Was du heute schon nutzen kannst
- Authorization of one exact effect through the MCP service, in public beta: one operation, one authority, one expiry, one use.
- Signed evidence of what was authorized and what the Guardian could establish, verifiable offline with no account.
- Six provider operations, each at an authority the protocol fixes and a caller cannot lower. None is called stable until we publish evidence of 100 real executions against a live provider.
Was ein Mandat festlegt
Fünf Fragen, beantwortet bevor der Agent loslegt.
Eine Delegation, die du nicht lesen kannst, ist eine Delegation, die du nicht widerrufen kannst. Der Vertrag macht sie zu einem Artefakt: fünf Achsen, alle explizit, alle gemeinsam signiert.
Was sich ändern darf
Jeder Schritt nennt eine kanonische Operation und die exakten Parameter, die daran gebunden sind. Keine Fähigkeit, kein Scope, keine Handlungskategorie — eine Wirkung, identifiziert über einen Digest.
Über welche Ressourcen
Schritte tragen ihre Ressourcenliste. Ein Schritt, der für ein Konto, eine Rolle oder eine Kundin freigegeben wurde, überträgt sich nicht auf eine andere, und der Guardian weist die Abweichung zurück, bevor der Provider kontaktiert wird.
Wie lange
Der Vertrag hat einen Ausstellungszeitpunkt und einen Verfall. Danach wird kein neuer Schritt gesendet — es gibt keine Karenzzeit und keine Verlängerung aus der Aufgabe heraus.
Mit welchen Freigaben und welchem Budget
Authority is set per operation by the protocol, not chosen by the caller. The budget is specified as durable and atomic per tenant, task, revision and step: committed means consumed plus anything reserved and still uncertain.
Wie das Ergebnis geprüft wird
Der Adapter liest beim Provider zurück, um festzustellen, was passiert ist. Ein Timeout wird abgestimmt, nie blind wiederholt, und ein mehrdeutiges Ergebnis bleibt unbestimmt, statt zum Erfolg aufgerundet zu werden.
Wie es läuft
Prüfen
Ein Mensch liest das Mandat: die Schritte, die Ressourcen, das Fenster, die Freigaben und das Budget. Solange es ein Entwurf ist, läuft nichts.
Freigeben
Die Freigabe fixiert eine Revision. Jede Änderung an einem Schritt erzeugt eine neue Revision zur Prüfung — ein freigegebener Vertrag wird nie an Ort und Stelle bearbeitet.
Darin laufen
Der Agent schlägt Schritte vor. Jeder erzeugt weiterhin sein eigenes einmalig nutzbares Execution Grant und sein eigenes Action Receipt. Alles außerhalb des Vertrags wird abgelehnt.
Die Grenzen, klar gesagt
Was ein Mandat nicht tut.
Es senkt nie eine Autoritätsschwelle
Approving a mandate does not turn a step that needs MFA or quorum into one that does not. Authority is set per operation by the protocol; a longer task does not buy a cheaper approval. Moving money and changing privileges stay outside delegation altogether. The local runtime does not enforce this on its own yet — it is listed among the known gaps in the specification.
Es gibt keine Subdelegation
Ein Mandat, ein Guardian, ein Budget. Ein Agent innerhalb eines Vertrags kann keinen Teil davon an einen anderen Agenten weitergeben, und eine Aufgabe kann keinen zweiten Ausführungspunkt aufziehen.
Was er liest, kann ihn nicht ausweiten
Dokumente, Tool-Ausgaben, Webinhalte und Gedächtnis sind Eingaben, nie Autorität. Eine Anweisung, die in etwas auftaucht, das der Agent gelesen hat, ist Datum: sie erweitert den Vertrag nicht, was immer sie behauptet.
Ein signiertes Mandat kann trotzdem schädlich sein
Autorisierung beweist weder Wahrheit noch Gutartigkeit noch Richtigkeit. Ein Vertrag begrenzt Autorität; er belegt nicht, dass seine Freigabe eine gute Idee war.
