Technisches Resümee: CAGE (Certified Authorization under Typed-Return Uncertainty)

1. Problemstellung

Das Paper adressiert eine kritische Schwachstelle in werkzeugnutzenden Large Language Model (LLM) Agenten. Während die eingesetzten Agenten-Harnesses zunehmend Laufzeit-Berechtigungsgates zur Autorisierung von Tool-Aufrufen verwenden, evaluieren diese Gates typischerweise den beobachteten Tool-Rückgabewert und die vorgeschlagene Aktion zu einem einzigen Zeitpunkt. Sie berücksichtigen nicht die residuale Bindungsunsicherheit (residual binding uncertainty): die Möglichkeit, dass der vom Agenten beobachtete validierte Datensatz ($\tilde{z}$) vom „korrekt gebundenen“ Rückgabewert ($z^\star$) abweicht, bedingt durch geringfügige Montagefehler (z. B. veraltete Provenienz-Tags, Schema-Fehlpaarungen oder Race Conditions) und begrenzte numerische Drift.

Der Kern des Problems ist, dass eine Aktion unter dem beobachteten Datensatz sowie unter separaten Prüfungen für diskrete (kategoriale) und kontinuierliche (numerische) Perturbationen sicher erscheinen kann, jedoch unsicher wird, wenn diese Perturbationen gemeinsam auftreten. Die Autoren bezeichnen dies als Joint-Gap-Attacke. Bestehende Abwehrmechanismen, die sich oft auf die Bereinigung von unvertrauenswürdigem Text oder die punktuelle Evaluierung von Aktionen konzentrieren, lassen die Entscheidungsgrenze gegenüber diesen spezifischen semantischen Unsicherheiten ungeschützt.

2. Methodik: CAGE

Die Autoren schlagen CAGE (Certified Authorization Gate for Execution) vor, einen Laufzeit-Monitor, der das Objekt der Autorisierung vom beobachteten Punkt $(\tilde{z}, a)$ auf eine gemeinsame Nachbarschaft $B_{d,\epsilon}(\tilde{z})$ verschiebt. Eine Aktion $a$ wird nur dann autorisiert, wenn sie für jeden plausible, korrekt gebundenen Rückgabewert innerhalb dieser Nachbarschaft sicher bleibt.

Die gemeinsame Nachbarschaft

Die Nachbarschaft wird durch zwei Budgets definiert:

• Diskretes Budget ($d$): Erlaubt bis zu $d$ zulässige Bindungsfehler (z. B. einen einzelnen Provenienz-Tausch oder eine Verwechslung von Policy-Paketen).
• Kontinuierliches Budget ($\epsilon$): Erlaubt eine begrenzte $\ell_2$-Drift in numerischen Feldern (z. B. Risiko-Scores, Beträge) nach der Standardvalidierung.

Das Nicht-Kompositions-Theorem

Ein zentraler theoretischer Beitrag ist der Beweis, dass die separate Zertifizierung von Kanälen nicht komponierbar ist.

• Theorem 1: Ein Sicherheitsprädikat kann unter allen kontinuierlichen Perturbationen des ursprünglichen diskreten Zustands sicher sein und unter allen diskreten Swaps des ursprünglichen kontinuierlichen Wertes sicher sein, jedoch unsicher unter einem kombinierten diskreten Swap und einer kontinuierlichen Verschiebung.
• Implikation: Marginale Zertifikate (die Text und Zahlen separat prüfen) sind unzulänglich. Die Verteidigung muss das kartesische Produkt der diskreten und kontinuierlichen Perturbationen zertifizieren.

Der CAGE-Algorithmus

CAGE operiert durch exakte Enumeration der diskreten Nachbarschaft, gefolgt von einer sounden Zertifizierung des kontinuierlichen Zweigs:

1. Enumeration: Berechne die endliche Menge der diskreten Nachbarn $N_d(s) = \{s' : D_{disc}(s, s') \le d\}$.
2. Zertifizierung der Zweige: Zertifiziere für jeden diskreten Nachbarn $s'$, dass die Aktion für alle kontinuierlichen Perturbationen $x'$ innerhalb des $\epsilon$-Balls sicher ist.
3. Entscheidung: Erlaube die Aktion nur dann, wenn jeder Zweig den Test der kontinuierlichen Zertifizierung besteht.

Die Annahmen-Leiter (Backends)

CAGE unterstützt unterschiedliche Backends, abhängig von der Art der Policy (ausführbar vs. gelernt):

• CAGE-Exact (Stufe 1): Wird verwendet, wenn die Policy ein ausführbares Prädikat ist (z. B. affine Constraints in Rego oder Entscheidungstabellen). Es führt eine exakte mathematische Verifizierung der Constraints über den $\epsilon$-Ball durch. Dies ist policy-zertifiziert.
• CAGE-Lip (Stufe 2): Wird für gelernte Gates (implizite Policies) verwendet. Es nutzt eine 1-Lipschitz neuronale Netzwerkarchitektur. Es zertifiziert die Entscheidung des Gates basierend auf der Lipschitz-Marge ($h_\theta > L_{cert}\epsilon$). Dies ist gate-zertifiziert und sound unter der Annahme einer gemessenen Gate-Policy-Fidelität.
• CAGE-RS (Stufe 3): Wird für Black-Box-Gates verwendet. Es wendet Randomized Smoothing an, um probabilistische Garantien über den kontinuierlichen Ball bereitzustellen. Dies ist ebenfalls gate-zertifiziert.

