Agent Passport
Ein Agent Passport ist ein signierter Nachweis über die Identität eines KI-Agenten, meist mit gebundenem Schlüssel, ohne selbst eine Befugnis zu erteilen.
Der Passport beantwortet, wer der Agent ist und wer für ihn bürgt. Was er darf, regelt erst ein Mandat. Ein Passport allein führt deshalb nie zu einem vollständig belegten Ergebnis; zusammen mit einem Mandat erlaubt er zu prüfen, ob beide denselben Agenten nennen.
Beispiel
Ein Unternehmen stellt seinem Rechnungsagenten einen Agent Passport aus: Name, Betreiber, Version und öffentlicher Schlüssel. Händler sehen daran, welcher Agent anfragt und wer ihn betreibt, bevor sie sein Mandat prüfen.
Abgrenzung
Der Agent Passport beschreibt, wer der Agent ist. Das Mandat beschreibt, was er darf. Eine signierte HTTP-Anfrage nach Web Bot Auth belegt, dass eine Anfrage von ihm stammt.
In der Praxis
- Führen Sie für jeden produktiven Agenten einen Passport mit Betreiber, Version und Schlüssel. So bleibt nachvollziehbar, welche Version eines Agenten eine Handlung ausgeführt hat.
- Erneuern Sie den Passport bei jedem Wechsel des Schlüssels oder einer wesentlichen neuen Version, und lassen Sie alte Passports rechtzeitig ablaufen.
- Behandeln Sie den Passport als Identität, nie als Erlaubnis. Prüfen Sie für jede Handlung zusätzlich das Mandat mit seinen Grenzen.
Bezug zu KYA
KYA prüft einen Agent Passport im Format SD-JWT VC: Signatur, Aussteller, Gültigkeit und die Bindung des Agentenschlüssels. Für eine Befugnis reicht der Passport allein nicht; dafür braucht es ein Mandat.
Zugehöriger Prüfschritt: Agent und Auftraggeber (subject_agent_binding). Nennen alle Teile denselben Agenten, ist der Auftraggeber benannt, hält der Agent den gebundenen Schlüssel?
Häufige Fragen
Was ist ein Agent Passport?
Ein signierter Nachweis über die Identität eines KI-Agenten: wer ihn betreibt, welche Version er hat und welcher Schlüssel zu ihm gehört.
Reicht ein Agent Passport für einen Kauf?
Nein. Der Passport belegt die Identität des Agenten, nicht seine Befugnis. Für einen Kauf braucht es zusätzlich ein Mandat mit Grenzen.
Wer stellt einen Agent Passport aus?
Meist der Betreiber des Agenten oder eine Stelle, die ihn geprüft hat. Entscheidend ist, dass die Prüfstelle dem Aussteller vertraut.
Wie lange sollte ein Agent Passport gelten?
So kurz wie praktikabel, typischerweise bis zum nächsten Schlüsselwechsel oder zur nächsten Version. Kurze Gültigkeit begrenzt den Schaden bei einem kompromittierten Schlüssel.
Was unterscheidet einen Agent Passport von einem Benutzerkonto?
Ein Benutzerkonto gehört zu einem Dienst und gilt nur dort. Ein Agent Passport ist ein signierter Nachweis, den jede Prüfstelle unabhängig prüfen kann, auch ohne Zugriff auf das System, in dem der Agent läuft.