Resumen Técnico: CAESAR – Un Marco de Agentes Múltiples Coordinados para Intrusiones Cibernéticas Automatizadas

1. Planteamiento del Problema

Los Modelos de Lenguaje Grande (LLM) han demostrado capacidad en tareas de seguridad ofensiva, como la triaje de vulnerabilidades y la redacción de exploits. Sin embargo, los enfoques actuales de agente único comprimen todo el flujo de trabajo de intrusión —extracción de evidencia, planificación, ejecución y validación— en un único contexto conversacional. Esta compresión conduce a desviación del contexto, propagación de errores y alucinaciones, particularmente en campañas complejas y multietapa como las Amenazas Persistentes Avanzadas (APT).

Las campañas de intrusión del mundo real requieren fases interdependientes (reconocimiento, formación de hipótesis, construcción de exploits, actividad post-compromiso) que exceden el presupuesto de tokens práctico y la coherencia de memoria de una sola llamada a un LLM. Los sistemas de agentes múltiples existentes a menudo se centran en la colaboración o el debate general, pero no logran modelar explícitamente los límites de roles, la procedencia de los artefactos y las restricciones estrictas de costos (tokens, tiempo, riesgo) necesarias para el razonamiento adversario y multietapa. En consecuencia, las tuberías de agente único a menudo colapsan en secuencias de prueba y error que no logran converger en dominios heterogéneos como el análisis binario o la inferencia algebraica.

2. Metodología: El Marco CAESAR

El artículo presenta CAESAR (Ejecución Adversaria Coordinada y Razonamiento Estratégico), un marco de agentes múltiples coordinados diseñado para operacionalizar flujos de trabajo de estilo de intrusión mediante un protocolo estructurado basado en rondas.

A. Modelo Formal y Arquitectura

CAESAR se formaliza como una tupla $F = \langle R, E, K, W, \Pi, V \rangle$, operando sobre un entorno objetivo $E$ con un presupuesto operativo acotado $\Gamma = \langle c_{tok}, c_{time}, c_{risk} \rangle$. El marco descompone el flujo de trabajo en cinco operadores de roles tipificados:

1. Detective (D): Extrae características relevantes y evidencia del entorno objetivo.
2. Estratega (S): Organiza la evidencia en grafos de hipótesis, construyendo vías de solución alternativas.
3. General (G): Evalúa las hipótesis contra el vector de presupuesto y selecciona un plan ejecutable, asignando acciones a ejecutores específicos.
4. Ejecutor (E): Invoca herramientas específicas del dominio (por ejemplo, depuradores, desensambladores) para ejecutar acciones atómicas.
5. Validador (V): Inspecciona trazas de ejecución, valida resultados y controla la promoción de patrones confiables a una base de conocimientos persistente.

B. El Protocolo de Ronda

El marco se ejecuta en rondas discretas, cada una procediendo a través de seis etapas:

1. Inicialización: Se crea una instantánea de solo lectura de la base de conocimientos persistente ($K$) para la ronda.
2. Recopilación de Evidencia: El Detective emite acciones de observación acotadas, generando artefactos de evidencia estructurada.
3. Construcción de Hipótesis: El Estratega construye un grafo de hipótesis utilizando la evidencia actual y patrones reutilizables de $K$.
4. Formación del Plan: El General puntúa las hipótesis utilizando una función de utilidad $U_G$ que equilibra la probabilidad de éxito frente a los costos de tokens, tiempo y riesgo. Se negocia un plan y se asigna a los ejecutores.
5. Ejecución de Tareas: Los ejecutores invocan herramientas y emiten trazas estructuradas.
6. Evaluación y Promoción: El Validador puntúa todos los artefactos. Solo aquellos que superan un umbral de promoción $\tau_{prom}$ se comprometen a la base de conocimientos persistente $K$ como entradas tipificadas (Patrones, Capacidades o Retroalimentación).

C. Mecanismos Clave

• Promoción de Conocimientos Controlada por Validador: Para evitar la amplificación de errores, solo los artefactos validados y de alta confianza se promueven a $K$. Esto asegura que las rondas subsiguientes se basen en observaciones verificadas y no en estados alucinados.
• Artefactos Tipificados y Procedencia: Cada artefacto lleva un tipo, un hash de contenido y un enlace de procedencia, permitiendo al Validador auditar productos intermedios contra especificaciones.
• Planificación Consciente del Presupuesto: El General optimiza explícitamente un vector de compensación, asegurando que los planes permanezcan dentro de los límites de tokens, tiempo y riesgo.
• Aislamiento de Escritura: Los roles tienen acceso de escritura aislado a sus particiones de espacio de trabajo específicas, con el Validador actuando como el único escritor en la base de conocimientos compartida.

