Кратко

  • Редакция 02 индивидуального информационного Internet-Draft предлагает разнести полномочия над идентификацией, содержанием, связями, реконструкцией и выпуском результата. Документ остаётся черновиком, а не стандартом IETF, сертификацией или свидетельством внедрения.
  • На холодном пути можно заранее готовить политики, индексы и материалы аттестации. Но решение для текущей сессии, эпохи, отзыва, связи, получателя, назначения и квитанции остаётся на горячем пути: старый кэш не выдаёт новое разрешение.
  • Шлюз, прокси или sidecar становится границей только тогда, когда прежняя учётная запись, отладочный интерфейс, альтернативный API, файловый канал и сетевой выход больше не могут выполнить защищаемое действие. Проверять нужно отказ обходного пути, а не наличие нового блока на схеме.

Предприятие может показать безупречную карту трафика: все обращения к ИИ проходят через новый защитный sidecar. Но карта полномочий выглядит иначе. Ночной cron-процесс всё ещё хранит пароль от исходной базы, аналитическая копия содержит готовые соединения таблиц, а аварийный скрипт отправляет результат напрямую. Перед нами не одна граница, а два режима власти, и старый остаётся решающим.

Именно такой практический вывод следует из редакции 02 документа A Compromised AI Server Must Not Become a Map of the Enterprise. По данным IETF Datatracker, индивидуальный документ S. Das датирован 6 сентября, имеет предполагаемый статус Informational и находится в состоянии I-D Exists. Это не документ рабочей группы, не консенсус IETF, не RFC, не сертификационная схема и не отчёт о промышленном внедрении.

История документа отделяет новое от уже заявленного. Редакция 00 провела границу между реконструкцией связи и выпуском результата. Редакция 01 добавила холодный и горячий пути, параллельные решения независимых хранилищ, защищённый посредник для поэтапной миграции, требование необходимости обхода, локальный тест и эталонную реализацию. Редакция 02 добавила мотивацию и ответы рецензентам, прямо указав, что основные нормативные требования не изменены.

Предварительный расчёт не равен действующему разрешению

На холодном пути проект предлагает готовить скомпилированные политики, графы разрешённых связей, защищённые индексы, измерения рабочих нагрузок, манифесты назначений, материалы аттестации, ограниченно свежие данные об отзыве и схемы происхождения. Это разумно: нет смысла заново выполнять неизменную работу на каждом шаге модели только ради внешнего впечатления строгости.

Но вчерашний расчёт описывает вчерашние условия. Сохранённое решение политики не знает, отозвана ли нынешняя сессия. Результат идентификации не доказывает, что запись в новом контексте относится к тому же субъекту. Аттестационное свидетельство говорит о конкретном измерении, но само не разрешает нынешней рабочей нагрузке объединить данные для нынешней цели и отправить их нынешнему получателю.

Поэтому горячий путь сохраняет поля, пропуск которых может создать несанкционированную связь или внешний эффект: текущую эпоху сессии, политику и отзыв, соответствие рабочей нагрузки, область связи, происхождение, получателя, назначение, состояние квитанции и границу выпуска. Оптимизация вправе переносить вычисление. Она не вправе переносить само полномочие в кэш.

Параллельность не объединяет суверенитет хранилищ

Проект разделяет идентичность, содержимое и карту отношений. Разрешение прочитать имя и разрешение прочитать заявку поддержки ещё не позволяют утверждать, что заявка принадлежит названному человеку. Связь между двумя фактами сама является охраняемым объектом.

Reconstruction Authorization Object привязывает предполагаемое объединение к цели, сессии, эпохе, полям, области отношения, среде выполнения, числу использований и домену реконструкции. После этого три хранилища могут принимать решения параллельно, поэтому задержка приближается ко времени самого медленного обязательного ответа плюс оркестрация, а не к сумме всех последовательных запросов.

Однако два согласия не отменяют третий отказ. Если орган отношений отказывает, возвращает устаревшее состояние или недоступен для проверки, успешные выдачи идентичности и содержимого не складываются в разрешённую реконструкцию. Частичный результат нужно уничтожить, аннулировать либо повторить при неизменном состоянии — но не использовать как основание обратиться к старому пути.

Даже вычисленный ответ ещё не считается выпущенным. Предложение называет его Candidate Output, после чего результат запечатывается, текущие условия проверяются повторно, квитанция фиксируется, а одноразовая возможность связывается с хэшем ответа, получателем, назначением, сессией и границей. Отображение на экране, фиксация файла, запись в память, вызов инструмента и сетевая отправка считаются выпуском, потому что там результат впервые становится практически доступен.

RFC 7515 позволяет связать подпись с JSON-объектом, RFC 8785 делает представление JSON детерминированным, а RFC 9334 различает свидетельство, его оценку и итог аттестации. Эти механизмы помогают проверить утверждение. Ни один из них не закрывает забытое сетевое соединение.

Совместимость несёт отрицательное требование

Черновик допускает постепенную миграцию. Защищённый посредник может переводить обычные запросы модели в локальные операции хранилищ. Старые записи можно разбирать по мере обращения; карту отношений — переносить раньше содержимого; идентификаторы — токенизировать, пока основной материал остаётся в прежней системе. Для предприятия это реалистичнее одномоментной замены всех баз и интерфейсов.

Но в период совместимости новая и старая власть сосуществуют. На диаграмме весь поток проходит через шлюз, а сервисная учётная запись, консоль обслуживания, сохранённый секрет, прямой запрос, аналитическая реплика, файловый ресурс, отладочный канал или аварийный сетевой выход сохраняют исходную способность.

Поэтому необходимость обхода становится финальным требованием. Если скомпрометированная нагрузка по прежнему паролю восстанавливает связь идентичности и содержимого, Technical Non-Joinability не достигнута. Если результат можно отправить через неконтролируемый API, отладчик, файл, сообщение или сеть, output finality тоже не достигнута. Sidecar рядом со старым каналом означает сосуществование, а не завершение перехода.

Приёмочный тест должен быть отрицательным: попытаться выполнить запрещённое действие через каждый эквивалентный путь и получить отказ. Нужно инвентаризировать не только сервисы, но и учётные данные; найти место первого чтения открытого текста, место образования связи и место, где результат впервые становится пригоден к использованию. В проверку входят аварийные, пакетные, резервные, аналитические, разработческие пути и механизмы отката.

Сопровождающий репозиторий эталонной реализации v0.1.0 сообщает о 16 тестах и медиане около 2,38 мс для тёплого локального последовательного измерения из 500 итераций. Автор ограничивает вывод: показатель исключает сеть, удалённую аттестацию, HSM/KMS, распределённую фиксацию, вывод модели, рабочие базы, журналирование и реальный внешний эффект. Три хранилища представлены объектами Python в одном процессе; захват процесса разрушает их локальные границы. Код показывает исполнимость автомата состояний, но не доказывает промышленную изоляцию.

Разделение слоёв реальности Heng Lu требует вести отдельно черновик, конфигурацию, действующую учётную запись, квитанцию, отказ и внешний результат. Принцип приоритета работающего кода ставит реальную попытку обхода выше архитектурной схемы. А Minimum Initial Specification подсказывает общий масштаб: стандартизировать лишь связи, необходимые независимой проверке, оставив топологию хранилищ и порядок миграции локальным.

Прошедший через sidecar запрос доказывает работоспособность нового маршрута. Лишь отказ по старому паролю доказывает смену власти.