Resumen Técnico: ¿Quién es el dueño de este agente? Rastreando agentes de IA hasta sus propietarios

1. Definición del Problema: Atribución de Agentes

El documento identifica y formaliza la atribución de agentes como una brecha de seguridad crítica y emergente. A medida que los agentes de IA se despliegan cada vez más para actuar de forma autónoma —enviando mensajes, navegando por sitios web, llamando a APIs y ejecutando scripts—, actualmente no existe ningún mecanismo técnico fiable para rastrear una interacción dañina de un agente hasta la cuenta específica del operador que lo desplegó.

Esta brecha de responsabilidad existe en todo el espectro del comportamiento de los agentes:

• Daño Involuntario: Operadores benignos pueden desplegar agentes mal configurados (por ejemplo, condiciones de parada defectuosas, objetivos demasiado amplios) que causan spam, sobrecarga de servicios o acciones no deseadas.
• Daño Intencional: Operadores maliciosos pueden armizar agentes para cometer fraude, acoso, intrusión cibernética o desinformación.

En ambos casos, las partes afectadas (víctimas) observan el comportamiento dañino, y los proveedores (proveedores de LLM) mantienen los registros de sesión, pero ninguna parte puede vincular el comportamiento externo observado con la cuenta del proveedor responsable. Los mecanismos de recurso existentes fallan porque:

• La identificación basada en IP es ineficaz ya que los agentes rotan direcciones y utilizan proxies.
• La investigación a nivel de plataforma solo identifica cuentas superficiales desechables (por ejemplo, personas falsas), no la cuenta del proveedor subyacente.
• La huella digital conductual detecta la presencia de un agente pero no puede identificar cuál de los millones de cuentas de proveedores es la responsable.
• El proceso legal requiere un fundamento (identificar la sesión y la cuenta específicas) antes de poder exigir la divulgación, lo cual es actualmente imposible sin un puente técnico.

Los autores postulan que este problema es particularmente abordable en el entorno de Modelos de Lenguaje Grande (LLM) alojados por proveedores. Incluso los adversarios sofisticados a menudo dependen de modelos alojados por proveedores (por ejemplo, OpenAI, Anthropic o modelos de código abierto alojados) para sus capacidades de razonamiento. Aunque el operador controla el tiempo de ejecución y los envoltorios, las llamadas al modelo pasan a través del proveedor y se registran contra una cuenta.

2. Metodología: El Protocolo Basado en Faros

Los autores proponen un protocolo de atribución basado en faros que cierra la brecha entre la observación de la víctima y los registros del proveedor. El protocolo involucra a cinco partes principales: el Agente, el Operador, el Proveedor, la Víctima y una Autoridad (por ejemplo, fuerzas del orden o una entidad comercial).

Mecanismo Central

1. Inyección: Una Autoridad ($\mathcal{D}$) autorizada inyecta un faro en el flujo de contenido que el Agente ($\mathcal{A}$) es probable que consuma.
   • Interacción Directa: La Autoridad interactúa directamente con el agente (por ejemplo, mediante chat) e inyecta el faro.
   • Interacción Pasiva: La Autoridad coloca faros en ubicaciones que el agente se espera que visite (por ejemplo, páginas web específicas, archivos) y los instrumenta con ganchos.
2. Propagación: El agente procesa el contenido. Si el agente reenvía este contenido a su LLM alojado por el proveedor, el faro aparece en los registros de sesión del proveedor.
3. Búsqueda: La Autoridad inicia una solicitud de atribución con el Proveedor ($\mathcal{V}$), especificando el momento de la inyección ($\tau$) y los valores del faro.
4. Recuperación: El Proveedor busca en una ventana de tiempo estrecha de registros de sesión activos los faros. Si se encuentran, el proveedor vincula la sesión con la cuenta del Operador ($\mathcal{O}$) responsable.

Construcciones de Faros

El documento distingue entre dos entornos, requiriendo diferentes tipos de faros:

• Entorno No Adversarial: El operador no intenta evadir la atribución.

  • Faros Léxicos: Secuencias de tokens exactas y simples (por ejemplo, cadenas aleatorias, UUIDs o identificadores relevantes para la tarea como códigos de proyecto). Estos son suficientes porque el agente pasa el contenido entrante al modelo literalmente.

• Entorno Adversarial: El operador despliega un envoltorio ($\mathcal{W}$) para filtrar, parafrasear o reescribir el contenido entrante para suprimir marcadores.

  • Faros con Utilidad: Para contrarrestar la evasión, los autores introducen faros que son indistinguibles del contenido legítimo de la tarea. Eliminarlos degradaría la capacidad del agente para realizar su tarea.
  • Faros Léxicos con Utilidad: Identificadores críticos para la tarea (por ejemplo, nombres de archivos en un listado de directorios, IDs específicos en una consulta de base de datos) que el agente debe preservar para tener éxito.
  • Faros Semánticos: Firmas definidas por el significado en lugar de la forma superficial (por ejemplo, estilos de habla, patrones estructurales, señales de urgencia o hábitos retóricos específicos). Estos sobreviven mejor al parafraseo que las cadenas exactas.
  • Estrategia de Múltiples Faros: La Autoridad muestrea un subconjunto ($K$) de un gran universo de faros ($N$) e los inyecta. La detección requiere un umbral ($m$) de coincidencias. Esto crea una asimetría favorable al defensor: el adversario debe filtrar agresivamente el contenido para eliminar los faros, lo que inevitablemente degrada la utilidad del agente (por ejemplo, causando que falle en un ciberataque o estafa), mientras que el defensor puede llevar la probabilidad de atribución arbitrariamente cerca de 1.

