que hay una persona real presente sin saber quién es.
Identidad
¿Es esta persona quien dice ser?
Opcional cuando deba preservarse el anonimato o el uso de seudónimos. Diseñado para admitir «persona verificada, identidad no revelada».
Presencia
¿Está realmente presente la persona durante esta interacción?
Haber superado una verificación de identidad quince minutos antes no demuestra que la persona esté presente ahora.
Continuidad del actor
¿Es el mismo actor quien continúa durante toda la sesión?
Aborda la suplantación, las cesiones de control, la asistencia remota, la apropiación de sesiones y la sustitución del actor.
Control humano
¿Controla realmente la persona la interacción?
La autenticación demuestra el acceso. La identidad acredita quién es alguien. La presencia acredita que está presente. Ninguna de ellas demuestra necesariamente el control.
Participación de AI
¿Participa la AI de manera significativa en la interacción?
Graduada, nunca binaria: sin indicios significativos de AI, asistencia posible, probable o declarada, o actividad de un agente autónomo.
Delegación
Si actúa un agente de AI, ¿quién lo autorizó?
La parte representada podría ser una persona, una organización u otro servicio autorizado.
Alcance de la autoridad
¿Qué está autorizado a hacer este actor?
Permisos, límites de transacción, contrapartes permitidas, caducidad y revocación, comprobados en relación con la acción solicitada en este momento.
Intención
¿Aprobó la persona expresamente esta acción, en ese momento y bajo esas condiciones?
Para acciones de gran trascendencia, puede que la autoridad permanente por sí sola no sea suficiente.
Responsabilidad
¿Quién responde en última instancia por esta acción?
Toda atestación significativa debería permitir responder a esta pregunta.
La visión del protocolo
Un protocolo de confianza que las aplicaciones consultan antes de confiar en un actor
La versión más amplia de Proof of Actor no es otra API de verificación. Es un protocolo de confianza que las aplicaciones pueden solicitar durante interacciones relevantes, recibir una Actor Attestation y aplicar sus propias reglas.
// Proposed API - illustrative only
policy.require({
actor: "human",
presence: "continuous",
control: 0.90,
aiAssistance: "low"
});
// Or, for a service that welcomes authorised agents:
policy.allow({
actor: ["human", "authorized_agent"],
agentAuthority: {
required: true
}
});¿Quién está actuando?
Las aplicaciones aplican después sus propias reglas.
Filosofía de arquitectura
Diseñado para
Publicamos qué establece Proof of Actor. Somos deliberadamente selectivos respecto a cómo lo hace: las puntuaciones, la ponderación de las señales y las técnicas de detección se mantienen en privado.
Independiente de las señales
No está vinculado de forma permanente a una cámara web, a datos biométricos ni a ninguna técnica concreta.
Múltiples señales
La confianza se construye a partir de pruebas independientes, no de una sola comprobación vulnerable.
Continua
Las interacciones de alto valor se verifican durante toda la sesión, no solo al iniciar sesión.
Contextual
Las pruebas necesarias para comentar en un foro son distintas de las necesarias para transferir $1 millón.
Con protección de la privacidad
Recopilar únicamente la información necesaria para respaldar la afirmación solicitada.
Explicable
Las aplicaciones reciben las evidencias que sustentan un resultado de confianza, no solo una etiqueta.
Revocable
La autorización de un agente siempre debe poder revocarse.
Auditable
Las atestaciones relativas a acciones de impacto generan registros fiables.
Pensado para desarrolladores
La integración debería llegar a ser más sencilla que desarrollar una infraestructura interna de verificación.
Preguntas frecuentes
Preguntas sobre el funcionamiento de Proof of Actor
¿Qué es Proof of Actor?
Proof of Actor es una infraestructura de confianza propuesta para determinar si una interacción digital la lleva a cabo una persona, una persona que utiliza AI o un agente autónomo de AI, y para establecer quién autorizó la acción. Está en desarrollo.
¿Qué es un actor?
Un actor es la entidad efectivamente responsable de producir o controlar una interacción digital. Puede ser una persona, una persona asistida por AI, un agente de AI autorizado que actúa en nombre de un principal o un actor que el servicio no puede verificar.
¿Sirve Proof of Actor para detectar bots?
No. La detección de bots pregunta si el tráfico parece automatizado. Proof of Actor pregunta quién o qué actúa, si hay una persona presente y al mando, si interviene AI y quién autorizó la acción. Las señales de bots pueden servir como datos de entrada, pero no describen el problema.
¿Quién decide si un actor es aceptable?
La aplicación que utiliza las pruebas. Proof of Actor aporta pruebas de confianza; el cliente determina qué política es aceptable. Una evaluación para un proceso de selección, un chat de asistencia y una transferencia bancaria pueden requerir cosas muy distintas.
¿Por qué no bloquear toda la AI?
Porque la participación de AI suele ser legítima y cada vez más difícil de evitar. El problema no es que participe AI, sino que deje de ser visible quién actúa en nombre de quién. Proof of Actor está diseñado para que la participación de AI pueda atribuirse, no para hacerla desaparecer.
Ayude a definir la capa de confianza de los actores.
El protocolo se está definiendo con los primeros socios de diseño. Cuéntenos qué interacción no puede considerar fiable hoy.