AXR/Agent eXecution Receipts/Nyílt forrású · MIT
Az AXR nyílt forrású elszámoltathatósági réteg AI-ágenseknek és automatizált folyamatoknak: kriptográfiailag aláírt, manipuláció-detektáló végrehajtási bizonylatok, amelyek a „bízz bennem"-et „ellenőrizd"-re cserélik. Ma is élesben fut, óránként lehorgonyozva, és bárki ellenőrizheti, akinél ott a nyilvános kulcs.
A probléma
Az AI-ágensek ma érdemi műveleteket végeznek: eszközöket hívnak, rekordokat módosítanak, pénzt mozgatnak, üzeneteket küldenek valaki nevében. Mindennek az audit-nyomvonala általában egy logfájl, amely azé, aki az ágenst futtatta — módosítható, törölhető, és az üzemeltető saját infrastruktúráján kívülről senki sem tudja ellenőrizni.
Utólag nincs megbízható mód a fontos kérdések megválaszolására: melyik ágens csinálta ezt, mit kapott bemenetnek, mit döntött és mi alapján, módosították-e a rekordot utólag, és miért mondtak az ügyfélnek „nem"-et?
A szabályozók felfigyeltek. Az EU AI Act az automatikus eseménynaplózást tervezési követelménnyé teszi a magas kockázatú AI-rendszereknél (12. cikk), megőrzésre kötelezi a felhasználókat (26. cikk), és a magas kockázatú kötelezettségek 2026. augusztus 2-tól alkalmazandók. Az USA-ban a NIST AI-szabványügyi központja 2026 februárjában indította az AI Agent Standards Initiative-ot, középpontban az ágens-biztonsággal és -identitással.
A napló, amit átírhatsz, egy történet. A bizonylat, amit ellenőrizhetsz, egy rekord.
Mi ez
Minden számító műveletről az AXR kibocsát egy bizonylatot: a végrehajtott művelet, a bemenetei és kimenetei hash-ei, egy időbélyeg, az ágens identitása, és egy Ed25519-aláírás a kanonizált rekord felett. Pontosan egy dolgot bizonyít — hogy egy adott folyamat egy adott bemeneten egy adott döntést hozott, és a rekord azóta nem változott.
Ez két különböző dolgot ad. A manipuláció-detektálás a kriptográfiai padló: az aláírás bizonyítja, hogy a rekord nem változott. A viselkedés-olvashatóság az, ami napról napra megtérül — a bizonylat annyira olvashatóvá teszi a folyamat tényleges viselkedését, hogy egy belső ellentmondás akkor is felszínre kerül, ha semmit sem manipuláltak és minden aláírás érvényes.
Szándékosan nem workflow-építő, nem ágens-keretrendszer, nem megfigyelő-platform. Ez a vékony elszámoltathatósági réteg, amely ezek alatt ül. Két bizonylattípus viszi a terhet: egy lépés-bizonylat egyetlen döntés-releváns node-ot rögzít, egy folyamat-bizonylat pedig egy futás lépéseit fűzi aláírt, láncolt rekordba. A lépések egy futáson belül láncolódnak; a futások az ágens előzményein át — így bármely bizonylat törlése elszakítja a láncot, bármely módosítása pedig eltöri az aláírást.
Szemléltető lépés-bizonylat — egy aláírt művelet alakja
{
"axr_version": "0.2.1",
"agent_id": "axr:agent:eco-clean:v5.1",
"step": { "name": "Create Booking", "kind": "side_effecting" },
"io": {
"input_hash": "sha256:9f2c…b41a",
"output_hash": "sha256:1d7e…0c88",
"decision": "BOOKING_CONFIRMED"
},
"logic_version": "5.1",
"logic_hash": "sha256:a3b9…77e2",
"previous_receipt_hash": "sha256:5c10…d9f3",
"timestamp": "2026-06-13T09:14:22Z",
"signature": "ed25519:K8f…/Qb2Aw=="
} Kinek szól
Az AXR ott térül meg, ahol egy automatikus döntést később megkérdőjelezhetnek, és valakinek ki kell állnia a válasz mögött.
