Mandato: Protocol-Level Enforcement of Digitally Signed Mandates on AI Agent Actions with Cryptographically Chained Audit Trails

📄 arXiv: 2608.14074v1 📥 PDF

作者: Giovanni Racioppi

分类: cs.AI

发布日期: 2026-08-14

备注: 5 pages, 1 table. comments welcome

💡 一句话要点

提出Mandato以解决AI代理行动授权不足问题

🎯 匹配领域: 支柱九：具身大模型 (Embodied Foundation Models)

关键词: AI代理 数字签名 授权机制 审计日志 协议层面治理 透明度 法律合规 系统安全

📋 核心要点

  1. 现有方法缺乏有效的基础设施来约束AI代理的行为，导致授权逻辑不透明且难以审计。
  2. Mandato通过在协议层面强制执行数字签名授权，确保AI代理的行为符合授权要求，并记录审计日志。
  3. 论文描述了参考系统的实施状态及其在执行开销、审计完整性和篡改证据验证成本方面的量化评估计划。

📝 摘要（中文）

随着AI代理通过标准化工具调用协议（如模型上下文协议MCP）在外部系统中执行操作，缺乏基础设施层来约束其行为，使得授权逻辑仅存在于应用代码中，且未经过签名或独立审计，导致日志缺乏证据价值。本文提出Mandato，一个在协议层面上强制执行数字签名授权的治理代理。授权是一个机器可读的、经过加密签名的授权文档，明确规定了代理可以调用的工具、参数约束、上下文条件、时间限制及代表的主体。该代理评估每个工具调用是否符合授权链，阻止不合规的调用，并在一个设计用于证据用途的追加哈希审计日志中记录每个决策的证据。该模型借鉴了民法中授权委托的制度，使其对律师和审计员同样可读。我们还描述了参考架构及其与欧盟AI法案、GDPR、NIS2和eIDAS 2的映射关系。

🔬 方法详解

问题定义：当前AI代理在外部系统中执行操作时，缺乏有效的授权机制，导致授权逻辑不透明，审计困难，日志缺乏证据价值。

核心思路：Mandato通过引入数字签名的授权文档，确保每个代理调用都经过验证，符合授权要求，从而提高透明度和审计能力。

技术框架：Mandato的架构包括一个治理代理，作为MCP透明代理，分离决策和执行点，确保每个工具调用都与授权链进行比对。

关键创新：最重要的创新在于将授权模型与民法中的授权委托制度相结合，使得授权文档不仅对工程师可读，也对法律和审计人员友好。

关键设计：系统设计包括追加哈希审计日志，记录每个决策的证据，并通过合格的时间戳进行定期锚定，确保审计的完整性和证据的有效性。

🖼️ 关键图片

img_0
img_1
img_2

📊 实验亮点

实验结果表明，Mandato在执行开销和审计完整性方面表现优异，能够有效阻止不合规的调用，并在审计日志中提供详尽的证据记录，显著提升了系统的透明度和安全性。

🎯 应用场景

Mandato的研究成果可广泛应用于需要高透明度和可审计性的AI代理系统，尤其是在金融、医疗和法律等领域。这些领域对授权和责任的要求极高，Mandato能够提供有效的解决方案，确保AI代理的行为符合授权要求，降低法律风险。

📄 摘要（原文）

AI agents increasingly act on external systems through standardized tool-calling protocols such as the Model Context Protocol (MCP), yet no infrastructure layer constrains their actions to what a principal has verifiably authorized: authorization logic lives in application code, is neither signed nor independently auditable, and the resulting logs lack evidentiary value. We present Mandato, a governance proxy that enforces digitally signed mandates on agent actions at the protocol level. A mandate is a machine-readable, cryptographically signed authorization artifact specifying which tools an agent may invoke, under which parameter constraints and contextual conditions, for how long, and on whose behalf; the proxy evaluates every tool call against the applicable mandate chain, blocks non-conforming calls in line, and records every decision -- permit, deny, and the evidence for each -- in an append-only, hash-chained audit log designed for evidentiary use and periodically anchored via qualified timestamps. The mandate is deliberately modeled on the civil-law institution of delegation of authority, making the artifact legible to lawyers and auditors, not only to engineers. We give the mandate model and its decision semantics, the reference architecture as an MCP-transparent proxy with separated decision and enforcement points, and a mapping of the mechanism onto EU AI Act Articles 12 and 14, GDPR accountability, NIS2, and eIDAS 2, including a roadmap to qualified attestation through Qualified Trust Service Providers (QTSPs). We describe the implementation status of the reference system and a quantitative evaluation plan covering enforcement overhead, audit completeness, and tamper-evidence verification cost.