Linux Foundation startet Agent Name Service für die Identität von KI-Agenten

Die Linux Foundation gab bekannt, dass Agent Name Service (ANS) am 10. November 2026 offiziell als Stiftungsprojekt gestartet ist. Der Dienst bietet KI-Agenten eine an Domains gebundene Identität sowie Möglichkeiten zur Erkennung und Authentifizierung – auf Grundlage einer offenen Spezifikation und quelloffener Werkzeuge.

ANS soll es einem System ermöglichen, festzustellen, mit welchem registrierten Agenten es zu tun hat, bevor es seine eigene Sicherheitsrichtlinie anwendet. Der Dienst verknüpft einen versionierten Namen mit einer vom Betreiber des Agenten kontrollierten Domain, nutzt das Domain Name System (DNS), um Informationen zur Erkennung zu veröffentlichen, und hält signierte Ereignisse im Lebenszyklus in einem Transparenzprotokoll fest. Dieser Ansatz nutzt die bestehende Internetinfrastruktur weiter, anstatt ein einziges proprietäres Agentenregister vorauszusetzen.

Mit dem Start wird die Absichtserklärung der Stiftung vom 23. Juni 2026 in ein verwaltetes Projekt überführt. Nach Angaben der Stiftung haben seitdem 11 Organisationen zu ANS beigetragen oder den Dienst übernommen: Cisco, Cloudflare, DigiCert, DistributedApps.ai, GoDaddy, HOL, Infoblox, Radix, Salesforce, OWASP und Trustmodel.ai.

So funktionieren Registrierung und Authentifizierung bei ANS

Die siebenschichtige Spezifikation umfasst Identität, Registrierung, versionierte Namensgebung, DNS-Veröffentlichung, Transparenz, Integritätsüberwachung und die Authentifizierung von Agenten. Ein ANS-Name verknüpft eine Version mit einer Domain, zum Beispiel ans://v1.0.0.payments.example.com; für eine neue Version ist eine neue Registrierung erforderlich.

Bei der Registrierung übermittelt der Betreiber den Host des Agenten, die Version, die Endpunkte und das Zertifikatsmaterial an eine Registrierungsstelle, die die Kontrolle über die Domain und die erforderlichen Nachweise überprüft. Der Betreiber veröffentlicht die zurückgegebenen DNS-Einträge, die die Registrierungsstelle vor der Aktivierung prüft. Anschließend signiert sie das Lebenszyklusereignis und lässt es vom Transparenzprotokoll versiegeln. So entstehen öffentliche Belege, die die Registrierung mit den autorisierten Zertifikaten verknüpfen.

Peers verwenden ein unterstütztes Erkennungsprofil, um Endpunkte und den gemeinsam genutzten _ans-badge Eintrag für den Zugriff auf Transparenznachweise zu finden. Die Erkennung allein authentifiziert den Aufrufer nicht. Für die Authentifizierung sind drei Prüfungen erforderlich: Das Zertifikat ist an die registrierte Identität gebunden, die Registrierung ist weiterhin gültig und der Aufrufer besitzt den zugehörigen privaten Schlüssel.

Der Authentifizierungsentwurf ANS-6 räumt gegenseitigem TLS (mTLS) und dem anwendungsschichtbasierten Demonstrating Proof of Possession (DPoP) den gleichen Stellenwert ein. mTLS eignet sich für eine durchgängige TLS-Verbindung, während DPoP einen einmalig verwendbaren Nachweis an eine HTTP-Anfrage bindet und auch über Gateways hinweg funktionieren kann, die TLS beenden. Eine Prüfstelle der Badge-Stufe fragt das Transparenzprotokoll nach aktuellen Nachweisen ab; die SCITT-Stufe überprüft einen Beleg und ein Status-Token lokal, ohne für jede Anfrage Netzwerkaufrufe durchzuführen. DPoP setzt die SCITT-Bindung voraus.

