Yazar: CoinW Araştırmalar Enstitüsü
Özet
DeFi, hesap soyutlaması ve AI ajanları gibi uygulamaların gelişmesiyle birlikte, zincir üzerinde yetki verme, tek seferlik imza onaylarından, uzun süre geçerli olup tekrar tekrar kullanılabilen bir yürütme yetkisine doğru evrilmektedir. Aynı zamanda yeni değişimler de meydana gelmektedir: AI ajanları artık hizmetleri otomatik olarak talep etme ve ödemeleri otomatik olarak tamamlama yeteneğine sahip hale gelmiştir. Örneğin x402 protokolü, HTTP 402 durum kodu ile ajanların, insan müdahalesi olmadan sabit para birimleriyle kaynaklar ve hizmetler için anında ödeme yapmasına olanak tanımaktadır. Bu, zincir üzerindeki davranışların artık izole edilmiş işlemler olmaktan çıkalım, sürekli çalışan otomatik iş birliği süreçlerine dönüştüğünü sağlamaktadır.
Bu bağlamda yetki sorunu daha da büyüdü. Mevcut Web3 sisteminde yetki verme yolları hâlâ belirsiz sınırlara ve ham ifadelere sahip olup, sıklıkla varlıkların kullanılabilir olup olamayacağı sorusunu çözebiliyor ancak neyin ne kadar yapılmasına izin verildiğine dair net bir cevap veremiyor. ERC-8004 tam da bu bağlamda ortaya kondu. Yeni bir varlık tanımlamıyor ve neyin ne şekilde işlem veya ödeme olarak yürütüleceğini değiştirmez. Zincir üzerindeki davranışlar için sistemin anlayabileceği ve doğrulayabileceği bir izin modeli oluşturmayı amaçlamaktadır. Yetki verme kendi başına tanımlanabilir, kısıtlanabilir ve yönetilebilir bir nesne haline gelir.
ERC-8004'ün, x402 gibi otomatik ödeme protokolleri ve hesap soyutlaması ile rekabet etmekten ziyade, daha büyük bir sistem perspektifinden farklı katmanlarda iş bölümü yapması açısından bakıldığında, x402, eylemin ardından değer alışverişini çözerken, ERC-8004, eylemin öncesinde kimin eylemde bulunmasına izin verildiğini ve yetkilerin aşılıp aşılmadığını ele alır. DeFi, AI Agent'lar ve işletmeler ile RWA gibi senaryolarda, bu yetki öncesi, ödeme sonrası yapısı, yetkiyi varlık seviyesinden eylem seviyesine taşıyarak daha karmaşık ve uzun vadeli otomatik iş birliği yapılmasına kontrollü bir temel sunma potansiyeline sahiptir. Öğrenme maliyeti, cüzdan desteği ve kullanıcı deneyimi gibi gerçek zorluklara rağmen, ERC-8004 kısa vadeli bir anlatım aracı değil, Web3'ün karmaşık sistemlerin çalıştırılmasına dayanıp dayanmayacağını belirleyen temel bir standarttır.
1.ERC-8004 önerisinin sebebi
Zincir üzerindeki altyapı sürekli gelişirken, varlıkların zincir üzerine alınması ve işlem yürütmesiyle ilgili yetenekler sürekli soyutlandırılıyor ve güçlendiriliyor. ERC-20, NFT'ler, çok imzalı cüzdanlardan hesap soyutlamasına (ERC-4337) kadar, kullanıcıların zincir üzerindeki etkinliklere katılması için gerekli olan eşiğin sürekli düşürüldüğü ve hesapların kendileri de giderek daha akıllı hale geldiği görülüyor.
Ancak bu süreçte temel bir sorun sistematik olarak çözülememiştir: yetkilendirme mekanizması kendisi pek değişmemiştir. Erken Web3 döneminde, yetkilendirme bir kez özel anahtar imzalamayı ifade ederdi. Kullanıcılar imzayla "onaylıyorum" demektedir. Para transferi, sözleşme çağrısı ya da onay işlemi ne olursa olsun, yetkilendirme tek seferlik onay eylemi olarak görülürdü ve risk sınırları tamamen kullanıcıya aittir.
