TEE и threshold cryptography для agent secrets: defense in depth, а не гарантия
Изоляция signing logic от LLM context и распределение cryptographic trust между несколькими участниками могут существенно уменьшить blast radius. Но TEE, attestation и threshold cryptography не доказывают корректность policy, приложения или операционной схемы и не делают автономного агента compromise-proof.
Что реально даёт enclave isolation
AWS Nitro Enclaves документирует отдельное изолированное execution environment: enclave получает выделенные CPU/memory, не имеет persistent storage, SSH или внешней сети и взаимодействует с parent instance через local vsock. Это сильная граница для уменьшения прямого доступа host-процессов к чувствительному коду и данным.
Эта граница не доказывает, что код внутри enclave безопасен, что входные данные корректны или что policy вокруг signing operation соответствует намерению оператора.
Attestation проверяет измерения, а не бизнес-намерение
Nitro Enclaves может выпускать подписанный attestation document с measurements enclave. AWS KMS позволяет использовать эти measurements в policy conditions и выдавать cryptographic operation только разрешённому enclave image/state.
Это позволяет строить rule вида «этот ключ доступен только конкретно измеренному enclave». Но attestation не является доказательством того, что high-level trading, transfer или approval logic безошибочна. Measurement identity и behavioral correctness — разные свойства.
Threshold cryptography распределяет trust
NIST описывает threshold schemes, где secret key разделён между несколькими parties, а signing/decryption/key-generation выполняются распределённо без необходимости собирать полный ключ в одном месте. При подходящей security model это уменьшает риск единой точки компрометации.
Конкретный threshold, число participants, fault/corruption assumptions, независимость operators, recovery и share rotation должны следовать из threat model и выбранного cryptographic scheme. Один фиксированный quorum не является универсальным secure default.
Policy controls полезны только как проверяемый contract
- destination allowlists, value/risk caps и operator approval могут ограничивать последствия ошибочного или вредоносного запроса;
- policy evaluation должна находиться вне недоверенного LLM decision path и быть детерминированно тестируемой;
- deny/unknown состояния должны fail closed;
- credential access, key use и authorization transition должны давать audit/effect receipt;
- recovery и revocation должны тестироваться отдельно, включая compromised participant, stale policy и unavailable enclave cases.
Конкретные exchange destinations, денежные лимиты и quorum values являются implementation-specific policy, а не стандартом этой страницы.
Что остаётся в threat model
Defense-in-depth architecture всё ещё должна учитывать ошибки enclave application, supply-chain/build provenance, ошибочную KMS/access policy, compromised threshold participants, weak participant independence, malicious or ambiguous inputs, replay/state synchronization, recovery-path abuse, side-channel/platform assumptions и неправильное соединение policy decision с реальным effect.
Prompt injection — только один класс входного риска. Защита секретов не равна доказательству безопасности всех действий агента.
Первичные источники, проверено 2026-08-15
- AWS Nitro Enclaves · Concepts — isolation, no external networking/persistent storage, vsock and measurements.
- AWS Nitro Enclaves · Cryptographic attestation — signed measurements and external/KMS access policy.
- AWS Nitro Enclaves · KMS attestation and secrets management — secrets gated to validated enclave measurements.
- NIST IR 8214C · Multi-Party Threshold Schemes — distributed cryptographic primitives with secret-shared keys.
- NIST Multi-Party Threshold Cryptography — distribution of trust, secret sharing and threshold operations.
Допустимая область использования
Используйте страницу как security-design checklist: определить assets и threat model, отделить untrusted model context от signing authority, выбрать attested execution boundary, спроектировать threshold/fault assumptions, deterministic policy gates, revocation/recovery и auditable effect receipts.
Эта страница не является разрешением на создание или использование exchange credentials, private keys, подписывание транзакций, отправку ордеров, перевод средств или изменение runtime.