¿Cómo limita el control de acceso basado en capacidades los permisos de las herramientas de los agentes?
El control de acceso basado en capacidades limita a un agente al convertir la autoridad en una capacidad explícita vinculada a un recurso, en lugar de un permiso ambiental heredado por cada llamada a una herramienta.
En un servidor doméstico, esto puede permitir que un agente inspeccione un destino de copias de seguridad, otro reinicie un servicio concreto y un tercero lea una carpeta de fotos sin compartir una credencial maestra.
Una capacidad vincula la autoridad a un recurso específico
El control de acceso basado en capacidades representa la autoridad como un token o una referencia que identifica un objeto e incorpora los derechos disponibles sobre él.
seL4 describe una capacidad como un token no falsificable que concede permiso para acceder a una entidad u objeto. La posesión forma parte del mecanismo de autorización. seL4 representa la autoridad mediante capacidades que hacen referencia a objetos específicos del kernel, lo que proporciona un ejemplo concreto de autoridad vinculada a recursos en el modelo de capacidades de seL4.
Para un agente de IA doméstico, una herramienta de copias de seguridad puede recibir autoridad para un repositorio concreto, en lugar de acceso ambiental a todo el sistema de archivos. Conocer una ruta por sí solo no concede permiso.
La posesión reemplaza la autoridad ambiental por una delegación explícita
Los entornos tradicionales suelen exponer autoridad ambiental mediante credenciales de proceso o tokens de API amplios.
Los sistemas de capacidades hacen explícita la autoridad en las referencias que realmente posee un componente.
capDL de seL4 describe qué partes de un sistema poseen capacidades sobre qué otras partes. Esas distribuciones definen los límites del control de acceso. Wasmtime describe el aislamiento orientado a capacidades para los recursos de WASI, ilustrando cómo la posesión explícita puede reemplazar el acceso ambiental amplio en el modelo de seguridad basado en capacidades de Wasmtime.
Por tanto, un subagente que organiza fotos puede recibir acceso de lectura a una carpeta de importación y acceso de escritura a una carpeta de preparación, sin obtener autoridad para eliminar elementos del archivo.
Los derechos pueden ser más limitados que el recurso
Una capacidad puede incorporar derechos que limiten las operaciones disponibles sobre el objeto referenciado.
Dos agentes pueden tener capacidades sobre el mismo objeto con distintos niveles de autoridad.
seL4 explica que una capacidad encapsula una referencia a un objeto junto con los derechos de acceso que controlan las operaciones permitidas. Bytecode Alliance ha descrito WASI en torno a la seguridad basada en capacidades, respaldando la idea de que los derechos concedidos pueden ser más limitados que el propio recurso del host en la seguridad de WASI basada en capacidades.
Un flujo de trabajo de monitorización podría tener autoridad para leer el estado, mientras que un flujo de mantenimiento tendría autoridad para reiniciar. El servicio es el mismo; las operaciones disponibles no.
La delegación puede entregar una capacidad más limitada a una subtarea
Los sistemas de capacidades encajan con la descomposición de agentes porque la autoridad puede transmitirse junto con el trabajo. Un agente principal puede delegar únicamente lo que necesita un asistente, en lugar de reenviar una credencial maestra.
Cap'n Proto modela las referencias RPC como referencias que también transmiten autoridad para llamar a un objeto. Pasar la referencia equivale a pasar una capacidad específica. Cap’n Proto RPC trata las referencias a objetos como capacidades que pueden pasarse a otros componentes, un modelo útil para la autoridad delegada en las capacidades de objetos de Cap’n Proto.
Un asistente al que se le pida inspeccionar un directorio de registros concreto puede recibir una capacidad de lectura únicamente para ese directorio. Su instrucción puede mencionar otros recursos, pero la autoridad no puede ampliarse mediante una petición.
Los mecanismos de capacidades y el alcance de las herramientas son capas diferentes
El alcance de una herramienta es una decisión de política sobre lo limitada que debe ser la acción de un agente.
El control de acceso basado en capacidades es un mecanismo de ejecución para representar y hacer cumplir esa autoridad.
El análisis del alcance de las herramientas para agentes de IA domésticos de ZimaSpace explica por qué el alcance de la acción, el recurso, los argumentos y las credenciales debe reducirse a medida que aumenta la autonomía. El trabajo actual del borrador del IETF sobre tokens de agente con autoridad atenuada explora una autoridad delegada que puede limitarse para agentes posteriores, ilustrando el límite de la delegación en el borrador sobre tokens de agente con autoridad atenuada.
La aplicación de capacidades sigue siendo importante cuando falla la lógica del agente. El análisis de ZimaSpace sobre bucles repetidos de llamadas a herramientas muestra por qué los fallos de comportamiento y los límites de autoridad deben tratarse por separado.
La revocación y las API heredadas siguen siendo límites de implementación
Los sistemas prácticos todavía necesitan formas de revocar autoridad perdida, caducar accesos temporales y conectar servicios que solo entienden usuarios, roles o tokens portador.
seL4 expone operaciones de derivación y eliminación de capacidades, pero el comportamiento de la revocación depende de la arquitectura circundante. El proyecto cap-std expone recursos externos como valores de capacidad en lugar de variables globales ambientales, y también muestra que las API heredadas y la revocación siguen siendo cuestiones de ingeniería independientes en las API de cap-std basadas en capacidades.
La solidez de un envoltorio de capacidades para una API de NAS depende de la solidez de la puerta de enlace que haya detrás. Si cada solicitud termina utilizando un token de administrador sin restricciones, la granularidad aparente puede desaparecer por debajo de ese límite.
Productos recomendados
Centro de Tecnología e IA
Más para leer
Estado de ejecución frente a estado persistente en Home Assistant: ¿qué debe sobrevivir al reinicio?
Home Assistant no conserva todos los valores en tiempo real; la configuración, los registros, los estados restaurados seleccionados, el historial y los datos de...
¿Cómo autentica Home Assistant las sesiones locales y remotas?
Las sesiones locales y remotas de Home Assistant utilizan el mismo modelo de identidad del servidor; el acceso remoto cambia la ruta y el...
¿Por qué pueden volverse lentas las consultas del historial de Home Assistant a medida que crecen los datos del grabador?
El crecimiento del grabador puede aumentar el costo de las consultas del historial cuando el rango solicitado abarca más filas, aumentan los fallos de...
