Dự án nghiên cứu: GitCover.IdP
Sự công nhận của cơ quan chức năng
Dự án nghiên cứu "Git-native Compliance cho KMU: Phát triển thực nghiệm một hệ thống quản lý danh tính và tuân thủ tích hợp với hệ thống định danh phân loại (V7GUID)" đã được DLR Projektträger / BSFZ công nhận theo § 6 FZulG là một dự án nghiên cứu và phát triển đủ điều kiện nhận hỗ trợ.
| Thuộc tính | Giá trị |
|---|---|
| Số hiệu hồ sơ | 288-335-338/2026-1 |
| Quyết định (tích cực) | 22.04.2026 |
| Loại hình nghiên cứu | Phát triển thực nghiệm nội bộ doanh nghiệp |
| Thời hạn | 01.01.2025 - 31.12.2026 |
| Cơ quan cấp chứng nhận | BSFZ tại DLR Projektträger, Bonn |
Nội dung nghiên cứu
Nghiên cứu xem các Git-Repository dựa trên Gitea có thể phục vụ như Single Source of Truth (SSOT) cho một hệ thống quản lý danh tính và tuân thủ tích hợp dành cho KMU hay không.
Các giả thuyết cốt lõi
| ID | Giả thuyết | Rủi ro nghiên cứu |
|---|---|---|
| H1 | Các Git-Organization có thể biểu diễn OAuth2-Clients và Permissions và quản lý >1.000 người dùng | Chưa biết có triển khai tham chiếu nào cho >100k đối tượng |
| H2 | Chuỗi Policy-Compliance xuyên suốt: OPA-Rego -> OSCAL-Assessment-Results -> các bằng chứng | Phân quyền phân cấp trên Rego-Policies phẳng là phức tạp |
| H3 | Cấu trúc Git tất định với tư cách Containment-Vessel cho các tác nhân AI tự trị | Chưa có tiêu chuẩn đáng tin cậy nào cho AI Containment tất định |
Các đặc trưng về tính mới
| ID | Đặc trưng | Liên quan |
|---|---|---|
| N1 | V7GUID Dual-Identifier: Tích hợp Taxonomie vào UUIDv7 | Đơn đăng ký bằng sáng chế 10 2025 003 091.6 |
| N2 | AI Guard-Rails: Các chuỗi Git mật mã hóa để thuần hóa các tác nhân tự trị | GCUCB; khái niệm VPRM |
| N3 | Giao thức GCEP: Advisory Locks và ký Bundle cho Multi-Repo-Sync | Đơn đăng ký bằng sáng chế 10 2025 003 359.1 |
Các câu hỏi nghiên cứu F1-F5 của BSFZ (đạt chuẩn Frascati)
| # | Câu hỏi nghiên cứu | Sự bất định |
|---|---|---|
| F1 | V7GUID-Lookup O(1) với >10^6 đối tượng trong Shared Memory? | Xung đột Hash, hiệu ứng NUMA |
| F2 | NativeAOT-Code từ OSCAL/OPA-YAML có tương thích nhị phân với Memory-Layout? | Schema-Evolution |
| F3 | Bus có kiểu dữ liệu cải thiện chất lượng kết quả LLM so với JSON-Text? | Chưa tồn tại Benchmark nào |
| F4 | Cross-Container Shared Memory có tương thích với GoBD? | Tính khả biến vs. Audit |
| F5 | Mức tiêu thụ năng lượng trên mỗi Compliance-Workflow có thể giảm một cách đo lường được? | Thiếu các metrics |
Tầm quan trọng đối với GCBoK
Dự án nghiên cứu được BSFZ công nhận chứng minh tính mới về khoa học-kỹ thuật của kiến trúc lõi GitCover dưới góc nhìn của cơ quan chức năng và củng cố thẩm quyền chuẩn tắc của GCBoK:
- V7GUID với tư cách hệ thống định danh đã đăng ký bằng sáng chế (N1)
- GCEP/GCAL với tư cách cơ chế phối hợp Lock (N3)
- AI Guard-Rails thông qua các cấu trúc Git tất định (N2)
Sự xác nhận ba mặt này (đơn đăng ký bằng sáng chế + chứng nhận BSFZ + Gebrauchsmuster) là cơ sở thực nghiệm cho yêu cầu của GCBoK trong việc định vị như một thẩm quyền thuật ngữ chuẩn tắc.
