Project Simurgh
Project Simurgh es un marco de atestación de contención para IA agéntica, independiente del proveedor. Nació de la capa de integridad basada solo en metadatos de The Invisible Window para sesiones de alto riesgo y evolucionó hacia un sistema que registra lo que un agente desplegado tuvo permitido hacer después de fallar una salvaguarda. Simurgh firma un registro reproducible sin conexión de las acciones permitidas tras conectar el agente con herramientas, archivos, contexto y sistemas externos. Un revisor independiente puede verificar ese registro sin acceso al productor de las pruebas.
01 / Resumen
Recorrido por la arquitectura
Un recibo que se puede verificar de nuevo
Explore los límites de contención documentados y la ruta de verificación. Es una vista ilustrativa de la arquitectura, no un registro de ejecución ni un resultado de investigación.
Arquitectura ilustrativa · sin registros ni resultadosSeleccione un límite de contención
- Paquete de evidencia firmadoLa arquitectura describe evidencia de metadatos firmada con Ed25519.
- Verificador sin conexiónUna persona revisora independiente del productor puede reproducir las decisiones sin conexión y comprobar que la evidencia esté completa sin acceder al productor.
Explicación de los límites
El primer límite revisa las instrucciones entrantes antes de que lleguen al agente.
Este límite revisa las instrucciones incluidas en el contenido recuperado o devuelto por herramientas.
La puerta de autoridad comprueba si la acción propuesta para una herramienta está permitida por la política.
El límite final revisa el contenido saliente para detectar divulgaciones no permitidas antes de exportarlo.
Reproducir en local
git clone https://github.com/Raoof128/Project-Simurghcd Project-Simurgh && git fetch --tagsbash scripts/reproduce-vca-chain.sh
El repositorio de VCA y el comando de reproducción enlazados describen el trabajo actual de contención de agentes. La prepublicación de Simurgh incluida documenta una etapa anterior de integridad de dispositivos en la evolución del proyecto.
Problema
Los clasificadores de entrada pueden pasar por alto ataques. Cuando ocurre, el agente puede conservar autoridad para usar herramientas o acceder a archivos y sistemas externos. Los operadores necesitan controles posteriores que limiten esas acciones y pruebas que un revisor independiente pueda comprobar. Simurgh asume que el productor de las pruebas puede intentar que una ejecución parezca contenida y diseña la verificación en torno a ese riesgo.
Resumen de la solución
- Rodea al agente con cuatro límites de contención y sella cada ejecución en un paquete de metadatos firmado con Ed25519, reconstruible byte a byte sin conexión.
- Asume que el productor miente: la reproducción de decisiones y la comprobación de integridad de la emisión permiten confirmar una contención real y refutar una falsa.
- Publica una frontera de Pareto entre contención y utilidad y una escala de reproducción de 12 niveles, recalculable sin modelo ni acceso al productor.
- Complementa los clasificadores en línea como defensa en profundidad sobre la autoridad del agente; declara con firma que no habría detectado el bypass de contenido de junio de 2026.
- Conserva su trayectoria publicada: el origen de integridad de Invisible Window y las afirmaciones de ausencia verificadas por máquina de Banking Shield alimentan el contrato actual.
02 / Evidencia
Pruebas y verificación
- Clasificador de entrada real Llama Guard 4 12B sobre 180 casos: contuvo 138/138 casos maliciosos omitidos, incluidos 120 de inyección posterior que un clasificador de entrada no puede ver y 18 fallos directos; éxito combinado de ataque dirigido 0/150, sin ejecuciones de herramientas ni exportaciones inseguras.
- Agente en vivo con Llama-3.3-70B autoalojado en la suite de espacio de trabajo de AgentDojo y 140 inyecciones preregistradas: la puerta de autoridad redujo el éxito de 9/140 a 0/140 conservando la utilidad benigna.
- Ejecución determinista completa de las cuatro suites de AgentDojo, v2.49.0: casos benignos 97/97, utilidad sin ataque 949/949, éxito de ataque 0/949.
- Una segunda raíz independiente de procedencia firma el dictamen de publicación con la identidad OIDC de GitHub, no con la clave del desarrollador; una diferencia de un solo byte frente al dictamen registrado detiene el flujo antes de firmar.
