Capability Lease befristete Berechtigung

Das Problem #

RBAC und ACLs gehen von stabilen Nutzern mit weitreichenden, dauerhaften Berechtigungen aus. Ein Agent braucht Berechtigungen, die auf die Aufgabe zugeschnitten sind und enden, wenn die Aufgabe endet. Schlimmer noch: Langlebige Zugangsdaten liegen oft dort, wo der Agent sie erreichen kann. Beim Vorfall vom April 2026 lag das Token in einer unbeteiligten Datei, erstellt zum Verwalten von Domains, aber fähig, alles zu tun.

So funktioniert es #

• Wer den Schlüssel hält. Langlebige Zugangsdaten bleiben beim Orchestrator oder beim Eigentümer; eine Ausführung erhält eine Lease, keinen Schlüssel. Das Modell sieht nie langlebige Zugangsdaten.
• Eine Lease ist ein Access Token. Ihre authorization_details (RFC 9396) beschreiben Pfade, Aktionen und den Branch; sie wird vom Eigentümer oder Orchestrator per Token Exchange (RFC 8693) angefordert, der Claim act hält die Delegationskette fest, und das NAS führt Zustand für Widerruf und Budgetzählung.
• Nur Verengung. Eine Kind-Lease muss eine Teilmenge ihrer Eltern-Lease sein, vom NAS beim Ausstellen geprüft.
• Budgets. Gelesene und geschriebene Bytes, Anzahl der Anfragen und optional Egress-Bytes und eine Ausgabengrenze, am Gateway gezählt. Sie sind eine Sicherung (Circuit Breaker), keine exakte Abrechnung.
• Richtlinienrahmen. Der Eigentümer legt vorab einen Bereich fest; Leases darin werden automatisch ausgestellt, alles außerhalb geht an ein Human Gate. Langfristiger Zugriff wird als Rahmen ausgedrückt, nicht als langlebige Lease.
• B und C werden ausdrücklich erklärt. Eine Lease nennt die höchste Sensibilität, die sie lesen darf, und ob sie in geschützte Trees schreiben oder Daten nach außen senden darf. Das sind Eingaben für Trust Labels.
• Widerruf. Eine kurze TTL (standardmäßig 4 Stunden, höchstens 24) plus sofortiger Widerruf, der sich auf Kind-Leases fortsetzt.
• **purpose wird aufgezeichnet, nicht durchgesetzt:** Freitext kann eine Maschine nicht prüfen.

Klein anfangen #

• Schreiben Sie einen Befehl nas lease create: Stellen Sie für jede Rolle ein Token mit Pfadpräfix, Aktionen und TTL aus, übergeben Sie es der Sandbox in einer Umgebungsvariablen, und lassen Sie das NAS Präfix und Aktionen durchsetzen.
• Das verhindert bereits die erste Hälfte eines solchen Vorfalls: Das Token kann außerhalb der Lease nichts tun.
• Budgets, Delegationsketten und Richtlinienrahmen können später folgen.

Schnittstellenskizze #

Nur zur Veranschaulichung. Feldnamen können sich vor der Spezifikation v0.3 ändern.

{
  "lease_id": "lse_7Qk3",
  "run": "run_91ab",
  "principal": "agt_cleo",
  "on_behalf_of": "usr_wei",
  "parent": null,
  "purpose": "Draft the Q4 release notes",
  "paths": ["/shared/launch/**", "/agents/cleo/workspace/**"],
  "actions": ["read", "write", "propose"],
  "branch": "cleo/run_91ab",
  "sensitivity_max": "private",
  "egress": false,
  "requires_gate": ["merge", "delete", "share"],
  "budgets": { "bytes_read": 200000000, "bytes_written": 5000000, "requests": 5000 },
  "expires_at": "2026-11-12T16:00:00Z"
}

Was die Spezifikation verlangt #

• Eine Lease MUSS ein Ablaufdatum haben und DARF NICHT über die maximale TTL hinaus verlängert werden; eine Verlängerung erfordert eine neue Ausstellung.
• Eine Kind-Lease MUSS eine Teilmenge ihrer Eltern-Lease sein, und das NAS MUSS dies beim Ausstellen prüfen.
• Der Widerruf einer Lease MUSS sich auf alle ihre Kind-Leases fortsetzen.
• Langfristiger Zugriff MUSS als Richtlinienrahmen ausgedrückt werden und DARF NICHT zu einer langlebigen Lease gemacht werden.
• Eine Lease MUSS ihre Sensibilitätsobergrenze erklären und angeben, ob sie Egress und Schreibzugriffe auf geschützte Daten erlaubt.
• Langlebige Zugangsdaten DÜRFEN NICHT einem Modell oder einer Ausführung offengelegt werden.

Was übernommen ist und was neu ist #

Alles Folgende sind etablierte Bausteine. Neu ist: die Gestalt einer Ausführung und einer Aufgabe als Einheit zu nehmen und den Branch, Budgets und die Eigenschaften der Zweierregel in eine einzige Lease zu legen. Tokens und Capability-Modelle selbst sind nicht neu.

• OAuth Token Exchange (RFC 8693)
• OAuth Rich Authorization Requests (RFC 9396)
• Biscuit
• UCAN
• IETF attenuating agent tokens draft

Ehrliche Grenzen #

• Sie deckt nur Operationen innerhalb des NAS ab und kann nicht regeln, was ein Agent anderswo tut.
• purpose lässt sich nicht durchsetzen, und Budgets sind ungefähr.
• Eine Lease kann Missbrauch innerhalb legitimer Befugnis nicht verhindern; das ist die Arbeit von Branches und Gates.

Offene Fragen #

• Wie kann purpose vom Freitext zu einer strukturierten Absicht werden, die eine Maschine prüfen kann?
• Wie werden Budgets bei Föderation abgerechnet?

Fragen #

Verwandte Konzepte #

• Human Gate (menschliche Freigabe) Erscheint nur vor unumkehrbaren, nach außen gerichteten oder rechteerweiternden Aktionen und zeigt den echten Diff.
• Trust Labels (Vertrauenslabels) Zwei kleine Labels plus Sitzungskontamination setzen die Zweierregel durch.
• Flight Recorder (Flugschreiber) Ein Protokoll pro Ausführung, per Hash verkettet, das auch festhält, was gelesen wurde.