3. Contribuciones Clave

1. Propuesta de Marco: La introducción de CAESAR, que operacionaliza la especialización de roles, la memoria controlada por validador y la planificación consciente del presupuesto bajo un protocolo formal de rondas tipificadas.
2. Evaluación Sistemática: Una evaluación exhaustiva en 25 desafíos reales de CTF (Reverse, Pwn, Crypto, Misc, Web) a través de cuatro backends de LLM contemporáneos (GPT-5, Gemini 2.5, Grok-4, DeepSeek-R1).
3. Estudio de Generalización: Un estudio secundario que demuestra que el patrón de coordinación se transfiere a escenarios de infiltración de ingeniería social, logrando una mayor tasa de éxito en la extracción y un menor riesgo de detección que las líneas base de agente único.
4. Perspectivas Defensivas: Evidencia empírica que sugiere que la estructura de coordinación, y no la capacidad bruta del modelo, impulsa la fuerza de ataque emergente, lo que implica la necesidad de un monitoreo estructural de la dinámica de roles.

4. Resultados y Análisis

La evaluación comparó a CAESAR con líneas base de agente único bajo acceso a herramientas y restricciones de presupuesto idénticas.

• Tasas de Éxito y Eficiencia: CAESAR mejoró consistentemente las tasas de éxito en las tareas y redujo el tiempo de resolución en las cinco categorías de CTF. Por ejemplo, en la categoría Reverse con GPT-5, la tasa de éxito mejoró en +0.36, y el tiempo de resolución bajó de ~54 minutos (agente único) a ~24 minutos (agente múltiple).
• Comportamiento Adaptativo: El marco demostró aprendizaje adaptativo. El rendimiento se estabilizó después de un pequeño número de rondas exitosas, con la memoria controlada por validador suprimiendo la amplificación de errores. Las puntuaciones de roles (asignadas por el Validador) mostraron reconfiguración cerca de ejecuciones exitosas, indicando que el sistema aprendió de la retroalimentación validada.
• Agnosticismo del Backend: Los beneficios de la coordinación fueron consistentes en los cuatro backends de LLM. Aunque el rendimiento bruto varió según el modelo (por ejemplo, Grok-4 mostró puntuaciones de razonamiento más altas en tareas de Crypto), la ganancia relativa proporcionada por la estructura de agente múltiple fue estable. Esto sugiere que la mejora proviene del protocolo de coordinación y no de capacidades específicas del modelo.
• Transferencia de Ingeniería Social: En el estudio de ingeniería social, el equipo de agentes múltiples logró 3/3 secretos obtenidos sin detección para la Ronda 10, mientras que la línea base de agente único logró solo 1/3. El enfoque de agente múltiple cambió con éxito de la exploración directa (que activó la detección) a estrategias de elicitación indirecta.

5. Significado y Afirmaciones

El artículo afirma que la coordinación, y no la inteligencia bruta del modelo, es el factor dominante en la efectividad de ataque observada.

• Vulnerabilidad Estructural: Los hallazgos sugieren que los futuros adversarios impulsados por IA se manifestarán probablemente como ensembles distribuidos que intercambian información parcial y refinan estrategias a través de rondas, en lugar de instancias singulares "superinteligentes".
• Implicaciones Defensivas: Las salvaguardias actuales a nivel de contenido (filtros de entrada/salida, capas de alineación) son insuficientes porque evalúan mensajes de forma aislada. Un atacante coordinado distribuye la intención a través de roles y rondas, haciendo que la señal dañina emerja solo cuando los mensajes se correlacionan.
• Cambio en la Defensa: Los autores argumentan que la defensa debe cambiar de la filtración basada en contenido al monitoreo estructural de la dinámica de roles, la procedencia de artefactos y la formación de estrategias entre mensajes. Las señales a nivel de protocolo externalizadas por CAESAR (por ejemplo, referencias repetidas a entidades protegidas entre agentes, especialización gradual de roles) se proponen como las cantidades necesarias para la defensa estructural.

Limitaciones Reconocidas

Los autores notan explícitamente que:

• Los desafíos de CTF son proxies simplificados de intrusiones reales, careciendo de defensores activos y restricciones persistentes.
• El marco no ha sido probado contra sistemas de producción en vivo y endurecidos.
• El estudio de ingeniería social utilizó personas basadas en LLM, no humanos reales, lo que limita las afirmaciones sobre la efectividad operativa contra la cognición humana real.
• El protocolo asume agentes cooperativos; los roles bizantinos o engañosos están fuera del alcance.