Stateful Online Monitoring Catches Distributed Agent Attacks

Resumen Técnico: Monitoreo en Línea con Estado para Ataques de Agentes Distribuidos

Planteamiento del Problema
Los agentes de Modelos de Lenguaje Extensos (LLM) son cada vez más capaces de identificar vulnerabilidades de software y realizar tareas de ciberseguridad complejas. Sin embargo, esta capacidad introduce un vector de amenaza novedoso: los ataques de agentes distribuidos. En estos escenarios, los atacantes descomponen un objetivo dañino único (por ejemplo, un exploit cibernético) en numerosas subtareas distribuidas entre muchas cuentas de usuario y sesiones de agentes. Aunque las transcripciones individuales parecen benignas y pasan los filtros de seguridad estándar, la actividad agregada constituye un ataque coordinado.

Los monitores de seguridad estándar están arquitectónicamente limitados porque evalúan solo un contexto de agente (transcripción) a la vez. Carecen del "estado" necesario para correlacionar evidencia a través de diferentes usuarios. En consecuencia, son estructuralmente ciegos ante el uso indebido que solo es visible en el agregado. El artículo demuestra que los atacantes pueden evadir los monitores estándar dividiendo las tareas de modo que ninguna sesión individual active una negativa, permitiendo que el ataque proceda hasta causar un daño significativo antes de ser detectado.

Metodología

1. El Ataque de Agente Distribuido (La Amenaza)
Los autores construyen el primer ataque de agente distribuido totalmente general utilizando un andamiaje multi-agente llamado ARTEMIS.

• Arquitectura: Un agente supervisor (que utiliza un modelo más débil, gpt-oss-120b) recibe un objetivo de ciberseguridad de alto nivel. Delega subtareas a subagentes más fuertes (que utilizan gpt-5.2) que se ejecutan en contextos de conversación aislados y frescos a través de diferentes cuentas de usuario.
• Ofuscación: El orquestador presenta cada subtarea como una tarea de ingeniería benigna (por ejemplo, "escanear esta red", "validar credenciales", "depurar un script"). El objetivo dañino solo se reconstruye cuando el supervisor agrega las salidas.
• Efectividad: El ataque resuelve con éxito tareas de ciberseguridad difíciles (CyBench) que el supervisor débil no puede resolver por sí solo, mientras evade los monitores estándar que detectan solo un ~20% de tales intentos en comparación con ataques previos de contexto único.

2. El Monitor con Estado en Línea (La Defensa)
Para contrarrestar esto, los autores proponen un monitor con estado en línea que razona sobre grupos de usuarios en lugar de transcripciones aisladas. El sistema opera en tiempo real con tres etapas clave:

• Puntuación Local: Un monitor estándar califica la solicitud entrante ($x_t$) para determinar su sospechosidad inmediata.
• Clustering en Línea: La solicitud se convierte en un embedding y se compara contra un conjunto de clústeres en línea que representan interacciones previas semánticamente relacionadas de otros usuarios.
  • En lugar de re-agrupar todos los datos históricos (lo cual es $O(N^2)$ y demasiado lento), el sistema mantiene un pequeño conjunto de centroides de clúster ($M_t$).
  • Las nuevas solicitudes se dirigen al centroide más cercano. Si la similitud es baja, se crea un nuevo clúster; de lo contrario, el centroide y su búfer de evidencia se actualizan en línea.
• Escalada de Contexto Cruzado: Una solicitud se escala a un "Monitor de Contexto Cruzado" (un juez LLM más fuerte) solo si:
  1. La puntuación local es moderadamente alta pero no se deniega inmediatamente, O
  2. El clúster asignado ha acumulado suficiente evidencia trans-sesión (por ejemplo, múltiples sesiones sospechosas en el mismo clúster).
  • El Monitor de Contexto Cruzado revisa la solicitud actual junto con las $k$ entradas históricas más sospechosas del mismo clúster para determinar si está ocurriendo una campaña coordinada.

Contribuciones Clave

1. Primer Ataque de Agente Distribuido: El artículo implementa y evalúa un ataque multi-agente que divide tareas dañinas a través de cuentas de usuario, demostrando que los monitores estándar fallan al detectarlo eficazmente (detectándolo solo un 20% de las veces en comparación con ataques de contexto único).
2. Monitor con Estado en Línea: Una arquitectura de defensa novedosa que utiliza el agrupamiento de flujos (stream clustering) en tiempo real para agregar señales débiles a través de millones de usuarios. Escala solo los clústeres sospechosos y raros a un juez LLM pesado, asegurando una baja latencia para la gran mayoría del tráfico benigno.
3. Red-Teaming y Generalización: A través de un ejercicio de red-teaming de caja blanca de dos meses, los autores refinaron la defensa. Sorprendentemente, descubrieron que el monitor con estado también mejora la detección de jailbreaks estándar y ataques de descomposición secuencial, ya que los atacantes adaptativos suelen reutilizar variantes de ataque a través de diferentes cuentas, dejando rastros que el monitor con estado puede correlacionar.

Resultados
Las evaluaciones se realizaron utilizando tráfico simulado de centros de datos con un enorme trasfondo de conversaciones de agentes de codificación benignas (10x a 100x más benignas que el tráfico de ataque).

• Desempeño de Detección: El monitor con estado domina en Pareto a los monitores estándar. Logra una mayor recuperación (recall) con la misma tasa de falsos positivos (FPR). Por ejemplo, con un trasfondo benigno de 100x, alcanzó un 65.8% de recall con un 1.47% de FPR, mientras que el mejor monitor estándar logró solo un 55% de recall con el mismo FPR.
• Tiempo de Detección (TTD): El monitor con estado captura ataques 30% más temprano en la trayectoria. Reduce el número de pasos dañinos que un atacante puede realizar antes de la detección (por ejemplo, reduciendo el TTD99 de 37.2 pasos a 25.4 pasos).
• Latencia: Para el ~99% del tráfico de los usuarios, la latencia adicional es insignificante. El sistema solo incurre en el costo del juez LLM de contexto cruzado para una pequeña fracción de las solicitudes (la "cola" del tráfico sospechoso).
• Red-Teaming: La defensa detectó con éxito el 82% de los intentos de "envenenamiento del contexto del monitor" y el 100% de los ataques de descomposición secuencial durante la fase de red-teaming.

Significancia y Reivindicaciones
El artículo argumenta que los ataques distribuidos representan una limitación fundamental de las arquitecturas de seguridad "sin estado" actuales. La significancia de este trabajo radica en el cambio de paradigma de un monitoreo de transcripción aislada a un razonamiento a nivel de población.

• Los autores afirman que, si bien el monitoreo con estado no resuelve el uso indebido distribuido (un atacante adaptativo con una ofuscación fuerte aún puede ocultarse), proporciona una capa de defensa crítica que captura los ataques más temprano y con mayor recuperación.
• El enfoque es escalable, manteniendo una baja latencia para la mayoría de los usuarios mientras identifica eficazmente "agujas en un pajar" mediante el aprovechamiento del agrupamiento semántico.
• El hallazgo de que el monitoreo con estado se generaliza a amenazas no distribuidas (como los jailbreaks) sugiere que el razonamiento sobre las poblaciones de usuarios es una estrategia de seguridad robusta para el futuro de la IA agéntica.