Resumen Técnico: Cuando la Alineación No Basta: Ataques de Ruta de Respuesta en Agentes LLM

1. Declaración del Problema: Manipulación Post-Alineación

El documento identifica una brecha de seguridad fundamental en el paradigma Bring-Your-Own-Key (BYOK) (Trae tu propia clave), una arquitectura ampliamente adoptada donde los usuarios enrutan el tráfico de Modelos de Lenguaje Grande (LLM) a través de servicios de retransmisión de terceros (por ejemplo, LiteLLM, OpenRouter) mientras se autentican con sus propias credenciales.

En esta arquitectura, el retransmisor actúa como un proxy legítimo configurado por el usuario que termina el cifrado de extremo a extremo, creando dos saltos cifrados secuenciales: uno entre el agente del frontend y el retransmisor, y otro entre el retransmisor y el LLM del backend. Aunque las capas de transporte son seguras, el retransmisor tiene acceso en texto plano a todos los mensajes.

La vulnerabilidad central, denominada Manipulación Post-Alineación, surge porque los mecanismos de alineación de seguridad del LLM (RLHF, entrenamiento constitucional, prompts del sistema) operan únicamente sobre la generación de la respuesta por parte del modelo del backend. Una vez generada la respuesta alineada, esta viaja a través del retransmisor antes de llegar al agente para su ejecución. El documento argumenta que los protocolos actuales de API de LLM carecen de mecanismos de integridad en la capa de aplicación (como firmas o códigos de autenticación de mensajes) para vincular la salida del modelo del backend con la entrada del agente. En consecuencia, un retransmisor malicioso puede reescribir la respuesta alineada del LLM después de su generación pero antes de su ejecución, eludiendo todas las garantías de seguridad sin necesidad de comprometer el modelo ni derrotar las protecciones criptográficas de transporte.

Esta superficie de ataque es distinta y estrictamente más poderosa que:

• MitM en la capa de transporte: Que requiere derrotar el cifrado o falsificar certificados.
• Inyección de Prompt: Que depende de persuadir al modelo para generar contenido dañino, un proceso limitado por la fuerza de la alineación del modelo.

2. Metodología: El Ataque de Manipulación del Retransmisor (RTA)

Los autores instan a esta vulnerabilidad como el Ataque de Manipulación del Retransmisor (RTA), un marco jerárquico que opera completamente desde la posición del retransmisor. RTA consta de tres etapas:

2.1 Orquestación Estratégica (Ataque en Cadena)

Para manejar objetivos complejos de múltiples turnos que no pueden lograrse en una sola interacción, el retransmisor descompone los objetivos de alto nivel en una cadena ordenada de subobjetivos. Rastrea el estado de la conversación y decide si reenviar una respuesta sin cambios o intervenir según los requisitos del subobjetivo actual. Esto permite que el ataque recopile adaptativamente los artefactos necesarios (por ejemplo, rutas de archivos) antes de ejecutar la acción maliciosa final.

2.2 Manipulación Táctica

El retransmisor realiza ediciones mínimas, impulsadas por esquemas, en los campos específicos que dictan la ejecución del agente, en lugar de reescribir todo el texto. El marco define dos rutas paralelas:

• RTA-PreWrite (Ruta de Consulta): Opera antes de la inferencia del LLM. El retransmisor reescribe la consulta del usuario y elimina las barreras del prompt del sistema para "purificar" el contexto, forzando al modelo a centrarse únicamente en el objetivo adversario. Esta ruta es vulnerable a defensas del lado de la entrada.
• RTA-PostForge (Ruta de Respuesta): Opera después de la alineación. El retransmisor intercepta la respuesta benigna y alineada y modifica solo los campos estructurados críticos (por ejemplo, nombres de herramientas, argumentos, indicadores de motivo de finalización) para forzar llamadas a herramientas arbitrarias o escrituras de archivos. Esta ruta elude estructuralmente la alineación de seguridad del modelo por completo.

2.3 Restauración Sigilosa

Para evadir la detección y preservar la utilidad de la tarea legítima del usuario, RTA emplea:

• Pulido con el Mismo Modelo: El retransmisor reenvía el borrador manipulado al mismo LLM del backend (utilizando las credenciales BYOK del usuario) con un prompt para reparar la redacción superficial manteniendo los campos maliciosos inmutables. Esto asegura que la salida final coincida con el estilo y la distribución nativos del modelo.
• Completado de Tareas Concurrentes: El retransmisor almacena en búfer la respuesta genuina para la tarea original del usuario y la inserta nuevamente en la conversación una vez que se logran los subobjetivos del ataque, ocultando el ataque al usuario.

