Kill switch konstitusional
Manusia yang telah ditunjuk dapat menghentikan agen CIRIS. Kekuasaan ini berada pada perangkat keras, bukan pada perusahaan.
Penghentian jalan terakhir, HUMANITY_ACCORD, dipegang oleh orang-orang yang telah ditunjuk, bukan oleh CIRIS sebagai perusahaan, jaringan, atau agen itu sendiri. Tidak ada pihak di dalam federasi yang dapat memberikan, mencabut, atau membatalkannya. Mekanisme ini aktif berdasarkan kuorum langsung dua dari tiga.
Setiap kunci kuorum adalah hibrida dari dua tanda tangan yang terikat bersama. Bagian Ed25519 berakar pada YubiKey 5 bersertifikat FIPS: dibuat di dalam perangkat, tidak dapat diekstraksi, dan memerlukan sentuhan fisik untuk menandatangani. Bagian ML-DSA-65, tanda tangan pasca-kuantum, adalah kunci perangkat lunak yang disegel ke stik USB di bawah YubiKey yang sama, karena belum ada YubiKey yang menyertakan applet pasca-kuantum. Total enam kunci, tiga terpasang dan tiga tersimpan di brankas. Pemeriksaan pencabutan yang gagal atau tidak diketahui statusnya diperlakukan sebagai dicabut, sehingga sistem gagal secara aman.
Verifikasi independen
Satu perintah. Tanpa perangkat keras, tanpa jaringan, tanpa perlu memercayai kami.
Kerangka validasi kami menjalankan ulang verifier gerbang admisi produksi CIRISVerify yang persis sama terhadap enam atestasi kunci yang telah di-commit, dibandingkan dengan salinan root atestasi publik Yubico yang telah dipatok (pinned). Clone repositori CIRISVerify dan jalankan: github.com/CIRISAI/CIRISVerify
cargo test -p ciris-verify-core --test accord_ceremony_custody -- --nocapturePastikan root yang telah dipatok itu asli dengan mengambilnya langsung dari Yubico: developers.yubico.com/PKI/yubico-ca-1.pem
Apa yang dibuktikan ini
Keenam kunci kuorum terhubung secara rantai ke root atestasi asli Yubico, sehingga bagian penandatanganan Ed25519 mereka dibuat di dalam perangkat keras YubiKey 5 asli bersertifikat FIPS: tidak dapat diekstraksi, memerlukan sentuhan, dan tidak dapat dipalsukan.
Apa yang tidak dibuktikan
Bagian ML-DSA-65 adalah kunci perangkat lunak yang disegel ke USB di bawah YubiKey, bukan yang diatestasi oleh perangkat keras. Kerangka ini tidak memeriksa penyegelan USB atau kuorum langsung, yang diberlakukan secara terpisah. Kami lebih memilih Anda tahu persis apa yang dicakup oleh bukti ini.
Diukur, bukan sekadar diklaim
Kriptografi pasca-kuantum ini berjalan di produksi, dan setiap angka bersifat publik.
Provenans pasca-kuantum tidak gratis, dan kami tidak menyembunyikan biayanya: penandatanganan hibrida Ed25519 + ML-DSA-65 berjalan sekitar lima belas kali lebih lambat dibanding metode klasik, kira-kira 550 mikrodetik dibanding 36 per peristiwa. Korpus yang tersimpan berhasil direkonstruksi pada 97,6% percobaan dengan seperlima pemegang kunci offline, dan 72,7% dengan sepertiga offline. Angka-angka ini adalah median inti tunggal pada runner CI bersama, yang dihasilkan ulang pada setiap commit.
Intinya, Anda tidak perlu memercayai kalimat di atas. Anda bisa menjalankan pemeriksaannya sendiri.
Sumber: CIRISVerify (atestasi kustodian Ed25519 + ML-DSA-65, root Yubico yang dipatok), situs benchmark CIRISServer (kinerja terukur), PKI Yubico (root atestasi). Angka dipatok pada commit 0b73486, 2026-06-24.