drift — mandate enforcement for AI agents

drift

持续强制执行 AI Agent 的授权。 每项操作都会在发生之前，而不是仅在签署时，根据已签署的授权进行检查。

pip install drift          # or: pip install -e .
python3 -m drift.http_server --http 8080

问题所在

Agent 获得一项授权：向谁付款、支付多少、使用哪种货币，以及授权有效期至何时。 AP2 仅在签署时验证一次授权。之后，Agent 便自行行动，不再有任何机制将其约束在授权范围内。

这件事确实重要，AP2 Python SDK 本身就提供了实测证据：

verify_chain documents:
  "enforcing expected_aud / expected_nonce on the terminal hop when provided"

but kb_sd_jwt.verify calls verify_expected_claims only when typ in TYP_TERMINAL,
and a kb+sd-jwt+kb token — which the SDK itself produces whenever the payload
carries a cnf — falls into TYP_INTERMEDIATE:

  hop type      : kb+sd-jwt+kb
  aud in token  : https://attacker.example/ap2
  expected_aud  : https://honest-merchant.example/ap2
  ACCEPTED a token with the wrong audience.

Agent 信任其管理支出权限的协议，却不会检查该权限是否被替换。drift 会检查。

检查内容

#	规则	可发现的问题
1	amount	超出限额——最常见的越权形式
2	payee	收款方错误
3	audience	付款被转给其他人
4	currency	货币被替换
5	window	超出有效期
6	intent	意图不在允许列表中

默认策略为拒绝。规则按固定顺序运行，因此拒绝时会指出最重要的原因，而不是偶然出现的问题。

MCP 工具

工具	用途
drift_check	根据授权检查单项操作
drift_session	检查一系列操作，并获取包含链指纹的报告
drift_explain	按应用顺序展示规则

不使用 SSE，不使用有状态会话，也不使用 HTTP 框架。仅使用标准库。

示例

from drift import Mandate, Drift, Action

m = Mandate(
    payee_id="shop", audience="https://merchant.example/ap2",
    max_amount_minor=10_000, currency="USD",
    valid_from=1_700_000_000, valid_until=1_700_086_400,
    allowed_intents=("buy",),
)
d = Drift(m)
verdict, rule = d.submit(Action(
    intent="buy", payee_id="shop", audience="https://merchant.example/ap2",
    amount_minor=99_999, currency="USD", at=1_700_000_060,
))
print(verdict, rule)   # DENY amount

明确说明限制

• 不会验证授权签名。 这是 AP2 的职责。drift 在签名验证之后，从决策层面进行检查。
• 不会执行操作。 它负责决策；调用方负责执行。
• 不保留状态。 会话作为参数传入。无状态意味着没有攻击面，也不会因复制部署而产生差异。
• 无法辨别真实情况与意图。 intent 来自 Agent，是不可信输入。drift 会限制损害，但不会验证意图。

如果 Agent 同时控制 intent 和 amount，它可以在两者上撒谎。弥补这一缺口是 attest 的职责：attest 事后提供证明，drift 事前限制范围。两者相辅相成。

在你的 Agent 中使用

{
  "mcpServers": {
    "drift": { "url": "https://drift.rta.lat/mcp" }
  }
}

我们的 Agent 就是通过这段代码调用此服务的。工具：drift_check（单项操作）、drift_session（一系列操作）、drift_explain（六条规则及其存在的原因）。每天免费检查 100 次，之后通过 x402 按次收费 $0.005。

许可证

Apache-2.0。