Resumo

  • A revisão 02 de um Internet-Draft individual, destinado à categoria Informational, distribui autoridade entre identidade, conteúdo, associação, reconstrução e liberação. Continua em I-D Exists: não é padrão, certificação ou implantação do IETF.
  • Política, índice e material de atestação podem ser preparados no caminho frio. Essa preparação não autoriza a operação futura; sessão, época, revogação, escopo de associação, destinatário, destino e recibo precisam valer no instante do efeito.
  • Proxy, gateway ou sidecar só formam uma fronteira quando credenciais antigas, console de debug, API paralela, compartilhamento de arquivos e egressos de contingência já não conseguem concluir o mesmo ato. A prova é o bypass negado.

Uma equipe apresenta o novo fluxo com orgulho: pedido, três cofres, reconstrução mínima, validação e recibo. Na última página do runbook, porém, aparece a instrução de contingência: “em caso de falha, use a conta legada e exporte diretamente”. Essa frase não é um detalhe operacional. Ela identifica quem ainda detém a autoridade final.

A revisão 02 de A Compromised AI Server Must Not Become a Map of the Enterprise ajuda a tornar esse teste explícito. O Datatracker registra o texto de S. Das em 6 de setembro, com status pretendido Informational e estado I-D Exists. É uma contribuição individual, não documento de grupo de trabalho, RFC, consenso, produto ou prova de operação.

O histórico delimita a mudança. A revisão 00 separa reconstrução de liberação. A 01 responde às objeções de latência e legado com caminho frio e quente, decisões paralelas, migração gradual, código de referência e não contornabilidade. A 02 acrescenta FAQ e motivação, declarando não alterar as exigências normativas centrais.

O caminho frio não emite licença futura

Predicados compilados, grafos de associações permitidas, índices de identidade, medidas de workload, manifestos de destino, material de atestação, revogação com validade limitada e esquemas de proveniência podem ficar prontos antes da inferência. Isso reduz trabalho repetido sem obrigar todas as decisões a ocorrer em série.

Mas o resultado em cache pertence ao contexto em que foi calculado. A política de ontem não vê a revogação de hoje. Uma identidade resolvida em outra época não autoriza o ator atual. Uma atestação do workload não permite qualquer finalidade nem qualquer receptor.

O caminho quente retém, portanto, sessão e época atuais, política, revogação, correspondência do workload, escopo de associação, proveniência, destino, destinatário, estado do recibo e identidade da fronteira. Otimização pode deslocar cálculo; não pode deslocar o momento em que nasce autoridade.

Paralelo não significa autoridade coletiva

O perfil separa identidade, conteúdo e mapa de relações. Poder ler um nome e poder ler um relatório não cria automaticamente o direito de associar os dois. A relação é um ativo protegido.

Um Reconstruction Authorization Object amarra finalidade, sessão, época, campos, associações, contexto, número de usos e domínio de reconstrução. Depois disso, os cofres podem decidir em paralelo, aproximando a latência do domínio obrigatório mais lento, mais a orquestração.

Dois allow não vencem um deny. Se o cofre de relações recusa, está vencido ou não pode ser verificado, os retornos de identidade e conteúdo não compõem uma reconstrução autorizada. O sucesso parcial deve expirar, ser descartado ou sofrer tentativa controlada sem mudança de estado.

Após o cálculo, o modelo ainda produz um Candidate Output. A proposta o sela, verifica condições atuais, compromete um recibo e só então emite capacidade única ligada a digest, receptor, destino, sessão e fronteira. Tela, arquivo, memória, chamada de ferramenta e rede são liberações porque tornam o resultado utilizável.

A assinatura da RFC 7515, a canonicalização da RFC 8785 e a separação entre evidência, avaliação e resultado da RFC 9334 tornam alegações verificáveis. Nenhuma fecha sozinha um socket alternativo.

Migração gradual exige prova negativa

O draft permite um intermediário protegido diante da interface antiga e decomposição progressiva de registros já unidos. O mapa de relações pode sair primeiro; identidades podem ser tokenizadas; linhas completas podem ser desmontadas no primeiro acesso. Isso evita um rebuild imediato.

Também mantém duas superfícies de poder durante a transição. Conta de serviço, cópia analítica, credencial de backup, segredo em cache, endpoint de suporte, filesystem compartilhado ou egress de emergência podem conservar a mesma capacidade que o sidecar deveria mediar.

Por isso, não contornabilidade é a exigência final. Se o workload comprometido ainda usa a conexão antiga para juntar identidade e conteúdo, a não joinability falhou. Se envia o resultado por API, debug, arquivo, mensagem ou rede sem a fronteira, a finalização falhou. Um sidecar ao lado de um caminho ainda soberano é monitor, não limite.

A aceitação deve executar o ato proibido em cada rota equivalente. Inventariar credenciais, não apenas serviços; testar aplicação, batch, manutenção, analytics, backup, rollback e break glass. Repetir a saída por e-mail, arquivo, navegador, ferramenta, memória e rede. O deny observado é o recibo da retirada de autoridade.

O repositório de referência relata 16 testes e cerca de 2,38 ms em benchmark local, quente e sequencial. A medida exclui rede, atestação remota, HSM/KMS, commit distribuído, inferência e banco de produção. Os três cofres são objetos Python em um processo; comprometê-lo por inteiro derrota as separações. É demonstração de máquina de estados, não de isolamento real.

As camadas de realidade de Heng Lu separam draft, configuração, autoridade atual, recibo, negação e efeito. A primazia do código em execução manda tentar a conta antiga. A Minimum Initial Specification fixa apenas os vínculos verificáveis e deixa a topologia local.

O caminho novo funcionar prova disponibilidade. O caminho antigo falhar prova mudança de poder.