Resumen Técnico: ARGUS: Defendiendo Agentes LLM Contra Inyección de Prompts Consciente del Contexto

Declaración del Problema

La rápida adopción de agentes de Modelos de Lenguaje Grande (LLM), que utilizan herramientas, habilidades y conocimiento externo para ejecutar flujos de trabajo autónomos, ha introducido vulnerabilidades de seguridad significativas, particularmente ataques de inyección de prompts. Aunque las defensas y puntos de referencia existentes han logrado resultados prometedores en entornos controlados, sufren dos limitaciones fundamentales al aplicarse en implementaciones del mundo real:

1. Tareas Insensibles al Contexto: Los puntos de referencia actuales evalúan las defensas bajo escenarios donde el prompt del usuario especifica completamente la acción prevista (por ejemplo, "Pagar 500 dólares a la Cuenta X"). En la realidad, los agentes a menudo realizan tareas dependientes del contexto donde la acción específica (destinatario, monto, elección de herramienta) se determina dinámicamente mediante observaciones en tiempo de ejecución (por ejemplo, "Pagar la factura en invoice.pdf").
2. Ataques Agnósticos al Contexto: Los puntos de referencia existentes dependen de cargas útiles agnósticas a la tarea (por ejemplo, anulación genérica de "ignorar instrucciones anteriores") que no se adaptan a los datos específicos que recupera el agente. Los adversarios del mundo real emplean ataques conscientes del contexto, incrustando instrucciones maliciosas dentro de transportadores de datos legítimos (por ejemplo, una nota en una factura) que manipulan semánticamente la lógica de decisión del agente en lugar de anularla abiertamente.

En consecuencia, las defensas existentes a menudo fallan en estos entornos porque validan las acciones únicamente contra el prompt del usuario (perdiendo el ancla cuando el prompt es vago) o tratan todas las observaciones en tiempo de ejecución como uniformemente no confiables, lo que lleva ya sea a ataques exitosos o al bloqueo de flujos de trabajo legítimos dependientes del contexto.

Metodología: La Defensa ARGUS

Para abordar estas brechas, los autores proponen ARGUS, un auditor de decisiones en tiempo de ejecución diseñado para hacer cumplir la auditoría de decisiones consciente de la procedencia. ARGUS opera construyendo un Grafo de Procedencia de Influencia (IPG) para rastrear cómo el contexto no confiable se propaga en las decisiones del agente, verificando que cada acción que cambia el estado esté justificada por evidencia confiable antes de su ejecución.

Componentes Principales

ARGUS opera a través de una tubería de cuatro herramientas de seguridad respaldadas por LLM que interactúan con el IPG:

1. Grafo de Procedencia de Influencia (IPG): Un grafo acíclico dirigido donde los nodos representan unidades de contenido (prompts del sistema, consultas de usuario, retornos de herramientas, etc.). Cada nodo se segmenta en tramos etiquetados como BENIGNO o ANOMALO. Los nodos se asignan una puntuación de confianza dinámica basada en su tipo de fuente y la proporción de contenido anómalo.
2. ContentSegmenter (Segmentador de Contenido): Analiza los nodos de observación crudos para dividirlos en tramos. Distingue entre evidencia ordinaria de la tarea (por ejemplo, un nombre de beneficiario en una factura) e influencia anómala (por ejemplo, una nota que instruye una transferencia adicional). Esto permite que el sistema trate partes de un documento como confiables mientras marca otras.
3. ArgumentGrounder (Anclador de Argumentos): Mapea cada argumento de una llamada a herramienta propuesta de vuelta a su tramo de origen en el IPG. Determina el "tipo de anclaje" (por ejemplo, copiar, normalizar, derivar) para verificar si un valor específico (por ejemplo, una cuenta de destinatario) se origina en un tramo benigno o en uno anómalo.
4. InvariantChecker (Verificador de Invariantes): Deriva un pequeño conjunto de restricciones a nivel de tarea (invariantes) de la consulta del usuario antes de leer cualquier contexto externo. Verifica que las acciones propuestas no violen estos límites fijos (por ejemplo, "ninguna transferencia a cuentas no mencionadas en el documento").
5. EntailmentVerifier (Verificador de Implicación): Verifica si la acción propuesta está lógicamente implicada por la evidencia benigna acumulada en el IPG. Asegura que la acción no esté justificada únicamente por contenido anómalo, incluso si los argumentos en sí mismos parecen anclados.

