Brain-Prompt Injection: A Route-Safety Audit for BCI-LLM Agents

Resumen Técnico: Auditorías de Inyección de Prompts Cerebrales y de Seguridad de Ruta para Agentes BCI–LLM

1. Definición del Problema

El artículo aborda una nueva vulnerabilidad de seguridad que surge de la integración de Interfaces Cerebro-Computadora (BCI) con agentes de uso de herramientas basados en Modelos de Lenguaje de Gran Escala (LLM). En esta arquitectura, la actividad neural decodificada (por ejemplo, señales EEG) sirve como un canal de autorización para que un agente ejecute herramientas (por ejemplo, mover un cursor, enviar un mensaje). Los autores identifican una nueva superficie de ataque denominada inyección de prompts cerebrales (brain-prompt injection), donde un adversario manipula la señal neural o el contexto circundante para forzar al agente a ejecutar acciones no autorizadas.

El artículo define tres modos de fallo específicos que los mecanismos de seguridad actuales no logran abordar de forma conjunta:

• C1 (Perturbación del Lado de la Señal): Perturbaciones adversarias en la ventana de EEG que alteran el comando decodificado, de forma similar a los ejemplos adversarios tradicionales.
• C2 (Inyección Solo de Contexto): Análogo a la inyección de prompts indirectos en los LLM, donde un atacante modifica el contexto externo (por ejemplo, documentos recuperados o prompts del sistema) para cambiar la ruta del agente. Crucialmente, la señal de EEG permanece "limpia", lo que provoca que los monitores que solo analizan el EEG no detecten la anomalía.
• C3 (Ataque de Doble Decodificador Adaptativo): Un atacante aplica una perturbación compartida a la entrada bruta vista tanto por un decodificador primario ($f$) como por un decodificador de verificación ($f_2$). Esto satisface el predicado de "acuerdo" de seguridad (ambos decodificadores producen el mismo objetivo) mientras conduce a ambos hacia un objetivo elegido por el atacante en lugar de la intención del usuario.

El problema central es que las afirmaciones de seguridad existentes (por ejemplo, "el acuerdo de doble decodificador certifica la intención") son matemáticamente insuficientes porque no tienen en cuenta la elevación de dependencia atacada (attacked dependence lift): la probabilidad conjunta de que ambos decodificadores sean dirigidos simultáneamente hacia el mismo objetivo malicioso por una perturbación compartida.

2. Metodología y Marco Teórico

El Contrato de Auditoría de Seguridad de Ruta
Los autores proponen un Contrato de Auditoría de Seguridad de Ruta formal para definir las condiciones necesarias para certificar la seguridad de la ruta. Este contrato consta de:

• Esquema de Registro ($L_c$): Un conjunto mínimo de variables que deben registrarse por caso, incluyendo la procedencia del contexto, decisiones secundarias atacadas, políticas de ejecución y resultados de la ruta.
• Jerarquía de Denominadores ($D_c$): Denominadores estadísticos específicos (por ejemplo, casos de fuente-no-objetivo, jerarquías a nivel de semilla) requeridos para calcular tasas válidas.
• Especificación de Punto Final ($G_c$): Criterios definidos de aprobación/fallo.

Contribuciones Teóricas

• Teorema de Separación de Esquema de Auditoría: El artículo demuestra que sin el registro de variables específicas (como la procedencia del contexto para C2 o las decisiones secundarias atacadas para C3), dos mundos de auditoría pueden parecer idénticos en sus registros mientras poseen valores de verdad de seguridad opuestos. Por lo tanto, las métricas estándar (como las tasas de acuerdo limpio) no son identificadoras para estas clases de ataque.
• Descomposición de Dependencia Atacada de C3: Los autores descomponen el riesgo de un ataque C3 en tres términos: la probabilidad del objetivo primario ($p_1$), el término de acuerdo condicional atacado ($P(B|A)$) y el término de la política de ejecución ($\alpha$). Demuestran que las estadísticas de acuerdo limpio no pueden identificar el término conjunto atacado ($\Delta_D$), lo que significa que un alto acuerdo limpio no garantiza la seguridad bajo ataque.
• Capa de Calibración Conforme: Para abordar C3, el artículo aplica calibración split-conformal a un canal de confirmación no-oráculo (una ventana de EEG independiente decodificada por un modelo separado). Esto establece un límite teórico en la Tasa de Falsos Aceptos (FAR) bajo un modelo de amenaza específico (B-strict) que requiere:
  1. Aislamiento de Adquisición: La ventana de confirmación se adquiere de una sesión que el atacante no puede influenciar.
  2. No Controlabilidad del Canal de Confirmación: El atacante no puede perturbar la ventana de confirmación.
     El artículo demuestra mediante un argumento de factibilidad PGD que si el atacante puede perturbar la ventana de confirmación, no existe un límite uniforme de FAR.

3. Validación Experimental

Los autores instancian el contrato de auditoría en datos de control de comando izquierda/derecha nativos de EEGMMI que involucran 5,400 eventos a través de 60 sujetos, 10 semillas aleatorias y estuches de herramientas inofensivos (movimientos del cursor).