Foglalnak, áraznak, üzennek, pénzt mozgatnak vagy rekordokat módosítanak valaki nevében. Ma az egyetlen feljegyzés a történtekről egy logfájl, ami a tiéd, és átírhatnád.
Amit kapsz: Aláírt bizonylat minden érdemi műveletről — bizonyíték, nem szerkeszthető történet.
A 12. cikk tervezési követelménnyé teszi az automatikus eseménynaplózást a magas kockázatú rendszereknél; a 26. cikk megőrzésre kötelezi a felhasználókat, 2026. augusztus 2-tól.
Amit kapsz: E kötelezettségekre tervezett rekordok, auditor-kész riporttal.
Utólag meg kell állapítanod, melyik ágens mit csinált, milyen bemeneten, és módosították-e a rekordot — anélkül, hogy az üzemeltető szavát kéne elfogadnod.
Amit kapsz: Offline ellenőrzés pusztán egy nyilvános kulcsból. Nem kell üzemeltetői hozzáférés.
Az AXR nem ágens-keretrendszer és nem megfigyelő-platform. Ez a vékony, unalmas réteg, amelyre ezek az eszközök ráülhetnek — szabványos kriptó, nulla függőség, MIT.
Amit kapsz: Fagyasztott wire-formátum és két független ellenőrző, amire építhetsz.
A GDPR 17. cikk szerinti törlés látszólag szemben áll egy csak-hozzáfűzhető naplóval: hogyan törölsz személyes adatot egy olyan rekordból, amelynek pont az a lényege, hogy nem változhat?
Amit kapsz: Mezőszintű, sózott Merkle-elköteleződések — töröld a tiszta szöveget, az aláírások állnak.
Egy független monitor a lappangó védelmet aktív detektálássá alakítja: equivocation, csonkítás, történet-átírás és jogosulatlan kulcscsere.
Amit kapsz: OCSF-formájú Detection Finding-ek és webhook-kézbesítés a SIEM-edbe.
Hogyan működik
A bizonylat-generátor egyetlen Code node a workflow végén, a válasz előtt. Beolvassa a döntés-releváns node-ok kimeneteit, és egy menetben előállítja az összes bizonylatot. A horgonyzás és a monitorozás a folyamaton kívül fut, így az éles hot-path nem lassul és nem kap új függőséget.
Ellenőrizz egy logot magad — a teljes parancs:
# offline, zero dependencies, exit 0 = valid node axr-verify.js receipts.jsonl public-key.pem sth.jsonl anchors.jsonl # the same log, checked by a fully independent Python implementation python3 axr_verify.py receipts.jsonl public-key.pem sth.jsonl anchors.jsonl
Nincs terminál? Húzz be egy logot a böngészős ellenőrzőbe — ugyanazokat az aláírás-, Merkle-gyökér- és witness-ellenőrzéseket futtatja helyben, feltöltés nélkül.
A felépítés
A biztosítási munkát olyanoknak is auditálhatónak kell lennie, akik nem írták. Ezért az AXR csak szabványos, jól értett építőelemeket használ — és nyíltan kimondja a céljait:
Érettség
Az AXR egyetlen repóként szállít, több érettségi szintet átfogva. E tábla lényege az őszinteség: olvasd el egy funkció szintjét, mielőtt rá építesz. A 0.2 wire-formátum fagyasztott — a régebbi logok byte-ra verifikálnak a jelenlegi verifierrel, és minden későbbi munka additív.