Für wen das ist
Wer das Risiko trägt, ist meist nicht, wer die Aufgabe freigegeben hat.
Wenn ein Agent eine Erstattung auslöst, jemandes Zugriffe ändert oder Infrastruktur bearbeitet, landet die Folge bei einer Kundin, einem Kollegen oder einer dritten Partei, die nie im Raum war. Ein Mandat lohnt sich, weil auch sie es lesen können: was sich ändern darf, über welche Ressourcen, wie lange und was passiert, wenn es schiefgeht. Eine Grenze, die nur der Anbieter einsehen kann, ist eine Grenze, die den Anbieter schützt.
SecureStamp liest, worum eine Handlung bittet. Es urteilt nicht darüber, ob die bittende Person recht hat, entscheidet nicht, welche Inhalte wahr sind, und verlangt für die Nutzung keinen beruflichen Nachweis. Zu begrenzen, was Software verursachen darf, ist nicht dasselbe wie zu begrenzen, was jemand sagen darf.
Budget
A security budget is not billing. It is specified as durable and atomic per tenant, task, revision and step — not a counter in memory and not one per agent. Committed means consumed plus anything reserved whose outcome is still pending or uncertain, so the same grant can never reserve twice; if storage or revocation is unavailable, no new effects are sent. Two parts of this are not in the local runtime yet — a reused task revision can open its own budget, and revocation is optional — and both are listed as known gaps in the specification.
Zustände
Eine Aufgabe ist immer in genau einem davon, und der Übergang ist das, was das Ledger festhält.
- draft
- approved
- running
- paused
- completed
- revoked
- expired
Was der lokale Reader tut — und was nicht
Ein lokaler Reader erklärt, worum eine Anfrage bittet. Er autorisiert nicht, und in diesem Profil blockieren ein einzelner Fund, eine Enthaltung oder eine teilweise Lesung weder, noch widerrufen sie, noch erzwingen sie zusätzliche Freigaben für eine Wirkung, die bereits freigegeben ist und innerhalb des Vertrags liegt. Er arbeitet regelbasiert über eine begrenzte Textmenge, deshalb werden Kürzung und Nichtbewertung angezeigt statt versteckt. Das Fehlen eines Funds ist nie eine Erlaubnis — eine Wirkung außerhalb des Vertrags wird abgelehnt, ob der Reader etwas gesehen hat oder nicht.
Grenze der Belege
Ein Action Receipt beweist, was einen enrollten Guardian passiert hat, und das Ergebnis, das dieser Guardian feststellen konnte. Es beweist nicht, dass außerhalb dieses Pfads nichts geschehen ist, und begründet keine rechtliche Inhaberschaft am Provider-Konto. Bedrohungen außerhalb der Garantie werden benannt statt impliziert: die Administration des Hosts, ein kompromittierter Guardian oder Signierer, Handlungen außerhalb des enrollten Pfads, ein unbeobachteter Seitenkanal und Schaden, den das Mandat selbst bereits erlaubt hat.
Status
This page describes a design. The contract schema exists and a local runtime runs its limits in simulation, with known gaps published in the specification. Execution of a delegated mandate against a real provider has not been evaluated, and until it is, this profile is labelled simulated. We do not extrapolate a result from a mock or from a different connector, and approval fixtures are not real MFA or quorum.
Die Spezifikation
Vertragsfelder, Kanonisierung, die Bindung zwischen Mandat, Schritt und Wirkung, der Zustandsautomat und der Widerruf sind auf der Foundation-Seite spezifiziert.
Spezifikation lesenBereits verfügbar
Single-effect authorization — one exact effect, one authority, one expiry, one use — is available today through the MCP service, in public beta. Running it against a real provider needs an eligible connector; until a connector clears its release gate, its Guardian runs in sandbox mode.
Execution Authorization für Agenten ansehen