3. Contribuciones Clave

1. Formalización del Problema: Este es el primer trabajo que identifica y define la "atribución de agentes" como un problema de seguridad distinto y caracteriza la taxonomía completa de escenarios (involuntario vs. intencional, diversos objetivos de ataque).
2. Protocolo Práctico: Un protocolo de atribución mediado por proveedores que funciona sin un pre-registro universal ni exposición continua de la identidad. Se basa en la dependencia estructural de los agentes de los modelos alojados por proveedores.
3. Construcciones Robustas de Faros:
   • Desarrollo de faros con utilidad (tanto léxicos como semánticos) que crean una compensación para los adversarios: evadir la atribución requiere degradar el rendimiento del agente.
   • Formalización de la asimetría donde el defensor puede controlar la probabilidad de atribución mientras el adversario paga un costo de utilidad por la evasión.
4. Evaluación Empírica: Pruebas exhaustivas en tres dominios:
   • Agentes de Comunicación: Interacciones en chat y foros.
   • Agentes Web: Ingesta y raspado de documentos HTML.
   • Agentes Cibernéticos: Agentes autónomos que utilizan herramientas en entornos de Capture-The-Flag (CTF).

4. Resultados Experimentales

La evaluación demuestra que el protocolo es fiable, robusto y escalable.

• Rendimiento No Adversarial:

  • Los faros léxicos logran una detección casi perfecta (TPR $\approx$ 1.0) con falsos positivos casi nulos (FPR) cuando el contenido se pasa sin cambios.
  • Los faros semánticos también logran altas tasas de detección (AUC $\approx$ 0.98–0.99) en entornos de chat y foros.

• Robustez Adversarial:

  • Ataques de Parafraseo: Cuando un envoltorio parafrasea el contenido, los faros léxicos exactos fallan (el TPR cae a $\approx$ 0.20). Sin embargo, los faros semánticos permanecen robustos. En entornos de chat, el TPR se mantiene por encima de 0.97 incluso bajo parafraseo cuando se utiliza un umbral de múltiples faros ($m$-de-$k$).
  • Agentes Web: Los faros léxicos visibles (incrustados en el texto renderizado) sobreviven al preprocesamiento y al parafraseo en tasas superiores al 60%. Los faros estructurales (ocultos en el DOM) son más frágiles. Los faros de diseño semántico proporcionan un canal secundario robusto.
  • Agentes Cibernéticos (CTF): Esta es la prueba más fuerte. Un adversario consciente de los faros que intenta eliminarlos de las salidas de las herramientas provocó que la tasa de resolución del agente colapsara del 51% al 9%. Esto confirma la compensación entre utilidad y evasión: suprimir la evidencia de atribución destruye la misión del agente.
  • Precisión de Atribución: En entornos cibernéticos, la atribución a nivel de sesión logró un TPR $\ge$ 98% con un FPR cercano a cero, incluso bajo condiciones adversarias.

• Escalabilidad:

  • Se demuestra que la búsqueda del lado del proveedor es operativamente práctica. Al buscar solo en una ventana de tiempo acotada de sesiones concurrentes y utilizar la coincidencia a nivel de token (aprovechando los registros tokenizados existentes), los costos de búsqueda escalan linealmente con el número de sesiones activas, no con el tamaño total del registro. Se encontró que la búsqueda a nivel de token es aproximadamente 2 veces más rápida que la coincidencia a nivel de carácter.

5. Significado y Afirmaciones

El documento afirma ser el primer trabajo que define la atribución de agentes y presenta una solución práctica. Su significado radica en:

• Restablecer el Recurso: Proporciona un puente técnico que permite a víctimas, plataformas y autoridades identificar a los operadores responsables, permitiendo la intervención en casos benignos y la responsabilidad legal en los maliciosos.
• Viabilidad para Proveedores: El protocolo aprovecha la infraestructura existente de los proveedores (registros, servicio de API) y no requiere cambios en el código de tiempo de ejecución del agente ni en la infraestructura del operador.
• Asimetría en la Defensa: Al vincular los faros a la utilidad de la tarea, el protocolo obliga a los adversarios a un dilema donde evadir la atribución compromete sus propios objetivos.

Los autores se mantienen modestos sobre las limitaciones, señalando que la evaluación utiliza familias de modelos y configuraciones de envoltorios específicos, y que la inyección indirecta (prediciendo trayectorias de agentes) requiere más pruebas en el mundo real. Sin embargo, afirman que el método propuesto ofrece un camino desplegable hacia la rendición de cuentas para agentes de IA cada vez más autónomos.