Tầm quan trọng của MADR vượt ra ngoài GoBD
MADRs (Markdown Any Decision Records) trong GCBoK được duy trì chủ yếu với tư cách tài liệu quy trình tuân thủ GoBD (§ 146, § 147 AO). Tuy nhiên, nhận thức từ nghiên cứu & phát triển vào ngày 21.08.2026 cho thấy: MADRs không dành riêng cho GoBD. Trong nhiều bộ tiêu chuẩn và quy định liên quan, trạng thái quyết định và trạng thái kiểm soát được định nghĩa bằng các Enum riêng, đôi khi mâu thuẫn với nhau, hoặc bằng các giá trị kind cho "Status".
Vốn từ trạng thái trong OSCAL và các quy định
| Nguồn | Status-Enum / giá trị kind |
Ngữ cảnh |
|---|---|---|
OSCAL implementation-status |
implemented \| partial \| planned \| alternative \| not-applicable |
NIST SP 800-53 / 800-53A Control-Implementation |
| Danh mục NIST | operational \| under-development |
Control-State trong các danh mục |
| BSI IT-Grundschutz | entbehrlich \| bedingt entbehrlich \| umzusetzen \| erfüllt |
Yêu cầu Baustein |
| ISO 27001 Annex A | applicable \| not-applicable (+ Statement of Applicability) |
Kế hoạch biện pháp |
| DS-GVO | implemented \| planned (TOM-Status) |
Art. 32 Biện pháp kỹ thuật-tổ chức |
| ISO 15489 | active \| superseded \| deprecated |
Records-Lifecycle |
| PCI-DSS | in-place \| not-in-place \| not-applicable |
Control-Status |
Nhận thức: Bộ từ vựng obsolescence tại đây (
active | superseded | deprecated | obsolete | review_required) chỉ bao phủ duy nhất vòng đời post-active. Trạng thái trướcactive(chưa được quyết định, bị chặn, đang trong cân nhắc) chưa được ghi nhận ở bất kỳ đâu.
Vòng đời mở rộng (các trạng thái pre-active)
Để phản ánh các cân nhắc ("we need more information/funds/community to decide"), bộ từ vựng được bổ sung thêm bốn trạng thái pre-active:
needs_info / needs_funds /
needs_community / needs_decision"] D -->|nein| F[active] E -->|Blocker aufgelöst| F F --> G[review_required] G --> H[deprecated] H --> I["superseded / obsolete"]
| Trạng thái pre-active | Ý nghĩa |
|---|---|
planned |
Đã lập kế hoạch, chưa được xử lý |
in_consideration |
Đang cân nhắc / đang được xem xét chuyên môn |
decision_pending |
Đang chờ quyết định (ví dụ: đang chờ nghị quyết của GVB/FA) |
blocked |
Bị chặn; blocked_reason: needs_info \| needs_funds \| needs_community \| needs_decision |
Quy tắc Mapping cho GCBoK
Khi tiếp nhận các bộ từ vựng trạng thái bên ngoài (OSCAL, NIST, BSI, ISO, DS-GVO, PCI-DSS) vào hệ thống phân loại GCBoK, áp dụng:
- Các giá trị bên ngoài "planned/not-applicable/entbehrlich" → map sang
planned/in_consideration(pre-active). - Các giá trị bên ngoài "implemented/operational/erfüllt/in-place" → map sang
active. - Các giá trị bên ngoài "partial/under-development/bedingt entbehrlich" → map sang
decision_pendinghoặcreview_required(tùy mức độ trưởng thành). - Các giá trị bên ngoài "alternative/not-applicable" → tùy ngữ cảnh:
superseded(nếu bị thay thế) hoặcdeprecated(nếu bị loại bỏ).
