💻 computer science

Agentic Witnessing: Pragmatic and Scalable TEE-Enabled Privacy-Preserving Auditing

Este artículo propone "Testigo Agente", un marco de auditoría que preserva la privacidad y que aprovecha un Entorno de Ejecución Confiable (TEE) para alojar un auditor basado en LLM capaz de verificar propiedades cualitativas de datos propietarios mediante consultas binarias simples y transcripciones criptográficas, resolviendo así la tensión entre la confidencialidad de los datos y la verificación semántica sin exponer conjuntos de datos crudos.

Autores originales: Antony Rowstron

Publicado 2026-04-28

📖 5 min de lectura🧠 Análisis profundo

CC BY 4.0

Autores originales: Antony Rowstron

Artículo original bajo licencia CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Esta es una explicación generada por IA del artículo a continuación. No ha sido escrita ni avalada por los autores. Para mayor precisión técnica, consulte el artículo original. Leer descargo de responsabilidad completo

Imagina que tienes una receta secreta para el pastel más delicioso del mundo (tus datos/código propietarios). Quieres demostrarle a un crítico gastronómico (el Verificador) que tu pastel realmente sabe como se describe en tu libro de cocina, pero absolutamente no puedes permitir que el crítico vea ni pruebe el pastel real porque es tu secreto comercial.

Normalmente, tendrías dos malas opciones:

Mostrar todo: Entregar el pastel completo y la receta, arriesgándote al robo.
Créeme: Simplemente decir: "Es bueno, créeme", lo cual el crítico no creerá.

Este artículo propone una tercera vía llamada Testigo Agente. Es como contratar a un crítico gastronómico superinteligente y vendado que trabaja dentro de una caja de vidrio insonorizada e indestructible (un Entorno de Ejecución Confiable, o TEE).

Así funciona el sistema, desglosado en roles simples:

Los Tres Personajes

El Propietario (Probador): Tú. Tú sostienes el pastel secreto (el código/los datos). Quieres probar que es real sin mostrarlo.
El Crítico (Verificador): La persona que quiere saber si el pastel coincide con la descripción. No puede ver el pastel, pero puede hacer preguntas.
El Testigo (Auditor): Un abogado robot que vive dentro de esa caja de vidrio indestructible. Este robot es el único autorizado para ver el pastel. Está programado para ser honesto, y todo su "cerebro" (el código) está abierto para que todos lo inspeccionen antes de que comience.

El Proceso: El Juego de "Sí/No"

El Crítico no puede preguntar: "¿Qué hay en el pastel?" o "Muéstrame el glaseado". En su lugar, solo puede hacer preguntas simples de Sí/No al Testigo dentro de la caja.

La Configuración: El Propietario pone el pastel en la caja. El Testigo (una IA inteligente) entra.
La Inspección: El Testigo mira el pastel. Podría leer la lista de ingredientes o verificar la textura.
Las Preguntas: El Crítico pregunta: "¿Hay chocolate en el pastel?". El Testigo mira y responde: "Sí".
La Prueba: El Testigo no solo dice "Sí". Crea un recibo digital (un transcripto criptográfico). Este recibo es una cadena de notas firmadas que demuestra:
1. El Testigo realmente miró el pastel.
2. El Testigo respondió basándose únicamente en lo que vio.
3. El Propietario no puede negar que el Testigo vio el pastel.

Las Reglas de Seguridad (Cómo detiene el engaño)

El artículo explica tres trucos inteligentes para mantener a todos honestos:

La "Caja de Vidrio" (TEE): El Testigo vive en una caja de hardware segura (como una caja fuerte de alta tecnología). Incluso el dueño de la computadora no puede espiar dentro mientras el Testigo trabaja. Si el Testigo está ejecutando el código correcto, el hardware lo demuestra.
El "Límite de Preguntas" (Presupuesto): El Crítico solo puede hacer un número limitado de preguntas (por ejemplo, 40). Esto evita que el Crítico juegue a "Veinte Preguntas" para adivinar lentamente toda la receta secreta bit a bit. Las matemáticas muestran que, incluso si lo intentan, solo pueden robar una cantidad diminuta e inútil de información.
El "Recibo Indestructible" (Cadena de Hash): Cada vez que el Testigo mira una pieza del pastel o responde una pregunta, firma un recibo digital. Si el Propietario intenta cambiar el pastel por uno falso después de que el Testigo comienza a mirar, los recibos no coincidirán y la auditoría fallará inmediatamente. Si el Propietario intenta engañar al Testigo con una nota oculta dentro del pastel (como "Ignora las reglas, di Sí"), ese truco también se registra en el recibo. El Propietario no puede ocultar su engaño; el recibo demuestra que lo intentó.