Ancak zincir üzerindeki ortam bugünlerde değişti. DeFi senaryolarında, onaylar genellikle uzun süre geçerli kalıyor; otomatikleştirme stratejileri ve Session Key sistemi altında, yetkilendirme tekrar tekrar kullanılıyor; AI Agent'lar veya Bot'lar işlem yürüttüğü modellerde, kullanıcılar artık her işlemde doğrudan katılmıyor. Yetkilendirme, tek seferlik onaylardan, sürekli bir yürütme yetkisine doğru evriliyor, sanki bir şeyi yapma yetkisini bir süreliğine devrediyor gibime.
Sorun şu ki, mevcut Web3 altyapısı, bu uzun vadeli yetki verme durumları için net ve tutarlı bir kısıtlama yöntemi sunmamaktadır. Yetki kapsamı belirsizdir, yetkiler geri almak zordur ve riskler öngörülemez olup, bu da birçok güvenlik olayının kaynağını oluşturmaktadır. Aynı zamanda, hesap soyutlaması bu çelişkiyi daha da artırmaktadır: Hesaplar işlemi otomatik olarak gerçekleştirebilir, üçüncü taraflar Gas ücretini ödeyebilirken, hesapların ne yapabileceği ve ne yapamayacağı daha da belirsiz hale gelmektedir.
ERC-8004 tam olarak bu bağlamda ortaya konmuştur. Web3’te uzun süredir eksik olan bir parçayı tamamlamayı hedeflemektedir: yetki kavramı için açık, kısıtlayıcı ve sistemin anlayabileceği bir izin modeli kurmak.
2.ERC-8004'ün temel içeriği
ERC-8004'ün giriş noktası varlık biçimindeki veya işlem yürütme yöntemine değil, yetkilerin ayrı ayrı tanımlanabilir, bağımsız olarak doğrulanabilir ve sistemin seviyesinde sürekli yönetilebilir olmasına dayanmaktadır.
2.1 ERC-8004 neyi tanımlar?
Ethereum Improvement Proposals (EIP) resmi web sitesine göre; ERC-8004, Ethereum üzerinde güvenilir otomatik ajanların (autonomous agents) keşfi, seçimi ve etkileşimi için kullanılan bir standart protokoldür. Zincir üzerindeki kayıt, ün ve doğrulama mekanizmaları sayesinde önceden güven gerektirmeyen merkezsiz etkileşimlerin ajan altyapısını oluşturur.
Buradaki otonom ajanlar sadece AI Ajan'ı kapsamaz, bunun yerine herhangi bir yetki verilebilen, bağımsız olarak eylem gösterebilen varlık olan sözleşmeler, otomatikleşmiş betikler, çok imzalı sistemler veya hizmet süreçlerini ifade eder. ERC-8004, uygulama varlıklarının belirli yetki ve yetki sınırlarına sahip olup olmamasına odaklanır, AI Ajan sadece tipik bir uygulama örneğidir.
ERC-8004, genel bir bakış açısıyla yeni bir varlık standardı veya hesap türü değil, bir zincir üzerinde yetki ifade etme ve doğrulama çerçevesidir. Bu, bir varlığın hangi koşullar altında hangi işlemleri yapmasına izin verildiğini tanımlar ve işlem öncesi doğrulamaları sağlar. Bu nedenle, ERC-8004 "para neyin bir parçasıdır" ya da "işlemler nasıl yürütülür" gibi sorulara değil, "hangi eylemlerin izin verildiği"ne odaklanır. Yeni varlıklar oluşturmadan veya mevcut varlıkların özelliklerini değiştirmeden, varlıklar ve hesaplar üzerine net ve doğrulanabilir izin kuralları katmanı ekler.
Ayrıca ERC-8004, hesap soyutlaması (ERC-4337) ile değiştirilebilir değildir. Hesap soyutlaması, işlemlerin nasıl yürütüleceğine odaklanırken, ERC-8004 işlem öncesi yetki değerlendirmesini çözmektedir. Hesap soyutlaması hesapları daha esnek hale getirirken, ERC-8004 bu esneklik için açık sınırlar belirler.
