Ich habe am Ende das gemacht, was ich normalerweise tue, wenn mir langweilig ist – ich bin in ein Kaninchenloch zu einem Projekt gestürzt, das ich vorher nur halb gelesen hatte. Diesmal war es Newton.
Ich hatte das Wort „autonomous“ (autonom) schon ziemlich oft damit in Verbindung gebracht gesehen. Autonome Agenten, autonome Ausführung, Agenten, die on-chain handeln, ohne dass du jede einzelne Transaktion überwachen musst. Ehrlich gesagt bin ich fast einfach darüber hinweg gegangen – dieses Wort wird in diesem Umfeld so locker herumgeworfen, dass es mittlerweile im Grunde nur noch Rauschen ist. Aber irgendetwas hat mich dazu gebracht, die Doku wirklich nachzuschlagen, statt einfach nur zustimmend zu nicken.
Also habe ich angefangen mir anzusehen, wie die Ausführung tatsächlich „unter der Haube“ abläuft. Und das, was mich stutzig gemacht hat, ist — „autonom“ heißt nicht, was ich darunter verstanden habe.
Ich glaube, die meisten lesen „autonome Ausführung“ und stellen sich einen Agenten vor, der einfach… Entscheidungen trifft. Eine Gelegenheit sieht, handelt, ohne dass ein Mensch in der Schleife ist. So ist das mentale Bild, das das Wort dir gibt. Was mit @NewtonProtocol tatsächlich passiert, ist enger gefasst als das. Der Agent arbeitet innerhalb eines Permission Scopes, der im Voraus definiert ist — zkPermissions setzen Grenzen, was der Agent überhaupt anfassen darf, und die Ausführung läuft durch ein TEE, das nachweist, dass die Aktion innerhalb dieser Grenzen geblieben ist. Es ist also nicht so, dass der Agent sich Freiheit aussucht. Es ist der Agent, der beweist, dass er in einer von jemand anderem gebauten „Käfig“-Umgebung geblieben ist.
Das ist nicht unbedingt schlecht. Begrenzte Ausführung ist möglicherweise sicherer als ein Agent mit unbegrenztem Ermessensspielraum. Aber es ist eine andere Behauptung als „autonom“ — und das Wort leistet in der Vermarktung mehr Arbeit, als die Architektur wirklich hergibt.
Hier ist der Teil, der mich ein bisschen stört. Wer legt den Permission Scope fest? In den meisten Dingen, die ich gelesen habe, ist es der Nutzer oder ein Kurator, der ihn im Voraus definiert — was bedeutet, dass die „Autonomie“ im Grunde nur Automatisierung innerhalb von vorab genehmigten Leitplanken ist. Das ist in Ordnung, das ist nützlich, aber es ist nicht dasselbe „Pitch“ wie ein Agent, der eigenständige Urteile auf der Kette trifft. Ich schwanke immer wieder, ob das eine bedeutende Unterscheidung ist oder ob ich nur pedantisch bei Semantik bin. Ich glaube, es ist tatsächlich bedeutend — weil der gesamte Value Prop von „verifizierbarer Durchsetzung“ davon abhängt, dass jemand den Scope korrekt definiert. Das TEE bescheinigt die Einhaltung der Regeln. Es bescheinigt nicht, dass die Regeln gut waren.
Ich bin auch nicht vollständig davon überzeugt, dass das stimmt, sobald man es mit komplexerem, mehrstufigem Agentenverhalten zu tun hat statt mit einfachen, begrenzten Aktionen. Ein enger Permission Scope lässt sich leicht attestieren und leicht vertrauen. Aber je autonomer die tatsächliche Entscheidungsfindung wird — je mehr Verzweigungslogik, bedingte Aktionen, verkettete Calls — desto schwieriger wird es, einen Scope zu definieren, der einerseits eng genug ist, um sinnvoll zu sein, aber andererseits locker genug, um noch nützlich zu sein. Irgendwann schränkst du den Agenten so stark ein, dass er kaum noch autonom ist, oder du lockerst den Scope so weit, dass der „verifizierbare“ Teil weniger Arbeit leistet, als es klingt.
Das dürfte vor allem für Leute wichtig sein, die Agents bauen, die echtes Kapital verwalten — Trading-Bots, Treasury-Automatisierung, so etwas. Wenn du den Permission Scope definierst, bist du auch die Person, die tatsächlich für die Grenzen verantwortlich ist, nicht das Protokoll. Das Protokoll beweist nur, dass du nicht aus diesen Grenzen herausgesprungen bist. Das ist eine nützliche Garantie, aber sie ist enger als das, was „vertrauenslose autonome Ausführung“ impliziert — und ich denke, viele Leute, die nur schnell den Marketing-Text überfliegen, bekommen am Ende eine größere Aussage in den Kopf als die Architektur tatsächlich macht.
Jedenfalls glaube ich nicht, dass das ein Dealbreaker ist. Ich denke nur, dass das Wort „autonom“ gerade mehr Gewicht hat, als das Mechanismus-Design derzeit tatsächlich hergibt. Das könnte sich anders anfühlen, sobald es mehr echte Nutzungsdaten gibt statt nur Doku und Diagramme. Ich werde wahrscheinlich einfach weiter beobachten, wie sich das Permission-Scope-Design entwickelt, wenn mehr Agents wirklich live damit gehen.