O que você já pode usar hoje
- Authorization of one exact effect through the MCP service, in public beta: one operation, one authority, one expiry, one use.
- Signed evidence of what was authorized and what the Guardian could establish, verifiable offline with no account.
- Six provider operations, each at an authority the protocol fixes and a caller cannot lower. None is called stable until we publish evidence of 100 real executions against a live provider.
O que um mandato fixa
Cinco perguntas, respondidas antes de o agente começar.
Uma delegação que você não consegue ler é uma delegação que você não consegue revogar. O contrato a transforma num artefato: cinco eixos, todos explícitos, todos assinados juntos.
O que pode mudar
Cada passo nomeia uma operação canônica e os parâmetros exatos atrelados a ela. Não é uma capacidade, nem um scope, nem uma categoria de ação — é um efeito, identificado por digest.
Sobre quais recursos
Os passos carregam sua lista de recursos. Um passo aprovado para uma conta, um papel ou um cliente não se transfere para outro, e o Guardian rejeita a divergência antes de contatar o provedor.
Por quanto tempo
O contrato tem hora de emissão e expiração. Depois disso, nenhum passo novo é enviado — não há janela de carência nem renovação de dentro da tarefa.
Com quais aprovações e orçamento
Authority is set per operation by the protocol, not chosen by the caller. The budget is specified as durable and atomic per tenant, task, revision and step: committed means consumed plus anything reserved and still uncertain.
Como o resultado é conferido
O adaptador relê do provedor para estabelecer o que aconteceu. Um timeout é reconciliado, nunca repetido às cegas, e um resultado ambíguo fica indeterminado em vez de ser arredondado para sucesso.
Como roda
Revisar
Uma pessoa lê o mandato: os passos, os recursos, a janela, as aprovações e o orçamento. Enquanto é rascunho, nada roda.
Aprovar
A aprovação fixa uma revisão. Mudar qualquer passo produz uma revisão nova para revisar — um contrato aprovado nunca é editado no lugar.
Rodar dentro dele
O agente propõe passos. Cada um continua produzindo seu próprio Execution Grant de uso único e seu próprio Action Receipt. Tudo que fica fora do contrato é recusado.
Os limites, ditos sem rodeios
O que um mandato não faz.
Nunca baixa um limiar de autoridade
Approving a mandate does not turn a step that needs MFA or quorum into one that does not. Authority is set per operation by the protocol; a longer task does not buy a cheaper approval. Moving money and changing privileges stay outside delegation altogether. The local runtime does not enforce this on its own yet — it is listed among the known gaps in the specification.
Não há subdelegação
Um mandato, um Guardian, um orçamento. Um agente dentro de um contrato não pode passar parte dele a outro agente, e uma tarefa não pode levantar um segundo ponto de execução.
O que ele lê não pode ampliá-lo
Documentos, saída de tools, conteúdo web e memória são entradas, nunca autoridade. Uma instrução que aparece dentro de algo que o agente leu é dado: não estende o contrato, diga o que disser.
Um mandato assinado ainda pode ser danoso
Autorizar não prova verdade, benignidade nem correção. Um contrato delimita autoridade; não estabelece que aprová-lo foi uma boa ideia.
Para quem isso é
Quem paga o risco quase nunca é quem aprovou a tarefa.
Quando um agente emite um reembolso, muda os acessos de alguém ou edita infraestrutura, a consequência cai sobre uma cliente, um colega ou um terceiro que nunca esteve na conversa. Um mandato vale a pena porque eles também conseguem lê-lo: o que pode mudar, sobre quais recursos, por quanto tempo, e o que acontece se der errado. Um limite que só o fornecedor consegue inspecionar é um limite que protege o fornecedor.
O SecureStamp lê o que uma ação está pedindo. Não julga se quem pede tem razão, não decide qual conteúdo é verdadeiro, e não exige nenhuma credencial profissional para ser usado. Delimitar o que o software pode causar não é delimitar o que alguém pode dizer.
Orçamento
A security budget is not billing. It is specified as durable and atomic per tenant, task, revision and step — not a counter in memory and not one per agent. Committed means consumed plus anything reserved whose outcome is still pending or uncertain, so the same grant can never reserve twice; if storage or revocation is unavailable, no new effects are sent. Two parts of this are not in the local runtime yet — a reused task revision can open its own budget, and revocation is optional — and both are listed as known gaps in the specification.
Estados
Uma tarefa está sempre em exatamente um deles, e a transição é o que o ledger registra.
- draft
- approved
- running
- paused
- completed
- revoked
- expired
O que o leitor local faz, e o que não faz
Um leitor local explica o que um pedido está solicitando. Ele não autoriza, e neste perfil um achado isolado, uma abstenção ou uma leitura parcial não bloqueiam, não revogam nem forçam aprovações extras sobre um efeito já aprovado e dentro do contrato. Funciona por regras sobre uma quantidade delimitada de texto, então o truncamento e a não avaliação são mostrados em vez de escondidos. A ausência de achado nunca é permissão — um efeito fora do contrato é recusado tenha o leitor visto algo ou não.
Limite da evidência
Um Action Receipt prova o que passou por um Guardian inscrito e o resultado que esse Guardian conseguiu estabelecer. Não prova que nada tenha acontecido fora desse caminho, e não estabelece propriedade legal da conta do provedor. As ameaças fora da garantia são nomeadas em vez de insinuadas: o administrador do host, um Guardian ou signatário comprometidos, ações tomadas fora do caminho inscrito, um canal lateral não observado, e o dano que o próprio mandato já permitia.
Estado
This page describes a design. The contract schema exists and a local runtime runs its limits in simulation, with known gaps published in the specification. Execution of a delegated mandate against a real provider has not been evaluated, and until it is, this profile is labelled simulated. We do not extrapolate a result from a mock or from a different connector, and approval fixtures are not real MFA or quorum.
A especificação
Os campos do contrato, a canonicalização, o vínculo entre mandato, passo e efeito, a máquina de estados e a revogação estão especificados no site da fundação.
Ler a especificaçãoJá disponível
Single-effect authorization — one exact effect, one authority, one expiry, one use — is available today through the MCP service, in public beta. Running it against a real provider needs an eligible connector; until a connector clears its release gate, its Guardian runs in sandbox mode.
Ver Execution Authorization para agentes