#newt $NEWT @NewtonProtocol
Ich dachte, eine Agentenzahlung sei fehlgeschlagen, weil sie kein Geld mehr hatte.
Das war nicht einmal annähernd der Fall.
Ein Agent, den ich beobachtete, tätigte eine winzige, routinemäßige Zahlung – völlig im Rahmen seines normalen Ausgabenmusters.
Abgelehnt.
Mein erster Impuls war, das Wallet dafür verantwortlich zu machen.
Die Mittel waren die ganze Zeit dort.
Der eigentliche Blocker war nicht das Geld.
Es war die Berechtigung.
Der Empfänger befand sich schlicht nicht innerhalb des autorisierten Umfangs des Agents.
Damit kippte mein gedankliches Modell.
Ich hatte Agentenzahlungen als ein Finanzproblem betrachtet: Hat der Agent genug Mittel?
Newton behandelt sie zuerst als ein Policy-Problem.
Bevor eine Zahlung auch nur in die Nähe der Abwicklung kommt, prüfen mehrere unabhängige Leitplanken sie:
• Liegt der Betrag innerhalb des genehmigten Ausgabenlimits?
• Ist der Empfänger tatsächlich autorisiert?
• Ist das Mandat noch gültig?
• Stimmt die Signatur?
• Sind die Mittel verfügbar?
Erst wenn auf jede Frage „Ja“ lautet, geht die Zahlung weiter.
Was ich am spannendsten finde, ist nicht der Zahlungsablauf – sondern das Vertrauensmodell.
Eine gültige Signatur ist kein Vertrauen.
Ein finanziertes Wallet ist kein Vertrauen.
Eine korrekt formatierte Anfrage ist kein Vertrauen.
Vertrauen ist, ob die Infrastruktur selbst erkennt, dass genau dieser Agent diese spezifische Aktion ausführen darf.
402 erhalten → Agent bewertet Kosten → Mandat geprüft → Newton validiert Policy und Umfang → Vermittler prüft Signatur und Mittel → Abwicklung → Quittung.
Keine Ebene vertraut blind der vorherigen.
Wenn die Denklogik eines Agents manipuliert wird – oder eine Prompt-Injection ihn davon überzeugt, etwas zu tun, was er nicht tun dürfte – dann interessiert die Infrastruktur nicht, wie überzeugend der Agent klingt.
Die Policy lebt außerhalb des Modells.
Und genau dort gehört sie hin.
Die Frage, über die ich immer noch nachdenke, ist diese:
Wie granular werden diese Autorisierungsscopes in der Produktion?
Sind das breite Berechtigungen auf Host-Ebene, Regeln für einzelne Dienste oder Einschränkungen bis hin zu einzelnen Endpunkten?
Und was passiert, wenn ein kompromittierter Agent beginnt, Dutzende von Zielen auf einmal zu sondieren, um herauszufinden, wo diese Grenzen tatsächlich verlaufen?
Ich dachte, eine Agentenzahlung sei fehlgeschlagen, weil sie kein Geld mehr hatte.
Das war nicht einmal annähernd der Fall.
Ein Agent, den ich beobachtete, tätigte eine winzige, routinemäßige Zahlung – völlig im Rahmen seines normalen Ausgabenmusters.
Abgelehnt.
Mein erster Impuls war, das Wallet dafür verantwortlich zu machen.
Die Mittel waren die ganze Zeit dort.
Der eigentliche Blocker war nicht das Geld.
Es war die Berechtigung.
Der Empfänger befand sich schlicht nicht innerhalb des autorisierten Umfangs des Agents.
Damit kippte mein gedankliches Modell.
Ich hatte Agentenzahlungen als ein Finanzproblem betrachtet: Hat der Agent genug Mittel?
Newton behandelt sie zuerst als ein Policy-Problem.
Bevor eine Zahlung auch nur in die Nähe der Abwicklung kommt, prüfen mehrere unabhängige Leitplanken sie:
• Liegt der Betrag innerhalb des genehmigten Ausgabenlimits?
• Ist der Empfänger tatsächlich autorisiert?
• Ist das Mandat noch gültig?
• Stimmt die Signatur?
• Sind die Mittel verfügbar?
Erst wenn auf jede Frage „Ja“ lautet, geht die Zahlung weiter.
Was ich am spannendsten finde, ist nicht der Zahlungsablauf – sondern das Vertrauensmodell.
Eine gültige Signatur ist kein Vertrauen.
Ein finanziertes Wallet ist kein Vertrauen.
Eine korrekt formatierte Anfrage ist kein Vertrauen.
Vertrauen ist, ob die Infrastruktur selbst erkennt, dass genau dieser Agent diese spezifische Aktion ausführen darf.
402 erhalten → Agent bewertet Kosten → Mandat geprüft → Newton validiert Policy und Umfang → Vermittler prüft Signatur und Mittel → Abwicklung → Quittung.
Keine Ebene vertraut blind der vorherigen.
Wenn die Denklogik eines Agents manipuliert wird – oder eine Prompt-Injection ihn davon überzeugt, etwas zu tun, was er nicht tun dürfte – dann interessiert die Infrastruktur nicht, wie überzeugend der Agent klingt.
Die Policy lebt außerhalb des Modells.
Und genau dort gehört sie hin.
Die Frage, über die ich immer noch nachdenke, ist diese:
Wie granular werden diese Autorisierungsscopes in der Produktion?
Sind das breite Berechtigungen auf Host-Ebene, Regeln für einzelne Dienste oder Einschränkungen bis hin zu einzelnen Endpunkten?
Und was passiert, wenn ein kompromittierter Agent beginnt, Dutzende von Zielen auf einmal zu sondieren, um herauszufinden, wo diese Grenzen tatsächlich verlaufen?