BlindGuard: Safeguarding LLM-based Multi-Agent Systems under Unknown Attacks

1. Enunciado del Problema

Los Sistemas Multiagente (MAS) basados en Modelos de Lenguaje Grande (LLM) son cada vez más vulnerables a vulnerabilidades de propagación, donde unos pocos agentes maliciosos pueden distorsionar la toma de decisiones colectiva a través de interacciones entre agentes. Los vectores de ataque comunes incluyen:

• Inyección de Prompts (PI): Manipulación de prompts del sistema o entradas de usuario.
• Envenenamiento de Memoria (MA): Corrupción de datos de interacción históricos o bases de conocimiento.
• Explotación de Herramientas (TA): Aprovechamiento de vulnerabilidades en plugins externos.

Limitaciones de las Soluciones Existentes:
Los mecanismos de defensa actuales, como G-Safeguard, dependen de la Detección de Anomalías en Grafos Supervisada (GAD). Estos métodos requieren datos etiquetados de agentes maliciosos para entrenar modelos de detección. Esto crea dos cuellos de botella críticos:

1. Escasez de Datos: Los ataques adversarios en el mundo real son escasos y camuflados, lo que dificulta obtener muestras maliciosas bien anotadas.
2. Falta de Generalización: Los modelos supervisados entrenados en tipos de ataques específicos a menudo fallan al detectar patrones de ataque novedosos, no vistos o en evolución.

La pregunta central de investigación es: ¿Podemos diseñar un marco de defensa para MAS que funcione sin datos de ataques etiquetados ni conocimiento previo de patrones de ataque?

2. Metodología: BlindGuard

BlindGuard es un marco de defensa no supervisado diseñado para detectar y mitigar agentes maliciosos utilizando únicamente datos de interacción normales. Consta de tres componentes principales:

A. Codificador Jerárquico de Agentes

Para abordar la brecha en la "conciencia contextual multinivel", BlindGuard construye representaciones integrales de agentes fusionando información de tres niveles distintos:

1. Nivel de Agente (Ego): Captura características semánticas individuales derivadas de la respuesta textual del agente (codificadas mediante SentenceBERT).
2. Nivel de Vecino: Agrega información contextual de los agentes conectados directamente para modelar interacciones locales.
3. Nivel de Sistema: Integra información global a través de todo el grafo MAS para capturar dependencias de largo alcance y patrones de comportamiento colectivo.

El codificador utiliza una arquitectura de "resumen-transformación" para combinar estas características ($h^s_i, h^n_i, h^g_i$) en una representación unificada $z_i$, permitiendo que el modelo detecte tanto atacantes aislados (mediante divergencia de vecindad) como grupos de ataque coordinados (mediante divergencia de comportamiento global).

B. Detector de Ataques Guiado por Corrupción

Dado que no existen datos maliciosos etiquetados para el entrenamiento, BlindGuard emplea una estrategia basada en corrupción para simular ataques:

1. Corrupción Semántica: En lugar de manipular el texto crudo (lo cual es complejo), el modelo inyecta ruido direccional en el espacio de incrustación de las características de agentes normales. Esto simula la desviación semántica causada por ataques adversarios.
   • Fórmula: $\tilde{x}_i = x_i + \alpha \|x_i\|_2 \cdot \frac{\epsilon_i}{\|\epsilon_i\|_2}$, donde $\epsilon_i$ es ruido aleatorio y $\alpha$ controla la intensidad.
2. Aprendizaje Contrastivo Supervisado: El modelo se entrena utilizando estos agentes "corruptos" sintéticos como muestras negativas y agentes normales como muestras positivas. El objetivo es maximizar la similitud entre agentes normales mientras se minimiza la similitud entre agentes normales y corruptos. Esto crea un límite de decisión robusto en el espacio de incrustación sin necesidad de etiquetas de ataque reales.