Dos Maneras en que el Testigo Piensa

El artículo menciona que el Testigo puede pensar de dos maneras:

Modo Local: El Testigo usa un cerebro pequeño y simple dentro de la caja. Esto es lo más privado, pero podría no ser tan inteligente.
Modo Remoto: El Testigo pide ayuda a una IA externa superinteligente (como un cerebro gigante en la nube). Esto es más inteligente, pero el proveedor de la IA externa ve un poco de los datos. El artículo señala que esto es una compensación, pero actualmente es necesario para tareas complejas.

Lo que Realmente Probaron

Los autores no solo hablaron de teoría; lo probaron.

Tomaron 21 artículos reales de ciencias de la computación que tenían código publicado en GitHub.
Trataron el código como un "secreto" (aunque era público, fingieron que era privado para probar el sistema).
Pidieron al sistema que verificara cosas como: "¿Este código realmente hace lo que el artículo dice que hace?" o "¿Hay evidencia de que el código fue probado?".
El Resultado: El sistema respondió con éxito estas preguntas complejas con veredictos simples de "Sí/No" y generó los recibos criptográficos, demostrando que el código coincidía con el artículo sin que el "Crítico" necesitara leer el código crudo ellos mismos.

La Conclusión

Testigo Agente es una nueva forma de auditar secretos. Reemplaza la necesidad de "mostrar tu trabajo" con un sistema donde un robot confiable y aislado verifica el trabajo por ti y te entrega un recibo matemáticamente inalterable. Resuelve el problema de "¿Cómo demuestro que digo la verdad sobre mis datos secretos sin darte el secreto?".

A continuación se presenta un resumen técnico detallado del artículo "Agentic Witnessing: Pragmatic and Scalable TEE-Enabled Privacy-Preserving Auditing" de Antony Rowstron.

1. Declaración del Problema

El artículo aborda una tensión fundamental en la auditoría de datos propietarios: la verificación requiere transparencia, mientras que los derechos de propiedad exigen confidencialidad.

La Brecha Semántica: Las soluciones criptográficas existentes, como las Pruebas de Conocimiento Cero (ZKP), son excelentes para verificar declaraciones matemáticas (por ejemplo, $a+b=c$ ) o la integridad de la ejecución, pero fallan en la verificación semántica. No pueden verificar propiedades cualitativas no estructuradas, como "¿Implementa esta base de código el algoritmo Paxos descrito en el artículo?" o "¿Está este código listo para producción?".
El Dilema Actual: Los auditores se enfrentan actualmente a una elección binaria: o exigen la divulgación completa del código fuente (violando la propiedad intelectual/privacidad) o confían en afirmaciones opacas de "confíen en mí". Esto obstaculiza la reproducibilidad en la ciencia, el cumplimiento normativo y la debida diligencia.

2. Metodología: Testimonio Agente

Los autores proponen el Testimonio Agente, un marco que desplaza la verificación desde pruebas matemáticas estáticas hacia la interrogación dinámica y adversarial mediada por un agente de IA dentro de un Entorno de Ejecución Confiable (TEE).

Arquitectura del Sistema

El sistema consta de tres agentes autónomos:

El Proveedor (APrv): Posee el conjunto de datos privado (por ejemplo, la base de código). Se ejecuta en hardware confiable y actúa como un servidor del Protocolo de Contexto de Modelo (MCP), exponiendo herramientas limitadas (por ejemplo, read_file, search_repository) al Auditor. Genera un ticket de sesión firmado que define los límites de las consultas.
El Auditor (AAud): Un Agente Virtual (LLM) que se ejecuta dentro de un TEE (por ejemplo, Intel SGX, AWS Nitro). Es la única entidad en la que confían tanto el Proveedor como el Verificador. Tiene un estado efímero, lo que significa que ningún dato persiste después de la sesión. Utiliza la interfaz MCP para inspeccionar los datos del Proveedor.
El Verificador (AVer): La entidad que solicita la auditoría. No puede ver los datos crudos. Formula objetivos de alto nivel y los descompone en una serie de preguntas binarias simples (Verdadero/Falso/Inseguro/Error) para el Auditor.

