Nachweis statt Versprechen: Wie jede Agent-Aktion kryptografisch auditierbar wird

Unser Markenfilm fasst unsere Position in einem Satz zusammen: Nachweis statt Versprechen. Das klingt gut. Doch was bedeutet es technisch? Dieser Beitrag zeigt, was zwischen einer Agent-Aktion und einem Auditor konkret geschieht und warum der Unterschied zwischen einem gewöhnlichen Audit-Log und einer kryptografischen Kette für regulierte Schweizer Branchen entscheidend ist.

Das Problem mit gewöhnlichen Audit-Logs

Ein klassisches Audit-Log ist eine Datei, in die eine Anwendung schreibt. Es beantwortet die Frage «Was ist passiert?» nur so weit, wie man dem Betreiber des Logs vertraut. Denn ein Log, in das man schreiben kann, lässt sich auch nachträglich ändern: eine Zeile löschen, einen Zeitstempel verschieben, einen Eintrag einfügen. Für den Alltag reicht das. Bei einer FINMA-Revision oder einer Swissmedic-Inspektion reicht ein Anbieterversprechen jedoch nicht, wenn anderthalb Jahre nach dem Vorfall die Frage kommt: «Können Sie beweisen, was der Agent getan hat?»

Die Hyperscaler-Plattformen lösen das vertraglich: Ein Service-Level-Agreement sichert die Integrität des Logs zu. Das ist eine juristische Zusage, keine mathematische Eigenschaft. Wir wollten das Problem in der Architektur selbst lösen: Die Integrität soll nicht zugesichert werden, sondern überprüfbar sein.

Was bei jeder Aktion passiert

Führt ein Dxzio-Agent eine Aktion aus, etwa einen Tool-Aufruf, eine Datenabfrage oder eine Eskalation an einen Menschen, durchläuft diese Aktion drei Schritte, bevor sie als abgeschlossen gilt.

1. Signieren. Die Aktion wird kanonisch serialisiert (Agent-Identität, Zeitstempel, Tool, Argumente, Ergebnis-Hash) und mit dem privaten Ed25519-Schlüssel des Agenten signiert. Der private Schlüssel verlässt nie den Prozessraum des Agenten. Er wird zur Laufzeit aus OpenBao bezogen und nie im Klartext gespeichert. Die Signatur bindet den exakten Inhalt der Aktion an genau diesen Agenten.

2. Verankern. Der Hash der signierten Aktion wird als Blatt in eine Merkle-Kette eingehängt. Jeder neue Eintrag bezieht die Wurzel des vorherigen Zustands mit ein. So ist jede Aktion kryptografisch an ihre gesamte Vorgeschichte gebunden. Wer nachträglich eine einzelne Zeile ändert, macht jede nachfolgende Wurzel ungültig. Das lässt sich rechnerisch nicht verschleiern.

3. Abschliessen. Erst wenn Signatur und Verankerung vorliegen, gilt die Aktion als festgeschrieben. Der Nachweis ist damit kein nachgelagerter Log-Eintrag, sondern Teil des Ausführungspfads selbst.

Was ein Auditor tatsächlich tut

Der entscheidende Punkt: Für die Verifikation braucht es uns nicht. Ein Auditor erhält drei Dinge: die signierte Aktion, den öffentlichen Schlüssel des Agenten und die Merkle-Wurzel des Anker-Logs. Damit prüft er offline und unabhängig:

• Authentizität: Er verifiziert die Ed25519-Signatur mit dem öffentlichen Schlüssel. Ist sie gültig, stammt die Aktion nachweislich von diesem Agenten und wurde nach dem Signieren nicht verändert.
• Integrität der Kette: Er rechnet den Merkle-Pfad vom Blatt bis zur veröffentlichten Wurzel nach. Stimmt er, war die Aktion zum Zeitpunkt der Verankerung in genau dieser Reihenfolge vorhanden.

Kein Zugriff auf unsere Systeme, kein «Vertrauen Sie uns», keine Möglichkeit für uns, das Ergebnis zu beeinflussen. Genau diesen Nachweis können Plattformen, deren Logging-Pipelines sich nachträglich ändern lassen, aus strukturellen Gründen nicht erbringen.

Warum die Ausführung in WASM dazugehört

Ein Nachweis ist nur so viel wert wie die Kontrolle darüber, was überhaupt geschehen durfte. Deshalb führt die Agent-Runtime Tool-Aufrufe in WASM-Sandboxen aus. Das Manifest jedes Agenten ist signiert und legt die genaue Liste erlaubter Tool-Aufrufe fest. Alles ausserhalb dieser Liste wird abgewiesen, bevor der Tool-Code überhaupt geladen wird. Die auditierbare Kette dokumentiert also nicht nur, was geschah. Sie entsteht auch innerhalb eines Rahmens, in dem nichts Undeklariertes geschehen konnte.

Was das für Ihre Aufsicht bedeutet

Mit Blick auf das nDSG, das FINMA-Rundschreiben 2023/1 und die Swissmedic-MDR-Anforderungen verschiebt sich damit die Beweislast. Statt einer Zusicherung, dass Ihr Audit-Log unverändert ist, halten Sie einen Nachweis in der Hand, den Ihr Prüfer selbst nachrechnen kann: Jahre nach dem Ereignis und ohne unsere Mitwirkung. Das ist der Unterschied zwischen «Wir versprechen es Ihnen» und «Rechnen Sie es nach».

Wenn Sie sehen möchten, wie das für Ihren konkreten Anwendungsfall aussieht, sprechen Sie uns an: www.dxzio.one · contact@dxzio.one

Der 90-Sekunden-Film zur Position: youtu.be/vyXWFMVGXwU