Resumen Técnico: Canales Dormidos y Compuertas de Procedencia

Definición del Problema: Canales Dormidos

El artículo identifica una nueva clase de amenazas en agentes de IA autónomos "siempre activos" (por ejemplo, OpenClaw, Hermes Agent) denominados Canales Dormidos. A diferencia de la inyección de prompts tradicional, que típicamente ocurre dentro de un solo turno o sesión, un ataque de canal dormido desacopla la entrada ($T_0$) del efecto ($T_1$) a lo largo del tiempo, los sustratos de almacenamiento y las superficies de comunicación.

En este escenario, una entrada no confiable (por ejemplo, de un chat grupal o un correo electrónico) es ingerida por el agente y persiste como una nota de memoria, una habilidad autoescrita, una tarea programada o un parche del sistema de archivos. Este artefacto sobrevive dentro del límite de autoridad del agente hasta que un desencadenante benigno (como una solicitud posterior del propietario o un bucle autónomo) lo recupera y ejecuta. El ataque se dispara a través de una superficie diferente a la de la entrada, aprovechando a menudo la condición de "subordinado confundido", donde el agente ejecuta un comando en nombre del propietario, sin saber que los parámetros del comando originaron de una fuente no confiable.

Los autores definen la clase utilizando dos ejes:

1. Sustrato de Persistencia: Dónde sobrevive la instrucción maliciosa (Memoria, Habilidad autoescrita, Sistema de archivos, Disparador programado/externo).
2. Separación de Disparo: El grado de desacoplamiento entre la entrada y la ejecución (Misma sesión, Entre canales, Entre actores, Entre contextos de ejecución).

El artículo argumenta que la literatura existente trata estas capacidades de forma aislada (por ejemplo, inyección de un solo turno o envenenamiento de memoria) y no aborda la amenaza unificada de la persistencia multi-sustrato combinada con un disparo diferido y entre superficies.

Metodología y Modelo de Amenazas

Los autores adoptan un modelo de amenazas donde el atacante es "no confiable pero admitido", lo que significa que su contenido llega al agente a través de canales habilitados pero de baja confianza (chats grupales, correos electrónicos, URLs obtenidas). El defensor es el propietario del agente. El análisis se ancla a un commit fijo específico del entorno de ejecución OpenClaw (commit 3120401f...1829b1b6), con todas las afirmaciones verificadas contra el código fuente incluido.

El artículo presenta una taxonomía (Tabla I) que mapea los sustratos de persistencia ($M_1$–$M_5$) contra las separaciones de disparo ($C_0$–$C_4$). Destaca cuatro escenarios ilustrativos que trabajos anteriores especifican insuficientemente:

• A4 (Ejemplo en ejecución): Un ataque de "Cron vía subordinado confundido" ($M_5 \times C_4$). Un atacante incrusta una URL de webhook maliciosa en un correo electrónico. El agente resume esto en la memoria. Días después, el propietario le pide al agente que "configure esa verificación de salud diaria". El agente recupera la nota, sintetiza un trabajo cron con la URL del atacante y lo ejecuta. La persistencia es la entrada cron; el disparo ocurre en el daemon cron del sistema, fuera del proceso del agente.
• A2: Un troyano de habilidad vía chat grupal ($M_3 \times C_2$).
• A3: Exfiltración entre canales vía memoria ($M_2 \times C_2$).
• A5: Parcheo de archivos ocultos (dotfiles) ($M_4 \times C_4$).

Contribuciones Clave: La Defensa de Procedencia (D2)

El artículo propone una estrategia de defensa por niveles, siendo D2 la contribución central. D2 mueve el límite de aplicación fuera del bucle del modelo, confiando en el seguimiento de procedencia y la atestación de instancias de acción.

