Resumen

  • Steven Mih presentó un primer Internet-Draft individual, anunciado el 27 de septiembre, para una envoltura de divulgación de las llamadas Agent Action Capsules. No tiene respaldo formal de la IETF ni constituye un estándar aprobado.
  • La cápsula firmada mantendría solo el compromiso criptográfico de ciertas entradas y salidas. Una estructura adicional y opcional podría entregar después el valor completo a un verificador sin cambiar el identificador de la cápsula.
  • Hay que comprobar por separado el registro original y cada dato revelado. Una coincidencia de huellas no acredita la veracidad del contenido ni impide que el receptor comparta el valor en claro.

Un proveedor quiere demostrar qué recibió un agente antes de actuar, pero no quiere publicar ese material sensible en el registro accesible a todos. El borrador draft-mih-agent-disclosure-envelope-00 aborda precisamente esa secuencia: primero, un compromiso en un objeto firmado; más tarde, una posible revelación fuera de él. El ejemplo no describe una plataforma observada. La novedad verificable es la publicación de la propuesta individual de Steven Mih, no la implantación de una nueva práctica en la IETF.

En el perfil de base al que remite el texto, una Agent Action Capsule puede incluir agent_input_digest y agent_output_digest. Esos campos contienen huellas SHA-256 de valores JSON canonizados mediante RFC 8785; no incluyen la entrada o la salida legible. La envoltura propuesta coloca una cápsula intacta en un miembro y, a su lado, un objeto opcional de divulgaciones. Para esta primera versión, la tabla admite únicamente agent_input y agent_output. La ausencia de un miembro significa que no se ha revelado. No prueba que el valor original fuese inexistente ni que hubiese fallado una comprobación.

No se firma la envoltura. Según el borrador, la pieza firmada y eventualmente registrada en un servicio de transparencia sería la cápsula, antes de construir cualquier envoltura. El material añadido está fuera de esa firma y del cálculo de capsule_id. Eso evita alterar el objeto al mostrar una entrada a un destinatario y no a otro. Ambos podrían referirse al mismo registro histórico. Sin embargo, compartir un identificador no significa compartir los mismos datos ni haber validado automáticamente todas las presentaciones del registro.

El verificador necesita dos resultados independientes. Uno corresponde a la cápsula conforme al perfil de base; el otro se calcula sobre cada valor revelado. Para este último, canoniza el JSON completo, obtiene una nueva huella y la compara con el compromiso previo. El texto distingue coincidencia, discordancia, miembro no admitido y falta de una huella comprometida bien formada. Si la revelación no coincide, no por ello cambia el resultado de la cápsula; y una revelación coincidente no salva una cápsula inválida.

Mostrar el contenido recibido con una etiqueta de «verificado» sin recalcular la huella convertiría un añadido no firmado en aparente prueba.

Conviene no confundir este mecanismo con otro borrador de divulgación selectiva. Allí se ocultan campos que de otro modo habrían aparecido en la carga firmada. Aquí los campos originales siempre son huellas: el valor completo llega después como una prueba de preimagen, sin reescribir la carga. Lo que se puede afirmar es estrecho: el valor mostrado corresponde al que se comprometió antes, si también se verifica el objeto de base. No se desprende de ello que la instrucción fuese correcta, que la decisión del agente fuera segura o que quien envió el valor tuviese permiso para difundirlo.

El límite de confidencialidad es inmediato. Quien reciba una envoltura con la entrada o salida verá el dato en claro; el diseño no incorpora cifrado por destinatario ni control sobre copias posteriores. El productor puede escoger contenidos distintos para verificadores distintos. Justamente por eso la decisión de divulgación importa tanto como el cotejo criptográfico. La lectura de Daniel Kade es que conservar una historia de firmas sin alteraciones no basta para gobernar la circulación de lo que esa historia puede revelar. La propuesta no demuestra una infracción real ni establece una nueva obligación de la IETF.

Fuentes