- 3057 pruebas automatizadas; reproducción sin conexión de la escala de publicación firmada con un solo comando; licencia AGPL-3.0.
- Trayectoria publicada en Zenodo bajo CC BY 4.0: prepublicación original de integridad DOI 10.5281/zenodo.20374849, piloto Phase C en un contexto relacionado con votaciones y prototipo Banking Shield de afirmaciones de ausencia.
Publicaciones de investigación
Artículos: 3Project Simurgh: Privacy-Preserving Device Integrity Proofs for Capture-Resistant High-Stakes Sessions
Continuación defensiva de 12 páginas de The Invisible Window: sustituye la vigilancia visual por pruebas de integridad basadas solo en metadatos.
Descargar publicaciónPrivacy-Preserving Integrity Evidence for Student-Society Voting-Adjacent Workflows: A Phase C Pilot of Project Simurgh at Macquarie University
Piloto de 5 páginas en un contexto relacionado con votaciones, con 31 sesiones con consentimiento junto a un acto de una asociación estudiantil de Macquarie; excluye la elección del voto, encadena auditorías HMAC, rechaza campos prohibidos y cumple 5/5 controles de cierre de la recopilación.
Descargar publicaciónBanking Shield: Machine-Checked Absence Claims for Privacy-Sensitive AI Explanations
Prototipo ficticio de investigación, ajeno a un banco, que convierte límites de privacidad y de afirmaciones excesivas en pruebas comprobables por máquina: cortafuegos de 46 nombres de campo prohibidos cuyos rechazos se auditan, cortafuegos determinista de privacidad de IA sin conexión y recibos por respuesta anclados en cadenas HMAC por sesión. Al congelar las pruebas pasaron 417/417 tests unitarios, 43/43 controles de extremo a extremo y 27/27 controles de seguridad en tres auditorías de privacidad y una puerta estática sin salida de datos. Una prueba formativa con cinco evaluadores y 30 sesiones registró cero valores sensibles y una comprensión de la lista de limitaciones de 5/5.
Descargar publicación03 / Métodos
Construcción
Tecnologías
- Pasarela de contención Node.js / JavaScript
- Paquetes firmados con Ed25519 y reproducibles sin conexión
- Verificador de igualdad de bytes JS ↔ Python
- Teoremas comprobados por máquina en Lean 4
- Segunda raíz de procedencia GitHub OIDC
- Cuatro límites de contención: cortafuegos de entrada, guardia de procedencia del contexto, puerta de invocación de herramientas y cortafuegos de fugas de salida; todos emiten pruebas firmadas.
- Modelo de productor deshonesto: reproducir decisiones y comprobar la integridad de la emisión revela pruebas falsificadas u omitidas, verificables sin conexión por un revisor adversarial.
- Taxonomía de escapes: evasión de contención, engaño al verificador, fuera de alcance y evasión del límite de puerta; con campañas adaptativas de equipo rojo reproducibles.
- Recibos verificables de fricción acreditan que una aprobación precedió cada cruce de autoridad protegido, con dos claves distintas que impiden la autoaprobación y la alteración retrospectiva de fechas.
Seguro
- Verificador independiente del productor: confía solo en la clave pública del firmante y funciona sin red para confirmar una afirmación real o refutar una falsa.
- Pruebas adversariales propias del núcleo en ocho clases: manipulación, cambio de clave, blanqueo canónico, colisión de resumen, reproducción entre etapas, mutación de prueba propia y deriva de política; la raíz resistió y dos debilidades se corrigieron en detector-v2 y se reevaluaron.
- Testigo independiente que contrasta cada recibo con un oráculo independiente de consecuencias: cero acusaciones falsas y cero mentiras omitidas en los casos de prueba.
- Cinco teoremas Lean comprobados por máquina: fail-closed, friction precedence, same-key-fails, friction coverage y no-silent-exemption.
- Limitaciones explícitas y firmadas: no es un detector de jailbreak, sino un filtro posterior complementario; no habría detectado el bypass de generación de contenido de junio de 2026.