Software und erste Interoperabilität

Zur verfügbaren Software gehören eine Go-Referenzimplementierung der Registrierungsstelle, des Transparenzprotokolls und eines Offline-Prüfers sowie SDKs für Go, Rust und Java mit unterschiedlichen APIs und Funktionsumfängen. Das ans-cli Werkzeug unterstützt Registrierung, Erkennung, Zertifikatsverwaltung und Abfragen des Transparenzprotokolls unter macOS, Linux und Windows. Die lokale Schnellstartanleitung verwendet Entwicklungsschlüssel und einen noop DNS-Prüfer. Ein erfolgreich bestandener Belegtest überprüft daher weder öffentliches DNS noch die Ausstellung von Produktionszertifikaten oder eine Live-Bereitstellung.

Zur Interoperabilität berichtet die Linux Foundation, dass der Agent Directory Service von AGNTCY die Überprüfung von ANS-Identitäten unterstützt und ANS Finder Agentic Resource Discovery (ARD) implementiert und die Konformitätstests für dessen Register besteht. Die eigene Spezifikation von ARD befasst sich mit der Erkennung vor dem Aufruf, nicht mit der Ausführung, und ermöglicht zahlreiche Erkennungsdienste mit unterschiedlichen Vertrauens-, Rangordnungs- und Zugriffsrichtlinien, statt einen zentralen Katalog vorzuschreiben. Die Arbeit verknüpft überprüfbare Identitätsnachweise mit der Erkennung, ohne ein universelles Agentenverzeichnis zu schaffen.

Entwurfsspezifikationen und Sicherheitsgrenzen

Der erste technische Lenkungsausschuss hat fünf stimmberechtigte Mitglieder: Scott Courtney, Keith Perry und Connor Snitker von GoDaddy, Ken Huang von DistributedApps.AI sowie Michael Kantor von Hashgraph Online. Er legt die technische Ausrichtung fest, während die Betreuer der Repositories Änderungen prüfen, Releases verwalten und Sicherheitsmeldungen bearbeiten. Obwohl die Ankündigung zum Start die Spezifikation als formalisiert bezeichnet, sind die veröffentlichten Spezifikationen laut Projektdokumentation Entwürfe, die aktiv weiterentwickelt werden; ANS-6 ist als DRAFT v1.0, Version 0.2.0, vom 3. November 2026 gekennzeichnet.

Das Sicherheitsmodell stellt die Identität fest, nicht die Berechtigungen. Autorisierung, Delegation entlang einer Aufrufkette und Vertrauensbewertung fallen nicht unter ANS-6; jede Anwendung entscheidet daher selbst, was ein authentifizierter Agent tun darf. Versiegelte Metadaten-Digests belegen weder, welcher Code auf einem entfernten Rechner ausgeführt wird, noch garantieren sie das Verhalten des Agenten. Clients benötigen außerdem vertrauenswürdige Protokollschlüssel, eine korrekte Prüfung von Signaturen und Nachweisen, Aktualitätsprüfungen und eine Richtlinie für Fehlerfälle. Öffentliche Badges, Belege und Status-Token können ebenfalls wiederholt abgespielt werden, wenn ein Prüfer die Besitzprüfung auslässt.

Ein Beleg weist den Verlauf des Protokolls nach, nicht aber die aktuelle Gültigkeit. Da er auch nach dem Widerruf eines Agenten weiterhin verifiziert werden kann, muss er mit einer aktuellen Statusprüfung kombiniert werden. Auch der Reifegrad der Integrationen variiert. Die Arbeit an NVIDIA OpenShell ist als Forschungsvorschau gekennzeichnet, und die Prüfungen bei der Zielregistrierung setzen keine ANS-6-Bindung an das tatsächliche TLS-Peer-Zertifikat um.

ANS verfügt nun über eine Governance durch eine Foundation, veröffentlichte Entwürfe und Referenzimplementierungen. Der praktische Sicherheitsnutzen hängt davon ab, dass die Bereitstellungen Identität, aktuellen Status und den Besitz des Schlüssels gemeinsam durchsetzen und zugleich Autorisierung sowie Einschätzungen zum Verhalten des Agenten außerhalb der Identitätsaussage belassen.