Magnetar sprawdza pracę programu w milisekundy — agent AI zyskuje dowód

W ogłoszeniu Microsoft Research z 15 października 2026 r. Srinath Setty przedstawił Magnetara, system tworzący kryptograficzny dowód wykonania programu, który odbiorca może sprawdzić w milisekundy. Jako możliwe zastosowanie wskazał agenta AI dołączającego dowód, że jego działanie było zgodne z przyznaną mu polityką. Opisane wyniki dotyczą wykonania programów i sprawdzania ich dowodów; zastosowanie do kontroli agentów pozostaje propozycją.

Towarzysząca ogłoszeniu publikacja techniczna Magnetara podaje, że na 12 rdzeniach wydajnościowych MacBooka Pro z układem M4 Max dowody dla przebiegów o długości 2²² cykli weryfikowano w 11–13 ms. W 15 obciążeniach średnie geometryczne przyspieszenie tworzenia dowodów wyniosło około 39 razy względem SP1 Hypercube, 18 razy względem Jolt-Dory i 9,6 razy względem Jolt-Akita. Są to wyniki określonych programów i konfiguracji, a nie pomiar czasu odpowiedzi agenta AI.

Co właściwie potwierdza dowód Magnetara

Magnetar sprawdza wykonanie programu skompilowanego do zestawu instrukcji RV64I. Strona tworząca dowód uruchamia kod na zadanych wejściach i wykazuje, że obliczenie doprowadziło do deklarowanego wyniku zgodnie z regułami maszyny wirtualnej. Odbiorca weryfikuje ten dowód bez odtwarzania całego przebiegu. Dzięki temu może ocenić wynik obliczenia bez powierzania go wyłącznie zapewnieniom operatora programu.

Programy napisane w Rust, Go lub C można skompilować do obsługiwanej architektury. Istotna jest tu możliwość dowodzenia wykonania zwykłego kodu: programista nie musi dla każdej reguły projektować osobnego obwodu kryptograficznego. Jeśli reguła uprawnień agenta zostanie zapisana jako program, dowód może dotyczyć również wyniku jej sprawdzenia. Zapewnia jednak tylko tyle, ile rzeczywiście wynika z wykonanego kodu i przekazanych mu danych.

To rozróżnienie decyduje o znaczeniu dowodu. Weryfikator musi wiedzieć, którą wersję programu uznaje za obowiązującą, jaki wynik przyjmuje oraz z jakimi danymi wiąże obliczenie. Poprawny dowód wykonania innej wersji polityki nie odpowiada na pytanie, czy agent przestrzegał właściwych ograniczeń. Kryptografia potwierdza przebieg zadanej kontroli; sens tej kontroli zależy od tego, jak zapisano jej reguły.

Milisekundy dotyczą odbiorcy dowodu

Szybkie jest sprawdzenie dowodu, który już powstał. Jego przygotowanie wymaga osobnego przetworzenia przebiegu programu przez stronę dowodzącą. Czas weryfikacji nie jest więc czasem potrzebnym agentowi na zaplanowanie działania, uruchomienie narzędzia i uzyskanie odpowiedzi. W usłudze opartej na agentach do opóźnienia doszłyby również czynności wykonywane poza Magnetarem.

Porównanie wydajności dotyczy przepustowości tworzenia dowodów dla zestawu zadań obejmującego między innymi operacje pamięciowe, funkcje skrótu i transfery tokenów w niewielkim interpreterze EVM. Systemy uruchomiono na tej samej maszynie, lecz używają różnych zestawów instrukcji i własnych ustawień bezpieczeństwa. Dlatego sens porównania opiera się na ukończonych operacjach w tych samych zadaniach, a nie na prostym zestawieniu liczników cykli poszczególnych maszyn.