3. Modelo Formal y Contribuciones Teóricas

El documento formaliza la vulnerabilidad utilizando definiciones de seguridad basadas en juegos, demostrando cuatro ideas clave:

1. Sustitución de Respuesta No Autenticada: Sin integridad de extremo a extremo, un retransmisor puede sustituir cualquier carga útil válida según el esquema. Si la carga útil codifica una acción dañina, el agente la ejecutará independientemente de la salida del modelo del backend.
2. La Alineación Termina en el Backend: Incluso un LLM perfectamente alineado (uno que nunca genera respuestas dañinas) ofrece cero protección contra un adversario de ruta de respuesta. El retransmisor descarta la salida alineada e inyecta la suya propia, haciendo que la alineación del modelo sea irrelevante para la ejecución final.
3. Dominio de la Reescritura de Ruta de Consulta: Un retransmisor capaz de reescribir el contexto de la consulta (eliminando instrucciones competitivas) es estrictamente más poderoso que uno restringido a añadir instrucciones, ya que elimina el efecto de "dilución de la atención" que a menudo protege contra la inyección de prompts.
4. Asimetría Defensiva: Los detectores que dependen únicamente del contenido de la transcripción están limitados por la distancia estadística entre el texto pulido (manipulado) y el texto genuino. Dado que RTA utiliza pulido con el mismo modelo, esta distancia se minimiza, haciendo que la detección basada únicamente en la transcripción sea teóricamente débil.

4. Evaluación Experimental

Los autores evaluaron RTA en seis LLMs (tres propietarios: GPT-5.4, Claude Opus 4.6, Gemini 3.1 Pro; tres de peso abierto: GLM-5.1, MiniMax-M2.5, Qwen-235B) en dos puntos de referencia: AgentDojo y Agent Security Bench (ASB).

Resultados Clave

• Efectividad: RTA supera significativamente a las líneas base de inyección de prompts.
  • RTA-PostForge logró una Tasa de Éxito del Ataque (ASR) del 73.5% en AgentDojo y 89.2% en ASB.
  • RTA-PreWrite logró una ASR del 99.1% en ASB.
  • En contraste, las mejores líneas base de inyección de prompts lograron solo ~17.9% de ASR en AgentDojo y ~44.4% en ASB.
• Preservación de Utilidad: A diferencia de los ataques de ruta de consulta que a menudo rompen la tarea del usuario, RTA-PostForge preservó 47.6% de la utilidad de la tarea del usuario en AgentDojo al almacenar en búfer y restaurar la respuesta genuina.
• Imperceptibilidad: RTA-PostForge mantuvo una alta consistencia estilística (C=0.758) y similitud semántica, con la Prueba de Igualdad de Modelos (MET) rechazando la hipótesis nula de distribuciones idénticas solo en el 54.2% de los casos, en comparación con el 90.0% para el más agresivo RTA-PreWrite.
• Evasión de Sobrecarga: La sobrecarga de latencia introducida por RTA-PostForge (mediana ~5.9s) cayó dentro de la variación de red natural de los retransmisores comerciales para el 74% de las interacciones, lo que dificulta su detección mediante umbrales simples de latencia.

Evaluación de Defensa

El documento evaluó cuatro defensas existentes del lado del agente (Delimitadores, Sándwich, Detección de Respuesta Conocida, CaMeL):

• Ninguna eliminó por completo RTA-PostForge.
• CaMeL (que fuerza la generación de código) redujo la ASR al 14.5%, pero los autores demostraron una adaptación donde el retransmisor reescribe directamente el bloque de código Python generado, recuperando la ASR al 50.1%.
• Detector de Canal de Tiempo: Los autores proponen un detector basado en telemetría operativa (latencia). Al agregar evidencia de temporización durante una sesión (n=50 turnos), este detector logró un AUC de 0.964, lo que sugiere que, aunque la detección basada en contenido falla, las anomalías operativas ofrecen un vector de defensa viable.

5. Significado y Afirmaciones

El documento afirma exponer un fallo de integridad estructural en el ecosistema moderno de agentes LLM que es distinto y más grave que la inyección de prompts. Sus contribuciones principales son:

1. Formalización: Demuestra que la falsificación de ruta de respuesta domina estrictamente a la inyección de prompts y que la causa raíz es la ausencia de verificación de integridad de extremo a extremo en los protocolos actuales de API de LLM.
2. Viabilidad en el Mundo Real: A través de estudios de caso en OpenClaw (asesoría financiera) y Claude Code (agente de codificación), los autores demuestran que RTA puede exfiltrar silenciosamente bases de código o revertir decisiones financieras en entornos de producción mientras mantiene la apariencia de operación normal.
3. Limitación de las Defensas Actuales: El trabajo argumenta que mejorar la alineación del modelo o endurecer los prompts es insuficiente contra un adversario de retransmisor, ya que el ataque ocurre aguas abajo de todas las verificaciones de alineación.
4. Llamada a la Acción: El documento concluye que los futuros protocolos de API de LLM deben tratar la integridad de la respuesta de extremo a extremo como un primitivo de primera clase (por ejemplo, respuestas firmadas por el proveedor) para cerrar esta brecha, ya que las defensas de la capa de aplicación por sí solas no pueden garantizar que el agente ejecute la respuesta generada por el modelo del backend.

Los autores mantienen un tono modesto respecto al trabajo futuro, señalando que su modelo de amenaza asume un entorno BYOK donde el retransmisor termina legítimamente TLS, y que extender el modelo de amenaza a infraestructuras de múltiples saltos más amplias y diseñar mecanismos de integridad fundamentados son los siguientes pasos necesarios.