Google przedstawia SAM (Sovereign Agent Mesh): bezpieczną sieć P2P dla autonomicznych agentów AI

Autonomiczne agenty sztucznej inteligencji, działające na zróżnicowanych platformach – od serwerów chmurowych, przez centra danych, laptopy, po Raspberry Pi i urządzenia z Androidem – napotykają na wyzwanie bezpiecznego współdzielenia narzędzi. Dotychczas często wymagało to wystawiania wewnętrznych skryptów, punktów końcowych LLM (Large Language Model) czy prywatnych interfejsów API na publiczny internet. W odpowiedzi na ten problem, Google zaprezentowało Sovereign Agent Mesh (SAM) – projekt sieciowy typu open-source, udostępniony na licencji Apache-2.0, który ma na celu stworzenie bezpiecznej, zdecentralizowanej infrastruktury dla agentów AI.

SAM oferuje alternatywne rozwiązanie w postaci sieci P2P (peer-to-peer) typu zero-config i zero-trust, działającej jako nakładka. Można ją porównać do prywatnej sieci VPN, lecz jej zakres jest ściśle określony i dotyczy współdzielenia narzędzi między agentami za pośrednictwem protokołu Model Context Protocol (MCP). W tej architekturze węzły automatycznie się odnajdują, radzą sobie z translacją adresów sieciowych (NAT), a każde wywołanie jest kryptograficznie autoryzowane. Należy zaznaczyć, że SAM nie jest oficjalnie wspieranym produktem Google, a jego publiczna siatka jest obecnie oznaczona jako beta testnet.

Architektura bezpieczeństwa i autoryzacji

Kluczowym elementem SAM jest jego model bezpieczeństwa, oparty na zasadzie zero-trust. Węzły dołączają do sieci za pomocą komendy sam-node join, a następnie uruchamiają się poprzez sam-node run. Kontrola dostępu odbywa się poprzez weryfikację tokenów OIDC JWT (OpenID Connect JSON Web Token). System tłumaczy zawarte w nich roszczenia na fakty Datalog i zabezpiecza je w tokenie Biscuit. Na przykład, identyfikator użytkownika (sub) staje się user(...), każda grupa (group) staje się group(...), a identyfikator węzła (peer ID) jest wiązany jako client_peer_id(...).

Co istotne, autoryzacja węzłów odbywa się offline. Węzeł ocenia przedstawiony token w oparciu o własne, lokalne reguły, bez konieczności komunikowania się z centralnym serwerem. Domyślnie obowiązuje ścisła zasada odmowy dostępu (default-deny). Dostęp wymaga jawnie przyznanej zdolności, np. granted_service_exact(...). Nie ma wbudowanych wyjątków – nawet katalog usług system://sam.catalog musi zostać jawnie przyznany. Usługi korzystają ze ścisłej konwencji type://name z obsługą symboli wieloznacznych, np. mcp://* lub mcp://build-runner.*.

Każde żądanie przechodzi przez dwuetapowy proces. Pierwszy etap blokuje połączenia z list czarnych i unieważnionych. Drugi etap obejmuje dwa przejścia autoryzatora Biscuit. Pierwsze dotyczy tokenu tożsamości samego węzła, generując asercje target_fact. Drugie dotyczy tokenu wywołującego. Podstawowa kontrola zapobiega atakom typu replay, wymagając zgodności identyfikatora węzła z tokenem.

Operatorzy mogą lokalnie modyfikować uprawnienia, np. odmawiać dostępu do narzędzia zapisu po godzinie 21:00 lub blokować dostęp dla wykonawców zewnętrznych. Lokalne zezwolenia nie mogą jednak omijać kontroli płaszczyzny sterowania, jeśli istnieją nadrzędne ograniczenia.

Narzędzia i bezpieczne wyjście

Węzeł SAM udostępnia standardowe narzędzia MCP, takie jak discover_remote_services, find_remote_tools i call_remote_tool. Dostępne są przewodniki dotyczące integracji z modelami takimi jak Gemini, Claude Code, Claude Desktop, Google Antigravity i OpenClaw. Komenda sam-node skill install tworzy plik SKILL.md, umożliwiając agentowi samodzielne uruchomienie węzła. Proces logowania do rejestracji pozostaje celowo w gestii człowieka.

Moduł Secure Outbound Gateway adresuje realną lukę w bezpieczeństwie agentów. Proces nano-init działa jako PID 1 w środowisku sandbox i ustawia zmienne środowiskowe proxy. Dla narzędzi, które je ignorują, wykorzystuje LD_PRELOAD do przechwytywania wywołań systemowych connect() na portach 80 i 443. Ruch trafia do sam-box przez gniazdo domeny Unix. Brama weryfikuje token Biscuit, wstrzykuje prawdziwe poświadczenia z pliku secrets.yaml i uaktualnia żądanie do HTTPS. Środowisko sandbox agenta nigdy nie przechowuje klucza.

Przykład puli recenzentów kodu ilustruje, jak SAM może rozdzielać pracę wsadową między identyczne, działające instancje robocze, wykorzystując zwykłe usługi MCP. Menedżer odkrywa węzły za pomocą odkrywania DHT i śledzi ich stan zajętości za pomocą dzierżaw. Poprawność działania zapewniają synchroniczne przypisywanie dzierżaw, tokeny zabezpieczające, łagodne eksmisje i mechanizm POOL_BUSY. Pracownicy weryfikują krótkotrwały token HMAC offline; każda inna sytuacja zwraca NO_LEASE.

Rozwój SAM podkreśla rosnące zapotrzebowanie na bezpieczne i skalowalne rozwiązania sieciowe dla autonomicznych agentów AI. W miarę jak agenci stają się coraz bardziej wszechobecni i wykonują złożone zadania, infrastruktura taka jak SAM będzie kluczowa dla zapewnienia ich bezpiecznej i efektywnej współpracy w rozproszonych środowiskach, minimalizując ryzyko związane z dostępem do wrażliwych zasobów i danych.

Źródło: marktechpost.com