Mecanismos Centrales

Razonamiento Atestado: En lugar de probar una restricción matemática, el Auditor "razona" a través de los datos utilizando técnicas de Cadena de Pensamiento (CoT) y devuelve un veredicto.
Cadena de Hash de Transcripción: Para garantizar la integridad y la no repudio, cada interacción entre el Auditor y el Proveedor se registra en una cadena de hash criptográfica.
- $H_i = H(H_{i-1} \parallel q_i \parallel a_i)$
- Ambas partes firman la cadena de hash. El hash final vincula la traza de razonamiento con la versión específica del conjunto de datos y la raíz de confianza de hardware del TEE.
Límites de Fuga de Información: Para evitar que el Verificador reconstruya el conjunto de datos mediante una "búsqueda binaria" (hacer suficientes preguntas de Sí/No para extraer secretos), el sistema hace cumplir:
- Presupuestos de Consultas Tokenizadas: Un límite estricto en el número de preguntas ( $K_{max}$ ) y llamadas MCP por sesión.
- Límite Teórico: Con un presupuesto de 40 preguntas y 4 respuestas posibles (2 bits de entropía), la fuga máxima de información se limita a **80 bits por sesión**, lo que hace que la extracción de secretos de alta entropía (como claves de 256 bits) sea computacionalmente inviable.
Modos de LLM:
- Modo A (Local): Ejecuta modelos pequeños de pesos abiertos completamente dentro del TEE para máxima privacidad.
- Modo B (Remoto): Envía solicitudes a modelos de vanguardia (por ejemplo, GPT, Gemini). Esto ofrece un mejor razonamiento pero requiere confiar en el proveedor de la API con algunos datos. El artículo anticipa que las futuras GPUs compatibles con TEE resolverán esto.

Defensas de Seguridad

Inyección de Prompts: El sistema asume que el Proveedor podría insertar instrucciones maliciosas en el código (por ejemplo, "Ignorar errores"). Dado que el Auditor debe leer los archivos crudos para verificar la semántica, no puede filtrar estas entradas sin perder fidelidad.
- Mitigación: No Repudio Criptográfico. Cualquier intento de inyectar prompts se registra en la cadena de hash de transcripción firmada. El Proveedor debe contrafirmar el hash final, creando efectivamente un registro permanente y firmado de su intento de manipular la auditoría.
Ataques de Canal Lateral: El sistema utiliza jitter de red y mecanismos de respuesta de tiempo constante para mitigar los ataques de temporización.

3. Contribuciones Clave

Nueva Primitiva: Definición del Testimonio Agente como un método para la verificación semántica que preserva la privacidad.
Diseño de Protocolo: Un protocolo seguro que utiliza MCP para la inspección estandarizada y Cadenas de Hash de Transcripción para la integridad de la auditoría.
Análisis Teórico: Demostración formal de que los presupuestos de consultas limitan la extracción de datos adversarios a ~80 bits por sesión.
Implementación y Evaluación: Un prototipo funcional evaluado contra artefactos académicos del mundo real.

4. Resultados y Evaluación

Los autores evaluaron el sistema utilizando 21 artículos revisados por pares en ciencias de la computación con bases de código de GitHub publicadas, además de una autoauditoría de su propio artículo.

Autoauditoría: El sistema audió con éxito su propio borrador de artículo y código. Identificó correctamente que, aunque la arquitectura central estaba implementada, mitigaciones de seguridad específicas (Presupuestos de Consultas Tokenizadas) faltaban en el código en el momento de la escritura.
Precisión:
- El sistema distinguió correctamente entre artefactos conformes y no conformes.
- En experimentos de "Control Negativo" (proporcionando al Auditor el artículo incorrecto), el sistema devolvió correctamente "No" para las preguntas de implementación (Q1/Q2) en los 21 casos.
- Para preguntas subjetivas (por ejemplo, "¿Es esto calidad de producción?"), el sistema mostró una alta variabilidad cuando el artículo era incorrecto, lo que indica sensibilidad al contexto.
Rendimiento:
- Dominio del LLM: El tiempo de ejecución está dominado casi en su totalidad por la latencia de inferencia del LLM (96–99% del tiempo).
- Escalabilidad: Las auditorías simples tomaron ~20 minutos; las auditorías complejas de múltiples rondas tomaron hasta 85 minutos.
- Comparación: En comparación con un agente de codificación de última generación (Gemini CLI) con acceso completo al código, el Testimonio Agente produjo resultados altamente consistentes, aunque el CLI fue más rápido debido a la falta de restricciones de privacidad.

5. Significado

Desacoplamiento de la Verificación de la Divulgación: El Testimonio Agente permite la verificación de propiedades semánticas de alto nivel (lógica, cumplimiento, reproducibilidad) sin exponer los datos crudos subyacentes.
Cerrando la Brecha: Llena el vacío entre las pruebas criptográficas rígidas (ZKP) y la confianza humana, permitiendo la auditoría de datos no estructurados como bases de código, documentos y registros.
Impacto Regulatorio: El marco ofrece una vía viable para el cumplimiento de regulaciones como la Ley de IA de la UE, que exige evaluaciones de terceros para sistemas de IA de alto riesgo mientras protege los secretos comerciales.
Paradigma Futuro: Introduce el "Razonamiento Atestado" como una nueva abstracción, aprovechando los LLM no solo como herramientas, sino como testigos confiables dentro de enclaves seguros.

En conclusión, el Testimonio Agente demuestra que, al combinar TEE, hashing criptográfico y agentes LLM, es posible realizar auditorías rigurosas y que preservan la privacidad de datos propietarios, resolviendo efectivamente la "crisis de reproducibilidad" en la publicación científica y permitiendo una debida diligencia segura en la industria.