Ma to znaczenie dla przyszłego programu polityki. Krótka reguła sprawdzająca parametry operacji i rozbudowany kod analizujący długi przebieg agenta wytworzą inne obciążenie dla strony dowodzącej. Sam wynik benchmarku nie pozwala wyliczyć kosztu takiej integracji. Pokazuje natomiast, że w badanych warunkach odbiorca może sprawdzić gotowy dowód znacznie szybciej, niż trwałoby ponowne wykonanie dowodzonego przebiegu.

Jak dowód mógłby towarzyszyć działaniu agenta

Przykładowy, warunkowy scenariusz zaczyna się od agenta proponującego operację. Osobny program otrzymuje jej parametry oraz regułę określającą dopuszczalne działania, po czym zwraca decyzję. Magnetar mógłby wytworzyć dowód wykonania tego programu, a odbiorca sprawdziłby go przed przyjęciem decyzji. Taki przepływ przekłada możliwości maszyny dowodowej na kontrolę agenta, ale nie został przedstawiony jako zmierzone wdrożenie.

Aby dowód odnosił się do rzeczywistej operacji, przyszły system musiałby powiązać go z zatwierdzonym kodem polityki, właściwymi wejściami i konkretnym poleceniem agenta. W przeciwnym razie można poprawnie dowieść wykonania reguły dla innych danych niż te, które miały decydować o działaniu. Potrzebne byłoby także potwierdzenie, że zewnętrzna usługa wykonała właśnie zaakceptowane polecenie. Dowód obliczenia wewnątrz maszyny wirtualnej sam nie poświadcza skutku poza nią.

Podobna granica dotyczy jakości decyzji. Nawet bezbłędnie wykonana polityka może pomijać ważny warunek albo opierać się na niepełnym opisie sytuacji. Magnetar może potwierdzić, że wskazany kod dał wskazany wynik; nie ocenia, czy autor polityki wybrał rozsądne ograniczenia dla agenta. Korzyścią byłaby możliwość sprawdzenia wykonania zapisanej reguły, pod warunkiem że cały system wiarygodnie łączy dowód z działaniem, którego reguła dotyczy.

Prywatne dane i koszt dłuższych przebiegów

Analiza SXZ wskazuje, że dowody Magnetara miały około 600 KiB, pamięć procesu tworzącego dowód sięgała 6,4 GiB, a zaproponowane rekurencyjne łączenie dowodów dla długich przebiegów nie zostało zaimplementowane. Zwraca też uwagę, że twierdzenie bezpieczeństwa w publikacji technicznej dotyczy poprawności dowodu wykonania, lecz nie wykazuje własności ukrywania prywatnych wejść. To szczególnie ważne, gdy polityka agenta miałaby korzystać z poufnych danych.

Magnetar opiera bezpieczeństwo kryptograficzne na standardowych funkcjach skrótu, takich jak SHA-256 lub SHA-3, co stanowi podstawę jego postkwantowej konstrukcji. Jest to inna kwestia niż poufność danych użytych podczas obliczenia. Program może przyjąć prywatne wejście, ale obietnica, że odbiorca nie pozna o nim niczego poza dopuszczonym wynikiem, wymaga wykazania odpowiedniej własności całego mechanizmu. Sam skrót „zkVM” takiego zapewnienia nie daje.

Dla agentów wykonujących wiele kolejnych działań liczy się również koszt tworzenia i przekazywania dowodów, nie tylko czas ich sprawdzenia. Rekurencyjne łączenie krótszych przebiegów ma umożliwić obsługę długiego wykonania, lecz jego wydajność pozostaje do zmierzenia w działającym rozwiązaniu. Dopiero test obejmujący program polityki, dane wejściowe, tworzenie dowodu i rzeczywistą operację agenta pokaże, jaki zakres kontroli da się uzyskać przy akceptowalnym opóźnieniu.

Przeczytaj także:

• Git bisect znajduje wadliwy commit — test może wykonać całą pracę
• Detektor tekstu AI to nie dowód: fałszywy alarm może skrzywdzić autora
• AstaBrief pisze raport 3,5 raza szybciej — cytaty nadal trzeba sprawdzać