curry897 / password-agent-sys

# DiPAKE：权限只收不放的多智能体协作
**一个“权限只收不放”的多智能体协作方案。** 用户用一个口令批准任务，智能体之间可以逐级分工、离线委派，
而每一次工具调用都能被证明来自哪项任务、经过了哪些委托、是否仍在用户批准的范围内。
DiPAKE 不重写任务规划：编排仍交给 LangGraph 等框架里的大模型，智能体之间的通信用 A2A，工具接入用 MCP。
DiPAKE 叠加在它们之上，回答另外两个问题：**凭什么做**、**最多能做到哪一步**。
> 本仓库是方案的**公开支撑材料**：方案框架、安全性论证、形式化验证结果、测试与评估数据。
## 方案特色
| 特色 | 说明 |
|---|---|
| **口令即根，任务即身份** | 用户只记一个口令，系统不保存任何长期根密钥。每项任务、每个子任务的身份都由口令派生，并绑定任务标识、委托路径与各层策略；同一个智能体在不同任务中的身份互不相通，不能跨任务冒充。 |
| **离线可验证委派** | 父智能体无需联系用户、服务器或网关，就能在本地为子智能体派生凭证。子凭证在身份、策略、委托深度三方面都不宽于父凭证；兄弟、祖先、其他任务的身份无法伪造。 |
| **权限逐级收缩** | 实际权限是整条委托路径上全部策略的合取，包括操作范围、资源、参数、有效期、委托深度和累计预算。下级写得再宽，也越不过上级的限制。 |
| **身份绑定的口令认证握手** | 外层口令认证证明“同属一个口令域”，内层分层身份密钥交换证明“持有哪条委托路径”，并且前向安全。握手 5 条消息、881 字节，长度不随委托深度变化；口令不匹配时域外观察者看不出握手是否成功，也看不到委托结构。 |
| **模型提议，运行时裁决** | 凭证保管在独立的边车进程里，大模型和宿主应用只拿到句柄。即使模型被提示注入完全操纵，也拿不到密钥、改不了规则。 |
| **执行网关逐级裁决** | 以 MCP 反向代理的形式部署在工具前面。每次工具调用依次检查 8 项：会话完整性、路径一致、结构与深度、各级策略、请求绑定与防重放、撤销、逐次审批、累计预算；拒绝时返回被拒的层级和原因。 |
| **累计预算原子预留** | 下级的消耗同时计入所有祖先。例如 20 MiB 的上传额度由整棵子树共享，各分支不能各自用满一份。 |
| **可验证的用户逐次审批** | 高风险操作要求用户在可信客户端重新输入口令确认，审批令牌绑定委托路径、具体请求和一次性挑战。 |
| **口令加固（DiPAKE+）** | 凭证即使被窃，每次猜口令也必须向审批服务器查询一次，而审批服务器按域限速并记录日志，且看不到口令。 |
| **撤销与审计** | 祖先可以随时撤销任意下级子树；用户可以不经任何智能体配合撤销整项任务。 |
| **兼容现有生态** | 遵循 A2A 扩展机制与 MCP 的 Streamable HTTP，宿主照常使用官方 SDK。 |
## 我们验证了什么
| 证据 | 结果 | 详情 |
|---|---|---|
| 安全定理（随机预言机模型） | 认证密钥交换安全、子树隔离、授权可靠性 | `docs/security-model.md` |
| ProVerif 形式化验证（无界会话、敌手持有被腐化子树凭证） | 会话密钥保密与前向安全、双向认证、子树隔离、授权约束与抗重放、逐次审批与撤销令牌不可伪造、口令离线猜测抵抗，均得到预期结果 | `docs/formal-verification.md` |
| 攻击测试 | 8 类 **36 种攻击全部被拦截**，3 项合法操作全部放行 | `docs/security-tests.md` |
| 真实大模型提示注入（InjecAgent，1054 用例 × 3 次运行） | 在真实大模型被注入后生成的越权调用中，凡偏离用户授权工具的调用均被网关拒绝；3162 次正常调用 0 误拒 | `docs/evaluation.md` |
| 真实设备部署（3 × Raspberry Pi 5，深度 5 跨设备链；机器狗末端执行） | 各级约束均在对应层级生效，撤销即时生效 | `docs/evaluation.md` |
| 性能 | 一次握手约 4–29 ms（视硬件），881 字节且不随深度增长；离线派生约 1 ms；网关裁决增加约 1 ms | `bench/` |
## 仓库内容
 [code] 
## 按需提供的材料
以下材料体量较大或涉及实现细节，不在本仓库中，可按需提供：
- 系统的实现代码（密码核心、执行网关、凭证边车、可信客户端等）；
- 协议的线上格式、消息编码、参数与测试向量；
- ProVerif 模型源文件，以及定理的完整归约（只公开陈述与证明思路）；
- 设计报告全文；
- 真实设备部署的原始日志、抓包与现场照片。
需要核对完整材料的评审或合作方，请联系作者。
## 版权
本仓库内容**保留所有权利**（All rights reserved），仅供阅读与核对，未授予任何复制、修改、再分发或商用的许可。详见 `NOTICE`。