Resumen Técnico: CausalArmor

1. El Problema: El Dilema de la Sobre-Defensa (Over-Defense Dilemma)

Los agentes de IA equipados con capacidades de ejecución de herramientas (tool-calling) son vulnerables a la Inyección Indirecta de Prompts (IPI). En este ataque, un atacante oculta instrucciones maliciosas en contenido no confiable (como una página web recuperada o un correo electrónico) para engañar al agente y obligarlo a realizar acciones no autorizadas (ej. transferir dinero o exfiltrar datos).

Los métodos de defensa actuales sufren de un "dilema de sobre-defensa":

• Defensas siempre activas: Sanitizan todo el contenido o ejecutan verificaciones costosas en cada paso, lo que aumenta drásticamente la latencia y reduce la utilidad (capacidad de realizar tareas legítimas), incluso cuando no hay ataques.
• Defensas débiles: El prompting simple es fácil de evadir mediante técnicas adaptativas.

2. Metodología: CausalArmor

Los autores proponen que un ataque de IPI exitoso se manifiesta como un "cambio de dominancia" (dominance shift). En un escenario benigno, la decisión del agente está fundamentada en la solicitud del usuario; en un ataque, una sección no confiable (el payload malicioso) se convierte en el motor principal de la decisión.

CausalArmor opera como una capa intermedia (middleware) que utiliza la atribución causal mediante ablación (Leave-One-Out - LOO) para detectar este cambio. El proceso se divide en tres etapas:

A. Detección mediante Atribución Causal (LOO)

Cuando el agente propone una "acción privilegiada" (una acción de alto riesgo), el sistema calcula la influencia de la solicitud del usuario ($U$) frente a los segmentos no confiables ($S$).

• Se utiliza un modelo proxy ligero (ej. Gemma-3-12B) para realizar pruebas de ablación rápidas: se calcula la probabilidad de la acción con y sin cada segmento de contexto.
• Criterio de Margen: Si la influencia de un segmento no confiable supera a la del usuario por un margen $\tau$ ($\Delta S \gg \Delta U$), se identifica un riesgo de IPI.

B. Sanitización Selectiva y Consciente del Contexto

En lugar de limpiar todo el historial, CausalArmor solo aplica sanitización a los segmentos específicos que causaron el cambio de dominancia. El proceso utiliza un modelo potente (ej. Gemini-2.5-Flash) que recibe tanto la solicitud del usuario como la definición de la herramienta para distinguir entre datos legítimos e instrucciones maliciosas.

C. Enmascaramiento Retroactivo de la Cadena de Pensamiento (CoT Masking)

Un hallazgo clave es que, aunque se limpie el input, el agente puede haber "internalizado" la lógica maliciosa en sus pasos de razonamiento previos (Chain-of-Thought). Para evitar que el agente siga actuando bajo una lógica "envenenada", CausalArmor realiza un "borrado de memoria", reemplazando los razonamientos previos del asistente con un marcador de seguridad (ej. "[Reasoning redacted for security]"). Esto obliga al agente a re-derivar su plan basándose únicamente en el contexto ya saneado.

3. Contribuciones Clave

1. Formalización del IPI: Define el ataque no solo como texto malicioso, sino como un fenómeno de inversión causal en la distribución de probabilidad de las acciones del agente.
2. Eficiencia mediante Modelos Proxy: Demuestra que la atribución causal es transferible entre modelos, permitiendo usar modelos pequeños y rápidos para la detección, reservando los modelos grandes solo para la sanitización cuando es estrictamente necesario.
3. Marco de Defensa de Dos Etapas: Introduce el concepto de enmascaramiento de CoT para prevenir la propagación de razonamientos envenenados.
4. Análisis Teórico: Proporciona una prueba matemática que demuestra que, bajo ciertas condiciones, la probabilidad de éxito del ataque disminuye exponencialmente al aplicar este margen de detección.

4. Resultados Experimentales

Los autores evaluaron CausalArmor en los benchmarks AgentDojo y DoomArena:

• Seguridad: Logró una Tasa de Éxito de Ataque (ASR) cercana a cero, igualando o superando a las defensas más agresivas y costosas.
• Utilidad y Latencia: A diferencia de las defensas tradicionales, CausalArmor mantiene la utilidad benigna y la latencia muy cerca de los niveles de un agente sin defensa (No Defense), ya que la sanitización solo se activa cuando hay una señal clara de ataque.
• Robustez ante Atacantes Adaptativos: En DoomArena, donde el atacante observa la conversación y cambia sus tácticas, CausalArmor neutralizó eficazmente los ataques, mientras que los métodos basados en clasificadores fallaron debido a la degradación de la utilidad.

5. Significancia

CausalArmor resuelve el conflicto entre seguridad y rendimiento en agentes de IA. Su importancia radica en que permite desplegar agentes con capacidades de herramientas en entornos reales (donde el contenido es impredecible) sin sacrificar la experiencia del usuario ni la velocidad de respuesta, proporcionando una defensa explicable (basada en evidencia de qué segmento causó el riesgo) y selectiva.