# NiyamAI: An Intent-Bound AI Agent with Cryptographically Verifiable Guardrails using Zero-Knowledge Proofs
> Ficha editorial pública de Research IA. Estado: Lectura primaria completa. La interpretación editorial no sustituye la fuente primaria.

- Página canónica: https://luiseduardodemiguel.com/research-ia/papers/niyamai
- Fuente primaria: https://arxiv.org/abs/2608.07167
- Versión leída: v1
- Fuente comprobada: 2026-08-20 · método, resultado y límites revisados; fuente primaria enlazada
- Autores: Aditya Katkar, Om Karkele, Kartik Mandhane, Manisha More y Yash Kashid
- Fecha del corte: 07 AGO 2026
- Área: SAFETY · POLÍTICAS · CRIPTOGRAFÍA
- Recurso MCP exacto: research://paper/niyamai

## Estado de uso de imagen

- Estado: NO REPRODUCIDA
- Decisión editorial: La ficha no incrusta una figura primaria porque su licencia o permiso específico no consta en el registro editorial. La fuente permanece enlazada para comprobarla.
- [Comprobar fuente primaria](https://arxiv.org/abs/2608.07167)

## Tesis y contexto

NiyamAI fija herramientas y restricciones al inicio de la sesión, intercepta cada llamada, obtiene el juicio de un componente aislado y exige verificar una prueba zk-SNARK antes de ejecutar.

- Problema: Los filtros y system prompts operan en el mismo entorno que queremos proteger y no dejan una prueba independiente de que la política se aplicó.
- Por qué importa: La arquitectura encaja con agentes que ejecutan pagos, comandos o cambios regulados, aunque el coste de generar una prueba obliga a reservarla para acciones críticas.

## Evidencia reportada

- **reported-result**: NiyamAI reporta F1 88,5% y 1,1% de falsos positivos; generar una prueba cuesta 2.260,6 ± 218,4 ms y verificarla 53,1 ± 11,8 ms. [localizador](https://arxiv.org/html/2608.07167v1#S4)

## Lectura y límite

- Método: Crea un Intent Contract con herramientas y restricciones, pasa cada acción a un Judge aislado y exige verificar un zk-SNARK generado con EZKL antes de ejecutar.
- Límite: La prueba verifica que el Judge aplicó su clasificación al contrato, no que el Judge o el contrato sean correctos ni que el LLM completo esté alineado; el coste de generación limita el uso a acciones críticas.
- Confianza editorial: Media
- Limitación: Agent-SafetyBench es un benchmark de 2.000 escenarios; el F1 agregado puede ocultar fallos críticos con consecuencias muy distintas.
- Limitación: Los tiempos de generar y verificar pruebas dependen del hardware y del verificador, y no muestran por sí solos que la política de seguridad sea completa.

## Base de la confianza editorial

> Juicio editorial sobre la transferibilidad de esta lectura; no mide calidad académica ni efecto local.

| Criterio | Estado | Base observable |
|---|---|---|
| FUENTE PRIMARIA | DOCUMENTADO | Lectura primaria completa registrada sobre v1; comprobación: 2026-08-20 · método, resultado y límites revisados; fuente primaria enlazada. |
| RÉPLICA LOCAL | PENDIENTE | No se ha registrado una réplica independiente en este sitio. El código o los datos enlazados, cuando existen, no cuentan como réplica. |
| LÍMITES | DOCUMENTADO | 3 límites declarados en la ficha. |
| APLICABILIDAD | ACOTADO | Hay una prueba de transferencia con entrada, métrica y parada; su resultado local todavía no se ha observado. |

- Regla editorial: Los criterios no se promedian automáticamente. Una fuente leída, un límite claro o un protocolo propuesto no equivalen a una réplica ni a un resultado local.

## Localizadores de evidencia
- [Fuente primaria · canonical](https://arxiv.org/abs/2608.07167): tipo abstract
- [Intent Contract y límites · PDF](https://arxiv.org/pdf/2608.07167): tipo section
- [Resultados · §4](https://arxiv.org/html/2608.07167v1#S4): tipo section
- [HTML · fuente navegable](https://arxiv.org/html/2608.07167): tipo abstract

## Próxima prueba

- ¿La verificación basada en contratos reduce fallos críticos sin bloquear acciones benignas en un conjunto de amenazas ponderado por severidad?
- Métrica: Recall de fallos críticos, falsos positivos, latencia de generación/verificación y cobertura de reglas.
- Regla de parada: Parar si se omite más de 1% de los casos críticos o si los falsos positivos superan 2%.

## Recursos reproducibles
- [HTML · fuente navegable](https://arxiv.org/html/2608.07167v1)
- [PDF · protocolo y límites](https://arxiv.org/pdf/2608.07167)

## Enlaces relacionados

- [ElasticBack](https://luiseduardodemiguel.com/research-ia/markdown/papers/elasticback)
- [SkillSentry](https://luiseduardodemiguel.com/research-ia/markdown/papers/skillsentry)
- [MNC](https://luiseduardodemiguel.com/research-ia/markdown/papers/mnc)