Hardware Keystores for AI Agent Signing Workflows: A Zero-Trust MCP Enforcement Architecture
arXiv 论文 2608.06130v1 提出用硬件密钥库（HSM、TPM、智能卡）通过 PKCS#11 接口替代软件存储的私钥，用于 AI Agent 的密码学操作（如签名 Git 提交、API 认证、签发证书）。论文描述了一个五层零信任强制栈，包括会话身份（SAGA）、范围界限（Smax）、语义验证（RAV）、污点跟踪和硬件执行边界。论文基于 AgentDojo 的 12 种注入场景进行评估。
发展脉络
- 首次出现Hardware Keystores for AI Agent Signing Workflows: A Zero-Trust MCP Enforcement ArchitecturearXiv cs.AI
- 当前判断该论文反映了 AI Agent 安全的一个趋势：将密钥管理从软件转向硬件，以应对提示注入等攻击。这可能导致 Agent 框架和云服务集成 HSM/TPM 支持。可验证的下一信号：主流 Agent 框架（如 LangChain、AutoGPT）是否宣布硬件密钥库集成。Agent Pulse · 分析
arXiv 论文 2608.06130v1 提出了一种零信任架构，用于 AI Agent 的密码学操作。论文指出，当前 AI Agent 在签名 Git 提交、认证 API 调用、签发证书时，私钥存储在软件可访问的位置（如明文文件、环境变量、容器内存），任何有足够读权限的进程都能提取密钥。论文描述了一次生产事故：私钥通过邮件注入在五分钟内被窃取。为此，论文提出用硬件密钥库（HSM、TPM、智能卡）通过 PKCS#11 接口替代软件密钥，硬件在设备上执行密码学操作，主机仅通过不透明句柄获得结果。硬件隔离是主要贡献，由五层零信任强制栈支持：会话身份（SAGA）、范围界限（Smax）、语义验证（RAV）、污点跟踪和硬件执行边界。论文基于 AgentDojo 的 12 种注入场景进行评估。
该架构将密钥材料从软件可访问区域转移到硬件边界内，通过 PKCS#11 接口提供供应商中立的访问。五层栈中的污点跟踪和语义验证（RAV）可能用于在密钥使用前检查内容感知的授权。可验证的下一信号：论文是否提供与软件密钥存储相比的延迟或吞吐量基准，以及是否开源实现。
该论文反映了 AI Agent 安全的一个趋势：将密钥管理从软件转向硬件，以应对提示注入等攻击。这可能导致 Agent 框架和云服务集成 HSM/TPM 支持。可验证的下一信号：主流 Agent 框架（如 LangChain、AutoGPT）是否宣布硬件密钥库集成。
该架构可降低 AI Agent 因密钥泄露导致的安全事故风险，对依赖 Agent 自动化的企业有直接价值。硬件密钥库可能成为 Agent 安全产品的差异化功能。可验证的下一信号：安全供应商或云提供商是否推出基于硬件密钥库的 Agent 密钥管理服务。
如果该架构被广泛采用，AI Agent 的密钥管理将更安全，但可能增加硬件成本和集成复杂性。未来可能看到硬件安全模块在 Agent 部署中的标准化。可验证的下一信号：是否有后续论文或产品发布展示该架构的实际部署。