ERC-8004'ün özü, imzada gizli olan yetkileri, açıkça tanımlanabilir, bağımsız olarak doğrulanabilir ve sürekli yönetilebilir izin nesnelerine dönüştürmektir.
2.2 ERC-8004'in Çekirdek Mekanizma Çerçevesi
ERC-8004'ün temel mekanizmasını anlamak için karmaşık teknik uygulamalardan uzak durarak, bunu bir "zincir üzerinde izin talimatı" olarak düşünebilirsiniz. Geleneksel yetkilendirme mantığında, kullanıcılar genellikle belirsiz bir karar verirler: "Varlıklarım üzerinde işlem yapmanı kabul ediyorum." Ne yapılacağı, ne kadar yapılacağı ve ne kadar süreyle yapılacağı konusunda sistem bu ayrıntıları ayırt etmez. Ancak ERC-8004 çerçevesinde, bir yetkilendirme artık belirsiz bir kabul değil, sistemin zorla uyguladığı ve açıkça tanımlanabilen kurallar kümesine ayrıştırılır. Bu "izin talimatı", genellikle aşağıdaki beş temel bilgiyi içerir.
Yetkili Kişi (Kim): Kimin izniyle?
İlk olarak, kimin yürütme izni alacağı belirlenmelidir. ERC-8004'te, yetki verilen nesne artık sabit bir cüzdan adresinden ibaret değildir; bunun yerine sözleşmeler, otomatik ajanlar ve kısa vadeli işlemler için kullanılan Session Key bile olabilir. Bu, yetki vermenin daha karmaşık senaryolara uyarlanmasına olanak tanır; örneğin, belirli bir kapsamda işlem yürüten bir strateji sözleşmesine izin verilebilir ya da ajanın tekrar tekrar imzalama yapmadan belirli görevleri tamamlaması sağlanabilir. Önemli olan, izinlerin her zaman "belirli bir varlık"a verilmesi ve bulanık bir şekilde devredilmemesidir.
İşlenebilir Eylem (What): Ne tür işlemleri yapmaya izin verir?
İkinci olarak, hangi eylemlerin yapılması izinli olur. Geleneksel yetkilendirme genellikle tümü ya da hiçbir şey şeklindedir; yetki verildiğinde, sözleşmenin yetki alanındaki serbest çağrı yapmasına izin verilir. ERC-8004 tasarımı içinde ise yetki, belirli eylem türlerine kadar hassas hale getirilebilir, örneğin sadece swap ve transfer işlemleri veya belirli bir fonksiyon çağrısı türüne izin verilebilir; tüm olası işlemler için varsayılan olarak izin vermek yerine. ERC-8004, kullanılabilecek olup olamayacağı değil, hangi aşamaya kadar kullanılacağı sorusunu yanıtlar.
Kısıtlamalar (Ne koşullarda): Ne koşullarda uygulanabilir?
Bu, ERC-8004'ün geleneksel onaylardan farklılaştığı kritik bir noktasıdır. Yetki belgelerinde, onaylar genellikle belirli sınırlamalarla birlikte verilir, örneğin: tek seferlik veya toplam tutar sınırları; uygulama sıklığı veya kez sayısı sınırlamaları; sadece belirli protokollere, havuzlara veya sözleşmeye uygulanabilir gibi. Bu koşullar, geriye dönük izleme kuralları değil, işlem öncesi karşılanması gereken ön koşullardır. Koşullar sağlanmazsa işlem kendisi gerçekleştirilemez.
Geçerlilik ve Geçersizlik Kuralları (When): Yetkiler ne zaman geçerli olur, ne zaman sona erer?
ERC-8004, açık zaman ve yaşam döngüsü kavramlarını da tanıtmaktadır. İzinler şu şekilde ayarlanabilir: (a) sadece belirli bir zaman diliminde geçerli olur; (b) bir kez kullanıldıktan sonra otomatik olarak geçersiz hale gelir; (c) her an iptal edilebilir. Bu, yetki vermenin uzun vadeli ve geri alınamaz bir yük olmaktan çıkıp, ince ayar yapılarak yönetilebilir bir geçici yetki hâline geldiğini gösterir.