| Réteg | Verzió | Érettség |
|---|---|---|
| Mag — aláírás, láncolás, lépésenkénti bemenet-hash, kanonikus JSON, kereszt-impl paritás Élesben tesztelt, fagyasztott wire-formátum; hardened n8n node. | 0.2.1 | Stabil |
| Horgonyzás — Merkle-kötegelés, aláírt fa-fejek, monitor, külső időbélyegzés Óránkénti horgonyzó cron élesben; külön STH-kulcs. | 0.3 | Telepítve |
| Törölhető bizonylatok, mellékhatás-tanúsítás, trust-root, kulcs-szerep szeparáció Tesztelt; fagyasztva az 1.0 szerződésben. | 0.4 | Stabil |
| Kulcsöröklés — root-horgonyzott rotáció, megkülönböztethető a kompromittálódástól Kereszt-impl paritás + adversarial review; a pilot még nem használja. | 0.5 | Stabil |
| SIEM-export — OCSF Detection Finding mapping + általános webhook OCSF-formájú kimenet; szándékosan best-effort kézbesítés. | 0.6 | Stabil |
| Root-életciklus hardening — kvórum (M-az-N-ből) root, rotáció, revokáció, ceremónia-CLI Kereszt-impl paritás; a kvórum-policy a fenyegetésmodell része. | 0.6 | Stabil |
| Control log — horgonyzott governance-terjesztés + részleges felfedés Bezárja a sávon kívüli visszatartási rést; az 1.5 off-wire inclusion proofot ad egyetlen rekordra (egyet bizonyíts, a többit ne fedd fel). | 0.7 – 1.5 | Stabil |
| Witness-életciklus — cosigning, vészhelyzeti revokáció, ideiglenes, auto-lejáró felfüggesztés Megelőző equivocation-védelem; a teljes lassú-revoke → revoke → suspend életciklus, kereszt-impl. | 0.8 – 1.4 | Stabil |
| Könyvtár-SDK — require('axr'): fagyasztott publikus API-felület + programozott verify() A felületet teszt rögzíti; az axr.verify() a kanonikus verifiert futtatja, így sosem térhet el. | 1.2 – 1.3 | Stabil |
Bizonyíték élesben
Az AXR élesben fut egy valódi foglalási folyamaton az ECO Clean HU-nál — a folyamat húsz node-jából hat bizonylatot hordoz, és a log — immár 227 aláírt bizonylaton túl — 2026 júniusa óta óránként egyetlen Merkle-fába horgonyzódik. Ennek az elszámoltathatósági rétegnek a felállítása olyat tett, amire az üzemeltetője nem számított: felszínre hozott négy valódi, az AXR-t megelőző hibát, és két defektet az AXR saját eszköztárában.
Egyik sem járt manipulációval vagy érvénytelen aláírással. Ezek viselkedés-olvashatóság, nem manipuláció-detektálás: a bizonylat annyira olvashatóvá tette a futást, hogy a szándékolt és a végrehajtott ág közti ellentmondás magától felszínre került. A B-bug pont ilyen volt — egy elutasítás, ami mégis elsütötte a sikeres ágat, abban a pillanatban elkapva, ahogy a bizonylat kimenetét elolvasták.
Minden futás egyszerre sütötte el mind a három válaszágat: egy ZONE_INCOMPATIBLE elutasítás mégis sikeres e-mailt küldött. A bizonylat final_status-a azonnal kiütötte az ellentmondást. Javítva egy Switch node-dal, ami a bizonylat kimenetére routol.
Az elutasítások „unknown_error"-t adtak vissza, az ügyfél saját üzenetét visszhangozva — a valódi indok elveszett. A bizonylat minden futáson a helyes státuszt rögzítette, ellentmondva annak, amit az ügyfelek kaptak.
Egy újraellenőrzéses konfliktus HTTP 200-at adott üres testtel, miközben a bizonylat egy teljes, aláírt 5-lépéses SLOT_TAKEN lánc volt. A helyes bizonylat és az üres válasz közti rés pontosan az, amire az AXR való.
Egy javítás után a logika v5.1-re lépett, de minden bizonylat továbbra is v5.0-t tanúsított — érvényes aláírás egy hamis állítás felett arról, melyik kód döntött. Most kód-hash ujjlenyomatok váltják a kézzel írt címkéket, és a CI elbukik driftnél. A verziócímke tanúvallomás; a kód-hash bizonyíték.
A horgonyzás-bevezetés sandbox-próbafutása az AXR két saját defektjét fogta el, mielőtt elérhették volna az éles logot: a kereszt-verziós horgonyzás minden legacy aláírást érvénytelenített volna, a Python-verifier pedig csendben figyelmen kívül hagyta a külön-kulcs flaget. Mindkettő javítva az első éles horgony előtt. Egy próbafutás, ami a sandboxban eltörik, az egy funkció.