Việc Mapping này đảm bảo khả năng kiểm toán theo GoBD (§ 147 Abs. 6 AO, truy cập Z3) mà không làm mất các vốn từ OSCAL-/quy định bên ngoài — một đóng góp trung tâm của nghiên cứu GCBoK cho tài liệu tuân thủ có khả năng liên thông.
Giai đoạn 2 - AI Safety Research (từ 2026)
Từ 2026, trọng tâm được mở rộng sang an toàn của các hạ tầng AI. Luận đề nghiên cứu: Các cấu trúc Git tất định (V7GUID) có thể đóng vai trò Guard Rails vật lý cho các tác nhân AI tự trị - thay cho các Prompt mang tính stochastic và có thể bị tiêm vào.
Phân định với dự án cũ
| Chiều kích | Dự án cũ (2025–2026) | Dự án mới (từ 2026/2027) |
|---|---|---|
| Đối tượng | Quản lý danh tính, IdP, PGP/V7GUID, khả năng xác minh dài hạn của GPG-Keyring, GoBD/DSGVO | Quản trị AI, Guardrails thay vì Prompts, MCP-Agent |
| Sự bất định kỹ thuật | Thao túng ngữ cảnh của danh tính | Tính tất định vs. tính stochastic của điều khiển AI; khả năng kháng Prompt-Injection qua Git-Gate |
| Baustein trong GCBoK | Lõi danh tính & tuân thủ | Tầng Tooling & Guardrail (GCUCB) |
| Khung tham chiếu | ISO/IEC 24773 | OWASP LLM Top 10, Harness Engineering, MCP |
Sự dịch chuyển nội dung từ chủ đề „Gitea làm IdP" sang „Git-Repos làm AI Guardrails thay vì Prompts" thông qua GCUCB đòi hỏi một chứng nhận BSFZ riêng biệt với tư cách một dự án nghiên cứu mới. Việc phân định ở cấp gói công việc đảm bảo rằng cả hai dự án vẫn được tách bạch rõ ràng và sự công nhận Forschungszulage không bị đe dọa.
Các câu hỏi nghiên cứu (Giai đoạn 2)
- Tính tất định vs. tính stochastic: Điều khiển một tác nhân AI thông qua một Git-Guardrail-Repo được phiên bản hóa có thể được nắm bắt một cách tất định đến mức nào, sao cho các sai lệch so với Policy được phát hiện tại thời điểm build (chứ không phải đến thời điểm prompt)?
- Khả năng kháng Prompt-Injection: Một tầng Guardrail Git-native (được ký, bất biến, được thực thi qua Git-Hook/OPA) bảo vệ đến mức nào trước „lethal trifecta" (dữ liệu riêng tư + untrusted content + Exfiltration)?
- MCP với tư cách Policy-Enforcement-Point: Một MCP-Server với tài nguyên UI và iframe-UI có thể hoạt động như một Policy-Gate, chỉ hiển thị các Tools/ngữ cảnh đã được phê duyệt (đã ký) hay không?
- Khả năng kiểm toán: Lịch sử Git-Commit của Guardrail-Repo có thể được sử dụng như một Audit-Trail tuân thủ GoBD cho các quyết định của AI hay không?
Lưu ý: Các hoạt động nghiên cứu và phát triển nguyên mẫu của AFJD (Axel Franz Johann Druschel) được thực hiện nội bộ doanh nghiệp ngoài giờ làm việc của GCC. IP thuộc về AFJD; GCC được chuyển giao quyền sử dụng trên cơ sở hợp đồng. Sự tách bạch này đảm bảo tính phi lợi nhuận của GCC (không có hoạt động kinh tế trá hình).
Xem thêm: Các đơn xin FZulG và kế hoạch tài chính trên GCC-Landingpage.