Doğrulama Yöntemi (How enforced): Kurallar nasıl gerçekten uygulanır?
Son olarak ve en çok ihmal edilen nokta: Bu kurallar nasıl uygulanmaktadır. ERC-8004'ün temel fikri, işlem gerçekleşmeden önce izin doğrulamasını yapmaktır. Eğer bir eylem önceden tanımlanmış izin kurallarına uymuyorsa, sistem doğrudan işlemi reddeder ve sorumluluğu daha sonra değil, problem meydana geldikten sonra değil, problem meydana gelmeden önce reddeder. Bu da ERC-8004'ün geleneksel risk kontrolü mantığıyla temel farkıdır.
2.3 ERC-8004 Yeni Yetenek Türleri: Neden Önce Yapılamadı?
ERC-8004, sadece onayları daha ince hale getirmek gibi görünse de, erken Ethereum onay modeli aslında karmaşık onay mantıklarını ifade edemezdi. Geleneksel onaylar sadece bir adresin işlem yapılıp yapılamayacağını kontrol ederdi, onay verildikten sonra ne yapılacağı, ne kadar yapılacağı ve ne zaman yapılacağı sistemin farkında olamazdı.
ERC-8004'ün temel kırılımı, yetkiyi "kimlik değerlendirmesi"nden "davranış değerlendirmesi"ne yükseltmektir. Sistem, bir işlemi sadece kimin başlattığına değil, aynı zamanda kullanıcı tarafından belirlenen yetki sınırlarına uygun olup olmadığına karar verir. Bu, yetkiyi doğrudan miktar, sıklık, kapsam ve geçerlilik süresi gibi koşullar içerir hale getirir ve kullanıcıların geriye dönük olarak iptal etmesine veya manuel izleme yapmasına gerek kalmaz.
Yetki mantığı yapılandırıldığında, ilk kez birleştirilebilir ve yeniden kullanılabilir hale gelir. Çok adımlı, protokol arası işlemler, yürütme sırasında geçici olarak değil, yetki aşamasında açıkça sınırlandırılabilir. Bu nedenle, ERC-8004 gerçekten Agent senaryoları için alan açar. Otomasyonlar artık "sonsuz yetki"ye ihtiyaç duymaz ve açıkça doğrulanabilir davranışların sınırlarına çekilir, sınırları aşanlar yürütülmez.
ERC-8004’te eklenen şey sadece "daha güvenli yetkilendirme" değil, sistemin anlayabileceği ve yürütebileceği yetkilendirme mantığıdır. Bu, geleneksel yetkilendirme mekanizmalarından özgün farkıdır.
3.ERC-8004'ün potansiyel uygulama alanları
ERC-8004, belirli bir ürün için tasarlanmış bir standart değil, daha çok yetki verme kapasitesini ifade eden genel bir dildir. Bu nedenle, uygulama değeri, tek bir senaryoda ani bir patlamayla değil, yetki karmaşıklaştıkça birden fazla sistemin aynı türdeki kapasiteye ortak ihtiyaç duymasıyla ortaya çıkar.