Hallazgos Experimentales Clave:

• Vulnerabilidad C2: La inyección de solo contexto logra rutear la acción objetivo con una tasa de 1.000 cuando la procedencia está ausente. Cuando se impone la procedencia del contexto, la ruta es bloqueada (0.000), mientras que los monitores del lado del EEG permanecen ciegos al ataque.
• Vulnerabilidad C3: Bajo perturbaciones de entrada bruta compartida, el acuerdo de doble decodificador falla en prevenir el ruteo no autorizado. La tasa de éxito del ataque para C3 es de 1.000 incluso cuando el acuerdo y la procedencia están presentes.
• Eficacia de la Confirmación: La introducción de una ventana de confirmación de EEG independiente (proxy no-oráculo) reduce significativamente el ruteo de C3.
  • Con una Tasa de Falsos Aceptos objetivo ($\alpha$) de 0.05, la tasa de ruteo de C3 cae a 0.178 (IC 95% [0.153, 0.206]) con una utilidad limpia de 0.573.
  • Con $\alpha = 0.01$, la tasa de ruteo de C3 cae a 0.091 (IC 95% [0.073, 0.113]) con una utilidad limpia de 0.458.
• Necesidad del Arquetipo de Amenaza: Los experimentos validan la necesidad del modelo de amenaza B-strict. Cuando se permite al atacante perturbar la ventana de confirmación (Arquitectos C y C'), la FAR explota a ~1.000, confirmando el límite teórico.
• Preprocesamiento y Pruebas de Estrés: El artículo prueba la robustez del bypass de acuerdo contra restricciones de preprocesamiento (suavizado, limitación de banda, desplazamientos temporales). Aunque las restricciones combinadas (suavizado + limitación de banda) reducen las tasas de acuerdo a 0.156, el ataque sigue siendo factible bajo muchas restricciones realistas, y la sensibilidad de la alineación temporal se identifica como un punto frágil.
• Saturación de Capacidad: Los experimentos que varían la capacidad del modelo confirmador (TinyEEGNet vs. EEGNetV4) muestran que la frontera FAR/utilidad está limitada por el conjunto de datos más que por el modelo; aumentar la capacidad del modelo más allá de unos pocos cientos de parámetros produce rendimientos decrecientes.

4. Contribuciones Clave

1. Definición de Inyección de Prompt Cerebral: Formalización de la superficie de ataque donde las señales neurales y los contextos de LLM interactúan, identificando específicamente los modos de fallo C1, C2 y C3.
2. Contrato de Auditoría de Seguridad de Ruta: Un marco teórico que demuestra que las afirmaciones de seguridad requieren esquemas de registro y denominadores específicos. Establece que el acuerdo limpio no es un certificado de intención bajo ataques adaptativos.
3. Calibración Conforme para BCI: Adaptación de la predicción split-conformal a los canales de confirmación de BCI, proporcionando un límite riguroso y falsable sobre las rutas confirmadas no autorizadas bajo aislamiento estricto de adquisición.
4. Instanciación Empírica: Un protocolo de auditoría exhaustivo en datos reales de EEG (EEGMMI) que demuestra que:
   • La procedencia bloquea C2.
   • El acuerdo por sí solo falla contra C3.
   • La confirmación independiente (con aislamiento estricto) reduce el riesgo de C3 pero no lo elimina, creando una frontera medible de riesgo-utilidad.

5. Significado y Reivindicaciones

El artículo posiciona su contribución como un protocolo de auditoría estrecho y testeable en lugar de una garantía de despliegue general o una demostración de ataque físico.

• Reivindicaciones Modestas: Los autores declaran explícitamente que no están estimando la prevalencia de BCI desplegados, la viabilidad de la inyección física o el consentimiento humano. Los experimentos son auditorías de autorización offline.
• Significado Central: La contribución principal es la demostración de que las afirmaciones de seguridad de ruta deben ser específicas de la clase. Un certificado de seguridad válido para C1 (perturbación de señal) es insuficiente para C2 (inyección de contexto) o C3 (acuerdo adaptativo).
• Implicación Práctica: El artículo argumenta en contra de tratar el acuerdo de doble decodificador como un predicado de seguridad suficiente. En su lugar, aboga por un stack de seguridad que incluya registro de procedencia, canales de confirmación independientes (con aislamiento estricto) y denominadores específicos de clase para falsificar las afirmaciones de seguridad.
• Limitaciones: El trabajo reconoce que la no-estacionariedad entre días, el reasentamiento del casco y la deriva de impedancia son supuestos abiertos no cubiertos por el conjunto de datos actual. El puente del "enrutador en vivo" es una verificación de transcripción, no una validación de agente en tiempo real.

En resumen, el artículo proporciona un marco matemático y empírico riguroso que muestra que los mecanismos de seguridad de BCI-LLM actuales son ciegos a vectores de ataque conjuntos específicos, y propone un esquema de auditoría mínimo y una capa de calibración conforme para hacer que estos riesgos sean medibles y falsables.