Támadói bizonyíték
Egy integritás-állítás annyit ér, amennyit a megtörésére tett kísérletek. Az AXR szisztematikusan bizonyítja a központi állítását, nem retorikailag:
Szabványok & megfelelőség
Az AXR úgy van tervezve, hogy ráilleszkedjen az érkező nyilvántartási kötelezettségekre — nem azt állítja, hogy bármelyikkel tanúsítottan megfelel. Az EU AI Act 12. cikke előírja, hogy a magas kockázatú rendszerek automatikusan rögzítsék az eseményeket a nyomonkövethetőséghez, a 26. cikk pedig megőrzésre kötelezi a felhasználókat. A GDPR 17. cikke a másik irányba húz, a törlés felé. A NIST AI Agent Standards Initiative az amerikai oldalt az identitás és az auditálhatóság köré rendezi. Az aláírt, függetlenül ellenőrizhető bizonylat olyan primitív, amelyre mindegyik irány építhet.
Két dolog teszi ezt kézzelfoghatóvá. A törölhető bizonylatok feloldják a GDPR-kontra-csak-hozzáfűzhető feszültséget: az érzékeny mezők egy sózott, mezőszintű Merkle-fán keresztül kötődnek, így a tiszta szöveg utólag törölhető, miközben az aláírás, a lánc és a már lehorgonyzott bizonyíték is áll. A Compliance Report Generator pedig egy nyers logból auditor-kész HTML-riportot készít — integritás, kulcs-governance idővonal, horgonyzási státusz, és egy EU AI Act 12. cikk / GDPR kontroll-térkép.
A pontosság itt számít: „úgy tervezve, hogy ráilleszkedjen" — ez az állítás. A riport a verifier verdiktjének nézete, nem helyettesítője, és semmit nem állít, amit nem ellenőrzött.
Dogfooding
Az AXR-t egy három-AI munkapad építette — Fable, Meridian és NEXUS — egy közös, csak-hozzáfűzhető journal felett. Ez a journal maga egy ellenőrizhető AXR-log: minden bejegyzés Ed25519-aláírt bizonylat, az egész készlet egyetlen aláírt fa-fejbe horgonyzódik Merkle-fával, és azt a fa-fejet a két review-ágens cosignolta — mindegyik a saját processzében, saját maga által generált és tartott kulccsal, így az orchestrator sosem látott privát kulcsot. A commitolt pillanatkép a teljes 1.0 stack alatt újraverifikál, a böngésződben.
Őszinte keret: ez azt bizonyítja, hogy a journal az aláírás óta változatlan, nem azt, hogy bármely bejegyzés igaz volt íráskor. A cosignature-ök valóban processz-függetlenek; a teljes zero-trustig az egyetlen hátralévő rés, hogy a custody még azonos gépen van — élesben a witnessek külön biztonsági zónákban futnak.
Státusz & határok
Az AXR nyílt forrású, MIT-licencű, és nyilvánosan fejlesztett. Az 1.0 óta a wire-formátum és a CLI/verifier-szerződés fagyasztott az 1.x-re; az 1.1–1.4 csak backward-kompatibilis rekordokat és egy fagyasztott könyvtár-SDK-t adott. A mag és a horgonyzási réteg élesben fut; a magasabb rétegek — kulcsöröklés, kvórum-root-ok, a control log és a teljes witness-életciklus (cosigning, vészhelyzeti revokáció, ideiglenes felfüggesztés) — teszteltek, kereszt-impl ellenőrzöttek és additívak, de a live pilot még nem használja őket. A projekt őszinte marad a saját hiányosságairól:
Bizonyíték
A chrisconen.dev minden deployja közzétesz egy manifestet az oldal minden fájljáról, SHA-256-tal hash-elve és Ed25519-cel aláírva. A böngésződ ellenőrizheti az aláírást, és bármely fájlt újrahash-elhet a manifest ellenében. Ez az AXR alapötlete egy build-pipeline-ra alkalmazva ágens helyett — ugyanaz a bizonylat, más szereplő.