Mecanismos Centrales

1. Etiquetado y Propagación de Artefactos: El entorno de ejecución mantiene un estado de procedencia ($\Pi$) para cada artefacto (memoria, habilidades, archivos, llamadas a herramientas). Las etiquetas ($\tau$) registran la fuente (Canal, Principal, Dispositivo). Las entradas no confiables estrictamente amplían el conjunto de procedencia.
2. Resumen de Instancia de Acción: Cada acción consequential $\alpha$ se resume en un resumen canónico $\delta(\alpha)$ utilizando una función hash resistente a colisiones (SHA-256) sobre los bytes de acción normalizados (incluyendo argumentos y destino). Esto derrota el "lavado de paráfrasis" donde un modelo reescribe una instrucción del atacante para ocultar su origen.
3. Ganchos de Mediación: La defensa requiere una mediación completa mediante diez ganchos de tiempo de ejecución (H1–H10).
   • Ganchos de Actualización (H1–H5): Población de etiquetas y propagación de procedencia durante la entrada y creación.
   • Ganchos de Compuerta (H6–H10): Puntos de decisión antes de despachos con efectos secundarios (por ejemplo, ejecución de shell, escrituras de archivo, programación).
4. Atestación del Propietario de Un Solo Disparo: Para acciones con procedencia no confiable, la compuerta requiere una concesión $g$ de un principal confiable. Esta concesión debe coincidir con el resumen de acción $\delta(\alpha)$, contener un nonce único (para prevenir la repetición) y llegar a través de un canal compañero con atestación de hardware ($\Sigma$) que el modelo no puede emitir.

Teorema de Solidez

Los autores proporcionan un teorema de solidez para D2, asumiendo siete invariantes de tiempo de ejecución (Mediación, Etiqueta, Causal, Canal, Autenticación de Concesión, Nonce, Hash). El teorema establece que un despacho solo se permite si:

• Todos los artefactos contribuyentes en el conjunto causal tienen procedencia confiable ($\Pi_\alpha \subseteq T$), O
• Existe una atestación válida, fresca y confiable por parte del propietario para la instancia exacta de la acción.

Este diseño asegura que, incluso si el modelo es engañado para generar un comando malicioso, la compuerta lo denegará a menos que el propietario ateste explícitamente esa instancia de acción específica a través de un canal seguro.

Resultados y Evaluación

El artículo no afirma tener un sistema de producción desplegado, sino que proporciona un argumento de viabilidad anclado al código fuente y una implementación de referencia ejecutable.

• Sonda Empírica (A4): En una "sonda de humo" de 20 ensayos de un solo disparo, se dio a un modelo de razonamiento de vanguardia la advertencia de seguridad de OpenClaw y el contexto malicioso. 19/20 modelos emitieron una llamada válida a la herramienta cron.add apuntando a la URL del atacante, demostrando que las advertencias en contexto (D1) son insuficientes para prevenir el ataque.
• Implementación de Referencia: Un artefacto complementario en github.com/maloyan/sleeper-channels incluye:
  • Una implementación en TypeScript de la función de decisión de la compuerta D2.
  • Una suite de auditoría estática (13 casos) que verifica que las líneas de código citadas en OpenClaw existen y coinciden con el modelo de amenazas.
  • Un adaptador de tiempo de ejecución que implementa los ganchos H1, H2, H3, H6 y H9 alrededor de la ruta cron.
  • Una suite de pruebas de 42 casos que cubre reglas de decisión, lavado de múltiples entradas y repetición de concesiones.
• Verificación: El adaptador de tiempo de ejecución demostró exitosamente que la llamada del atacante A4 es denegada debido a la procedencia no confiable, mientras que los trabajos cron benignos solo del propietario son admitidos.

Significado y Afirmaciones

El artículo se posiciona como un artículo de posición y diseño que corrige la clase de amenazas de los canales dormidos y proporciona una especificación formal para la defensa.

• Novelty: Es el primer trabajo que trata la combinación de persistencia multi-sustrato y disparo diferido entre superficies como una clase de amenaza unificada en agentes en vivo del sistema operativo.
• Ubicación de la Defensa: Argumenta que las señales de procedencia deben aplicarse fuera del bucle del modelo. Confiar en que el modelo rechace entradas no confiables (D1) es frágil frente a ataques adaptativos.
• Formalismo: Introduce un teorema de solidez y un resumen canónico de instancia de acción para derrotar el lavado de paráfrasis y los ataques de repetición, abordando lagunas en propuestas anteriores de la comunidad (por ejemplo, la issue upstream [10]) que carecían de fundamentación empírica y especificaciones formales de aplicación.
• Modestia: Los autores declaran explícitamente que las tasas empíricas de éxito de los ataques, la eficacia de la implementación completa y las compensaciones entre utilidad y costo se posponen para un estudio posterior preregistrado. El trabajo actual establece la taxonomía, la defensa formal y la viabilidad del ataque y la defensa en un commit específico del entorno de ejecución.