Proceso de Auditoría

Cuando un agente propone una llamada a herramienta que cambia el estado, ARGUS realiza:

• Auditoría Local: Rastrea los argumentos hasta sus tramos de origen. Si los argumentos están anclados en tramos ANOMALOS, la llamada se marca.
• Auditoría Global: Verifica la acción contra las invariantes del usuario y comprueba si la acción está respaldada por evidencia benigna.
• Recuperación: Si una llamada es bloqueada, ARGUS extrae Indicios de Datos Benignos (valores confiables de tramos BENIGNOS) y los devuelve al agente, permitiéndole reintentar la acción con valores seguros en lugar de fallar la tarea por completo.

Contribuciones Clave

1. Punto de Referencia AgentLure: Los autores introducen AgentLure, un nuevo punto de referencia diseñado específicamente para tareas dependientes del contexto y ataques conscientes del contexto.

   • Alcance: Contiene 320 muestras en cuatro dominios (Banca, Viajes, Espacio de Trabajo, Slack).
   • Estructura: Cubre ocho vectores de ataque (por ejemplo, Secuestro de Enrutamiento de Capacidades, Manipulación de Argumentos, Inyección de Habilidades) y seis superficies de ataque (por ejemplo, retornos de herramientas, documentos recuperados, memoria).
   • Diferenciación: A diferencia de puntos de referencia anteriores (por ejemplo, AgentDojo, ASB), AgentLure requiere que los agentes deriven acciones de observaciones en tiempo de ejecución y presenta cargas útiles indistinguibles del contenido legítimo del transportador.

2. Mecanismo de Defensa ARGUS: Un auditor en tiempo de ejecución novedoso que va más allá del filtrado grueso a nivel de observación hacia el rastreo de procedencia a nivel de tramo. Combina de manera única el rastreo local de argumentos con la verificación global a nivel de tarea para distinguir entre delegación legítima e influencia maliciosa.

3. Evaluación Sistemática: Una evaluación exhaustiva de ARGUS frente a ocho defensas de última generación (incluyendo Tool Filter, MELON e InjecGuard) en el punto de referencia AgentLure, que incluye estudios de ablación y ataques adaptativos de caja blanca.

Resultados Experimentales

Evaluado en el punto de referencia AgentLure, ARGUS demuestra un rendimiento superior en el equilibrio entre seguridad y utilidad:

• Tasa de Éxito del Ataque (ASR): ARGUS reduce la ASR de una línea base de 28.8% (sin defensa) a 3.8%. Esta es la segunda ASR más baja entre todas las defensas probadas, quedando solo detrás de MELON (1.6%).
• Utilidad de la Tarea: A diferencia de MELON, que logra una ASR baja bloqueando agresivamente acciones legítimas (reduciendo la utilidad limpia al 65.0%), ARGUS preserva el 87.5% de la utilidad de tareas limpias.
• Puntuación de Defensa Efectiva (EDS): Una nueva métrica que combina seguridad y utilidad ($EDS = (1 - ASR) \times Utilidad$). ARGUS logra la EDS más alta de 84.2%, superando significativamente a la siguiente mejor defensa (InjecGuard con 78.5%).
• Robustez: Bajo un ataque adaptativo de caja blanca (donde el adversario tiene conocimiento completo de la arquitectura y los prompts de ARGUS), la ASR aumenta solo al 5.9%, permaneciendo un 79% más baja que la línea base sin defensa.
• Estudios de Ablación: Eliminar cualquiera de las cuatro herramientas de seguridad (Segmentador, Anclador, Verificador de Implicación, Verificador de Invariantes) resulta en una degradación significativa del rendimiento (la ASR aumenta de 3.7% a 21.2%), confirmando que cada componente es necesario para la efectividad de la defensa.

Significado y Afirmaciones

El documento afirma que ARGUS representa un paso práctico hacia agentes LLM más seguros al abordar los modos de fallo específicos de las defensas existentes en escenarios del mundo real dependientes del contexto.

• Cambio de Paradigma: El trabajo argumenta que la "autorización solo por prompt" es insuficiente para agentes que dependen de datos en tiempo de ejecución. La seguridad debe anclarse en evidencia de tiempo de ejecución confiable y procedencia.
• Granularidad: El documento destaca que el filtrado grueso a nivel de observación es demasiado burdo para transportadores de contenido mixto. Al operar a nivel de tramo, ARGUS puede admitir datos benignos mientras rechaza la influencia maliciosa dentro del mismo documento.
• Resolución de Compromisos: Los autores demuestran que es posible lograr alta seguridad sin sacrificar la utilidad, un compromiso que las defensas existentes a menudo no logran equilibrar en entornos conscientes del contexto.

Los autores concluyen que, aunque ARGUS mitiga eficazmente la inyección de prompts en flujos de trabajo dependientes del contexto, persisten desafíos relacionados con la integridad del transportador (por ejemplo, documentos completamente falsificados) y problemas más amplios de seguridad del agente más allá de la inyección de prompts, los cuales quedan para trabajos futuros.