POKWITOWANIE ZAUFANIA DO AKTORA
Przykładowe- Aktor
- Człowiek
- Bycie człowiekiem
- Zweryfikowany
- Tożsamość
- Zweryfikowano z zachowaniem prywatności
- Obecność
- Ciągły
- Kontrola człowieka
- Wysoki poziom pewności
- Udział AI
- Niski
- Ciągłość sesji
- Wysoki poziom pewności
W skrócie
Proof of Actor zaprojektowano tak, aby instytucje finansowe mogły wymagać potwierdzonej kontroli człowieka lub wyraźnego potwierdzenia przez niego zamiaru przed realizacją transakcji o istotnych skutkach i operacji na koncie obarczonych wysokim ryzykiem, a także weryfikować uprawnienia agentów AI działających w imieniu klientów.
Pytanie
Czy właściciel konta jest rzeczywiście obecny i kontroluje to działanie oraz czy wyraźnie zamierzał je podjąć?
Kontekst
Gdzie kończy się uwierzytelnianie
Przejęcie konta i sesji jest skuteczne, ponieważ uwierzytelnienie stanowi bramkę, a nie gwarancję. Po utworzeniu sesji instytucja zwykle zakłada, że działa osoba, która się uwierzytelniła. Na tym założeniu opierają się oszustwa wykorzystujące zdalny dostęp, instruowanie ofiar, skradzione sesje, a obecnie także agenci AI z delegowanym dostępem.
Klienci będą coraz częściej używać agentów AI do opłacania rachunków, przelewania pieniędzy między kontami i zarządzania subskrypcjami. Banki potrzebują sposobu, by akceptować działania uprawnionych agentów, wiedząc zarazem, w czyim imieniu działają i jakie są granice ich upoważnienia.
Proof of Actor ma umożliwiać stosowanie mocniejszych dowodów dokładnie tam, gdzie mają znaczenie: w momentach wysokiego ryzyka, proporcjonalnie do konsekwencji, bez utrudniania każdego logowania.
Działania na koncie obarczone wysokim ryzykiem
- Zmiana danych bankowych lub danych do wypłaty
- Dodawanie administratorów lub upoważnionych użytkowników
- Przywracanie ustawień zabezpieczeń
- Przenoszenie aktywów
- Zmiana osób uprawnionych do świadczeń
- Autoryzowanie większych zakupów
Co Proof of Actor ma w założeniu ustalać
Warstwy zaufania potrzebne w tym kontekście
Każdy kontekst wymaga innego wycinka infrastruktury zaufania. Oto warstwy, które mają tu znaczenie.
Tożsamość
Posiadacz konta jest tym, za kogo się podaje.
Obecność
Są obecni w momencie wykonywania działania.
Kontrola człowieka
To oni sprawują nad tym kontrolę, a nie zdalny operator ani skrypt.
Zamiar
Zatwierdzili to działanie w tym czasie i na tych warunkach.
Zakres uprawnień
Gdy działa agent, jego działanie mieści się w granicach udzielonego mu upoważnienia.
Zasady
Typowa polityka dotycząca transferu o dużej wartości
Proof of Actor dostarcza materiał dowodowy. Twoja organizacja ustala i ujawnia zasady.
// Proposed API - illustrative only
POST /v1/intent
{
"action": "change_beneficiary",
"require": {
"identity": "verified",
"presence": "current",
"human_control": 0.95,
"explicit_intent": true
}
}Najczęstsze pytania
Często zadawane pytania
Czym różni się to od uwierzytelniania wieloskładnikowego?
MFA potwierdza, że osoba dysponująca odpowiednimi metodami uwierzytelnienia może uzyskać dostęp do konta. Proof of Actor ma umożliwiać ustalenie, kto działa w chwili wykonywania konkretnej czynności: czy człowiek jest obecny i sprawuje kontrolę oraz, gdy jest to wymagane, czy wyraźnie zamierza wykonać tę czynność.
Czy może to pomóc w przypadku przejęcia konta i sesji?
Ataki te wykorzystują założenie, że osoba dysponująca aktywną sesją jest właścicielem konta. Wymaganie dowodów obecności, ciągłości tożsamości aktora i sprawowania kontroli w momentach wysokiego ryzyka ma sprawić, że założenie to będzie jawne i możliwe do zweryfikowania.
Jak banki powinny obsługiwać agentów AI swoich klientów?
Dzięki Proof of Authority: weryfikacji agenta, powiązaniu go z klientem jako mocodawcą oraz sprawdzeniu każdego żądanego działania pod kątem odwoływalnego upoważnienia, z wymogiem wyraźnego potwierdzenia zamiaru tam, gdzie wymaga tego polityka instytucji.
Więcej zastosowań
Inne konteksty
Rekrutacja
Sprawdź, czy kandydat rzeczywiście samodzielnie wykonał zadania oceny.
Handel z udziałem agentów AI
Zweryfikuj, kto stoi za agentem AI i czy zakup mieści się w zakresie jego mandatu.
Platformy handlowe
Odróżniaj rzeczywistych użytkowników, użytkowników wspomaganych przez AI i autonomicznych agentów.
Randkowanie
Dowody na to, że za profilem i rozmową stoi człowiek.
W przypadku jakiej interakcji trudno Ci ustalić, czy można jej zaufać?
Partnerzy projektowi pomagają określić, jakie dowody wpłynęłyby na ich decyzje. Opowiedz nam, jakie dowody wpłynęłyby na Twoje.