3. Zentrale Beiträge

1. Formalisierung robuster Autorisierung: Das Paper formalisiert die Post-Tool-Return-Autorisierung als Entscheidung unter begrenzter semantischer Unsicherheit und beweist, dass die Rückgabeabhängigkeit der Sicherheit die Untersuchung des realisierten Rückgabewerts erfordert (Proposition 1).
2. Nicht-Kompositions-Beweis: Die Autoren beweisen, dass marginale Zertifikate für kategoriale und numerische Kanäle keine Sicherheit über deren gemeinsames Produkt implizieren, und identifizieren so die Existenz von „Joint-Gap Witnesses“ (Theorem 1).
3. Zertifizierter Monitor mit Annahmen-Leiter: CAGE bietet ein vereinheitlichtes Framework, das den diskreten Raum exakt enumeriert und den kontinuierlichen Raum mittels verschiedener Backends (Exact, Lipschitz, Smoothing) zertifiziert, wodurch selbst für gelernte Gates eine Soundness-Untergrenze gewährleistet wird.
4. Kalibrierter Sicherheitsfall: Die Arbeit liefert einen rigorosen Sicherheitsfall, der auf injizierten Fehlern kalibriert wurde und zeigt, dass CAGE „False Allows“ innerhalb des Budgets eliminiert und dabei die nutzbare Autonomie bewahrt.

4. Experimentelle Ergebnisse

Die Evaluierung umfasst synthetische Settings, Policy-as-Code (Open Policy Agent, GoRules), regulatorische Rahmenbedingungen (PSD2/AML) und reale Transaktionsdaten (IEEE-CIS).

• Existenz von Joint-Gap Witnesses: Die Studie bestätigt, dass Joint-Gap Witnesses in jedem Setting existieren und natürliche Häufigkeiten von 3,5 % bis 12 % aufweisen.
• Soundness: Über alle Settings hinweg erreicht CAGE eine Certified False Allow (CFA) Rate von 0. Im Gegensatz dazu lassen punktuelle Gates und marginale Kompositions-Baselines diese unsicheren Witnesses mit hohen Raten zu (oft 100 % des Witness-Sets).
• Autonomie: Trotz der strengen Sicherheitsgarantien bewahrt CAGE eine signifikante Autonomie:
  • CAGE-Exact klärt autonom 22–34 % der robust-sicheren Entscheidungen in Policy-as-Code-Settings und 57 % im natürlichen Traffic.
  • Gelernte Backends (Lip/RS) behalten 6,5–37 % Autonomie, abhängig von der Strenge des Betriebspunkts.
• End-to-End Validierung: In Live-Systemtests (Kubernetes, MCP Write-Paths, AML-Engines) blockierte CAGE erfolgreich unsichere Seiteneffekte (z. B. unautorisierte Deployments, Over-Quota Writes), die von un-gated oder punktuell-gated Agenten zugelassen worden wären.
• Adaptive Angriffe: CAGE bleibt sound gegenüber adaptiven Adversaries, die die Policy und das Budget kennen, während gelernte Punkt-Gates hohe False-Allow-Raten aufweisen (bis zu 98 % in einigen synthetischen Angriffen).

5. Bedeutung und Ansprüche

Das Paper behauptet, dass CAGE einen kalibrierten Autorisierungsmechanismus für Entscheidungen bereitstellt, bei denen die Sicherheit von unsicheren typisierten Rückgaben abhängt. Die Bedeutung liegt in:

• Schließung der logischen Lücke: Es ist das erste System, das den gemeinsamen Nachbarschaftsbereich von typisierten Rückgaben formal zertifiziert und damit eine Schwachstelle adressiert, die punktuelle und marginale Abwehrmechanismen übersehen.
• Praktische Einsetzbarkeit: Durch das Angebot einer „Annahmen-Leiter“ schlägt es die Brücke zwischen theoretisch perfekten ausführbaren Policies und praktischen gelernten Gates und bietet selbst für letztere formale Garantien unter expliziten Fidelitätsbedingungen.
• Operationale Realität: Die Arbeit trennt explizit die formale Garantie von operationalen Vorbedingungen (z. B. Aktualität der Daten, Integrität des Konstruktors). Sie quantifiziert das „residuale Risiko“, wenn diese Vorbedingungen fehlschlagen (z. B. wenn die Datenveraltung das deklarierte Budget überschreitet), anstatt absolute Immunität zu beanspruchen.

Die Autoren sind bescheiden hinsichtlich der externen Validität: Sie demonstrieren die Existenz, Realisierbarkeit und den Mechanismus von Joint-Gap-Attacken in deploiment-ähnlichen Pipelines, behaupten jedoch nicht, die Prävalenz dieser spezifischen Fehler in allen realen agentischen Systemen gemessen zu haben. Sie schließen daraus, dass CAGE eine notwendige Laufzeitkontrolle ist, überall dort, wo eine Unsicherheit in typisierten Rückgaben messbar und erzwingbar ist.