C. Remediación Basada en Poda

Durante la inferencia, el sistema calcula una puntuación de anomalía para cada agente basada en su similitud contextual con la representación global.

• Detección: Los agentes con puntuaciones de anomalía altas (baja similitud con el clúster normal) son marcados.
• Remediación: El sistema realiza una poda bidireccional de aristas, cortando todos los enlaces de comunicación hacia y desde los agentes maliciosos detectados. Esto aísla la amenaza y previene la propagación adversaria mientras preserva las interacciones legítimas entre agentes normales.

3. Contribuciones Clave

1. Innovación de Escenario: Propone un paradigma de defensa práctico para MAS que funciona sin datos de ataques etiquetados ni conocimiento previo de patrones de ataque específicos, abordando una brecha crítica en el despliegue en el mundo real.
2. Avance Metodológico: Introduce BlindGuard, el primer método GAD no supervisado diseñado específicamente para MAS basados en LLM. Combina de manera única la codificación jerárquica (contexto local + global) con aprendizaje contrastivo guiado por corrupción para manejar anomalías semánticas que los métodos GAD estructurales tradicionales pasan por alto.
3. Evaluación Exhaustiva: Valida extensivamente el método en 4 topologías MAS diferentes (Cadena, Árbol, Estrella, Aleatoria), 3 tipos de ataques (PI, MA, TA) y múltiples bases de LLM (GPT-4o-mini, DeepSeek-V3, Qwen3).

4. Resultados Experimentales

BlindGuard fue evaluado frente a líneas base de última generación, incluidos métodos supervisados (G-Safeguard) y métodos GAD no supervisados (DOMINANT, PREM, TAM).

• Rendimiento frente a Líneas Base No Supervisadas: BlindGuard supera significativamente a otros métodos no supervisados, logrando puntuaciones AUC > 80% en la mayoría de los escenarios. Reduce consistentemente la Tasa de Éxito del Ataque (ASR) en una amplia margen en comparación con "Sin Defensa" y otros enfoques no supervisados.
• Rendimiento frente al Límite Superior Supervisado: A pesar de carecer de datos de entrenamiento etiquetados, BlindGuard logra un rendimiento comparable al G-Safeguard supervisado (que tiene acceso a etiquetas de ataque de verdad fundamental).
• Generalización:
  • Ataques No Vistos: BlindGuard demuestra una superior generalización frente a tipos de ataques no vistos (por ejemplo, entrenado en Inyección de Prompts, probado en Envenenamiento de Memoria), mientras que los modelos supervisados sufren caídas significativas de rendimiento.
  • Agnóstico a Topología y LLM: El método mantiene un rendimiento robusto a través de diferentes topologías de comunicación y diversas bases de LLM, lo que indica que aprende patrones adversarios universales en lugar de sobreajustarse a estructuras o modelos específicos.
• Escalabilidad: El método escala eficazmente a MAS más grandes (hasta 50 agentes) sin degradación del rendimiento.

5. Significado e Impacto

• Practicidad: Al eliminar la dependencia de datos maliciosos etiquetados, BlindGuard hace viable la seguridad robusta para despliegues de MAS en el mundo real donde los datos de ataque no están disponibles o son clasificados.
• Agnosticismo de Ataque: La capacidad de detectar ataques "desconocidos" lo convierte en una herramienta crítica para defenderse de amenazas emergentes en entornos dinámicos.
• Contribución Teórica: El artículo destaca la necesidad de contexto global del sistema en la seguridad de MAS. Demuestra que confiar únicamente en características de vecindad local es insuficiente para detectar ataques semánticos coordinados o sutiles, estableciendo un nuevo estándar para la detección de anomalías basada en grafos en sistemas centrados en el lenguaje.

En conclusión, BlindGuard representa un paso significativo hacia adelante en la seguridad de sistemas multiagente basados en LLM, ofreciendo una solución escalable, generalizable y práctica ante la creciente amenaza de la propagación adversaria.