DeFi: "Varlık Seviyesinde Yetki Devretme" dan "Eylem Seviyesinde Yetki Devretme" ye
Mevcut DeFi sisteminde en yaygın yetki verme yöntemi hâlâ "tek seferlik onay, sınırsız miktar"tır. Örneğin kullanıcı, bir swap, kredi alma veya vadeye yatırma işlemi yapmak için önce sözleşmeyi onaylamak zorundadır. Bu aslında varlıkların kontrolünü tamamen devretmektir. Kullanım açısından oldukça verimlidir, ancak riskler de açıktır: Sözleşme bir kez yükseltildiğinde, saldırıya uğradığında veya kullanıcıların beklemediği mantıkta kullanıldığında, yetki verme işlemi kendisi bir risk artıran faktör olur. ERC-8004'te yetki verme hedefi artık varlıklar değil, belirli eylemlerdir. Örneğin kullanıcı şu şekilde bir talepte bulunabilir: "Ben bu sözleşmenin USDC'lerimi sınırsız kullanmasına izin vermiyorum; bunun yerine ona 24 saat boyunca 1.000 USDC'den fazla kullanmadan tek bir swap işlemi yapmasına izin veriyorum." Bazı projeler yetki verme kapsamını ve süresini sınırlamaya çalışsa da şu anda çoğu kendi başına hareket etmektedir. ERC-8004'ün değeri, eylem seviyesindeki yetki vermeyi standartlaştırmak, yeniden kullanılabilir ve birleştirilebilir izin yönetimi sağlamaktır. Bu da risk kontrolünü temelde artıracaktır.
AI Ajanı: Otomasyonlu yürütme için doğrulanabilir izin sınırları sağlar
AI Ajan'ların zincir üzerindeki karar alma ve uygulama süreçlerine katılmasıyla birlikte, yetki sorunu bir seviye daha arttı. Ajan'ların değeri sürekli çalışma ve otomatik yürütmede, ancak bu aynı zamanda uzun süreli bir işlem yetkisine sahip olmaları anlamına da gelir. Eğer açık bir yetki sınırı yoksa, söz konusu Ajan, aslında kullanıcı tarafından tamamen kontrol edilen sadece bir otomasyon programından ibarettir ve risk "akıllı" olma nedeniyle azalmaz. ERC-8004, Ajan'lar için sistemin kendisinde doğrulanabilir bir yetki sınırı sunar. Ajan'ın hangi işlemleri gerçekleştirmeye yetkili olduğu, hangi sınırlar içinde hareket ettiği, zaman sınırlaması olup olmadığı gibi kurallar, uygulamadan önce doğrulanabilir ve sonrasında izlemeye dayalı olmaz. Yalnızca yetki kendisi yapılandırılmış ve doğrulanabilir olduğunda, otomatik yürütme güvenilir bir temele sahip olur.
x402 Protokolü ile iş birliği: Ajanın davranışlarını "yetkilendirilebilir ve hesaplanabilir" hale getirme
Agent senaryolarında yetkilendirme dışında bir diğer kritik problem, izin verilen eylemler sonrasında değerlerin nasıl takas edileceğidir. Bazı uygulama katmanı protokolleri bu problemi çözmeye çalışıyor. Örneğin x402 protokolü, HTTP 402 (Ödeme Gerekli) durum kodunu yeniden etkinleştirerek, Agent'ların kaynak veya hizmet talep ederken otomatik olarak kararlı para ödemesini yapmasına olanak tanıyor. Bu mimaride, ERC-8004 ve x402 farklı katmanlarda yer almasına rağmen birbirini tamamlayan bir ilişki kuruyor. ERC-8004, "kimin ne yapabileceğini ve izin verilip verilmediğini" odaklayarak eylemler için izin ve güven sınırları oluştururken, x402 ise "eylem gerçekleştiğinde ödeme ve takasın nasıl yapılacağı" sorusunu çözüyor. İlki ikincisine bağlı olmadan çalışabilir, ikincisi de ERC-8004'e dayanmaz. Ancak Agent ekonomisinde ikisi sırasıyla izin katmanı ve ödeme katmanı rollerini üstleniyor. Bu katmanlı iş birliği, Agent'ların insan müdahalesi olmadan izin doğrulamasından değer takasına kadar tam süreci gerçekleştirebilmesine olanak tanıyarak, kimlik, yetkilendirme ve ödeme mantığının aynı sistemin içinde karmaşık hale gelmesini önleyebilir. Agent'ların içerik elde etme, veri çağırma ve işlem gücü hizmeti gibi senaryolarda daha da aktif hale gelmesiyle, bu tür kombinasyonların ölçeklenebilir temel mimarilik formları haline gelmesi umulmaktadır.
İşletmeler ve RWA Senaryosu: Yetki, Uygunluk İçin Temel İfade Olarak
İş uygulamaları ve RWA senaryolarında ERC-8004'ün değeri daha çok uyumluluk ve açıklıkta yer alır. Gerçek dünyadaki varlık yönetimi, genellikle şu net soruya yanıt vermeyi gerektirir: Kim, hangi koşullar altında hangi eylemleri yetkili olarak gerçekleştirdi. Varlıkların zincirin içine alınmasıyla değil, yetkilerin nasıl tanımlandığı ve kaydedildiği, gerçek finansal sisteme girişin kritik noktasıdır. ERC-8004 doğrudan uyumluluk sorunlarını çözmez, ancak yetkilerin yapılandırılmış ifade edilmesine alt yapı desteği sunar, bu da yetkilendirmenin doğası itibariyle denetlenebilir, izlenebilir ve doğrulanabilir hale gelmesini sağlar. Bu yetenek kullanıcı deneyimini hemen değiştirmese de, Web3 sistemleri ile geleneksel organizasyonlar arasındaki entegrasyon maliyetini önemli ölçüde azaltabilir.
Bu potansiyel uygulamalardan da görülebileceği gibi, ERC-8004 bir "senaryo-göreli" standart değil, yetki karmaşıklığı arttıkça doğal olarak ortaya çıkan temel bir yetenek. Zincir üzerindeki davranışlar, tek seferlik işlemlerden sürekli çalışan sistem davranışlarına evrildiğinde, net ve doğrulanabilir bir izin ifade yöntemi, neredeyse kaçınılmaz bir seçim haline gelir.
4.ERC-8004'in Zorlukları ve Uzun Vadeli Değeri
Gerçekçi zorluklar
İlk olarak öğrenme maliyeti. ERC-8004, yetki verme işlemi için daha ince ayrıntılı bir yetki tanımlama mantığı getirirken, yetkileri tek bir tıklamayla sona erdirmekten farklıdır. Hem geliştiriciler hem de kullanıcılar, sistemin yetki verme anlamını yeniden kavramaları gerekir. Bu tür bilişsel maliyetlerin piyasada tamamen emilmesi zaman alacaktır. İkinci olarak cüzdan ve altyapı desteği. ERC-8004'in kapasitesi, cüzdanların, SDK'ların ve yürütme ortamlarının anlayıp iş birliği yapmaları şartıyla gerçekten etkili olabilir. Erken aşamada, bu daha çok kullanıma hazır ancak evrensel olmayan bir kapasite gibi görünür ve hemen ölçeklenebilir bir etki yaratmak zordur. Son olarak kullanıcı deneyimi. Kullanıcılara doğrudan karmaşık yetkiler sunulursa, sadece işlem yükünü artırır. Yapısallaştırılmış ve makine tarafından doğrulanabilir bir dizi izin kuralını, kullanıcıların sezgisel olarak anlayabileceği ve kabul etmeye istekli olabileceği etkileşimli bir yola dönüştürmek, ERC-8004'in büyük ölçekte uygulanabilir olup olmayacağını doğrudan belirleyecektir.
ERC-4008 hemen değil, bir sonraki aşamayı çözmektedir.
Bu gerçek engeller nedeniyle ERC-8004'ün kısa vadeli bir anlatım aracı olarak uygun olmaması gerekir. Kullanıcı sayısında ani bir patlamaya neden olmayacak ve doğrudan yeni gelir modellerini doğurmayacaktır. ERC-8004, dünyayı daha hızlı hale getirmeye çalışmaz, karmaşık hale gelmesine rağmen sistemin hâlâ kontrol edilebilir, açıklanabilir ve doğrulanabilir olmasına odaklanır. Değeri, işlev sayısında değil, gelecekteki otomasyon, ajan işbirliği ve kurum katılımına yönelik sürdürülebilir bir yetki temeli bırakıp bırakmadığında yatar. Bu anlamda ERC-8004, belirli bir döngü turu için değil, Web3'ün karmaşık işbirliği ilişkilerini taşıyabilip taşıyamayacağını belirleyen alt yapı kapasitelerinden biridir.