Resumen Técnico: Observabilidad para la Ejecución Delegada en Sistemas de IA Agéntica

Planteamiento del Problema

El artículo identifica una brecha crítica en la observabilidad de los sistemas agénticos basados en Modelos de Lenguaje de Gran Escala (LLM): la ejecución con alcance de delegación no es identificable mediante observables estándar (registros de auditoría y trazas de ejecución).

En los sistemas tradicionales, la ejecución sigue un flujo de trabajo prescrito. En los sistemas agénticos, la ejecución es delegada: un principal emite un contexto de autorización duradero a un agente, el cual luego selecciona herramientas dinámicamente, varía las secuencias de ejecución, retrocede (backtracking) y genera sub-agentes. Esto crea un desajuste estructural:

1. Ortogonalidad de la Autoridad y la Causalidad: La unidad de rendición de cuentas (la delegación) es estructuralmente ortogonal a la unidad de ejecución (la traza causal/span). Una sola delegación puede abarcar llamadas a herramientas causalmente desconectadas (reintentos paralelos, dispersión asíncrona), mientras que acciones causalmente conectadas pueden ocurrir bajo distintas delegaciones (re-delegación).
2. No Identificabilidad: El artículo demuestra que la pertenencia a una delegación no puede reconstruirse a partir de trazas de ejecución y atributos locales de eventos únicamente. Múltiples asignaciones de delegación incompatibles pueden producir una telemetría observable idéntica (registros de auditoría y grafos causales).
3. Limitaciones de las Herramientas Actuales: Los mecanismos existentes (SIEM, OpenTelemetry, LangSmith) registran acciones individuales o cadenas causales, pero carecen de la semántica para reconstruir "qué acciones ocurrieron bajo una delegación dada" a través de sistemas heterogéneos. Dependen de correlaciones heurísticas de ventanas de tiempo o IDs de sesión, las cuales fallan ante la composición multi-agente, reintentos y delegaciones superpuestas.

Metodología: El Modelo de Información Común (CIM) Sensible a Agentes

Para abordar esto, los autores proponen el CIM, un sustrato de observabilidad ligero y sensible a agentes. El CIM no es un motor de inferencia de intención, sino un modelo estructural que vincula el contexto de delegación en el momento de la ejecución.

Componentes Principales

El CIM introduce un modelo de estructura dual para la ejecución delegada:

1. Grafo de Ejecución ($G_{exec}$): Representa las relaciones causales (trazas, spans, enlaces padre-hijo).
2. Grafo de Autoridad ($G_{auth}$): Representa las relaciones de delegación (principales, agentes, re-delegación, linaje).
3. Relación de Autorización ($R_{auth}$): Vincula explícitamente los eventos con las delegaciones.

Requisitos Semánticos

El CIM impone cuatro compromisos semánticos para que la reconstrucción con alcance de delegación esté bien definida:

• R1 (Contexto de Delegación Persistente): Cada evento está vinculado a un delegation_id duradero.
• R2 (Separación de Autoridad-Causalidad): Las particiones de autoridad no tienen por qué coincidir con las trazas; el modelo soporta explícitamente la divergencia.
• R3 (Cierre de Delegación): La re-delegación y la generación de agentes se representan con cierre de linaje, permitiendo consultas sobre una delegación y todos sus descendientes.
• R4 (Normalización de Sistemas Cruzados): Las acciones y recursos se normalizan en un vocabulario estable (por ejemplo, leer, escribir, compartir, invocar) para permitir consultas entre herramientas sin inspección de carga útil (payload).

Implementación: El Gateway

Los autores proponen un gateway ligero como el límite de captura. Este componente (proxy, sidecar o librería) intercepta las invocaciones de herramientas del agente para:

• Minar y Vincular: Asociar eventos con principales autenticados y emitir delegation_ids.
• Propagar: Asegurar que el contexto de delegación viaje a través de las cadenas multi-agente.
• Normalizar: Mapear las operaciones específicas de la herramienta a la jerarquía de acciones canónicas.
• Enforzar Invariantes: Asegurar que el delegion_id no sea una cadena de texto libre, sino un vínculo validado, y marcar explícitamente los eventos como "no vinculados" si falta el contexto de delegación.

Contribuciones Clave

El artículo realiza tres contribuciones principales:

1. Formalización de la Observabilidad de la Delegación: Definir una propiedad de sistema donde el conjunto de acciones bajo una delegación puede reconstruirse sin correlación heurística de ventana de tiempo, incluso bajo concurrencia y composición multi-agente.
2. Prueba de No Identificabilidad: Demostrar que los registros de auditoría y el rastreo causal por sí solos son insuficientes para recuperar la ejecución con alcance de delegación porque la autoridad delegada es ortogonal al flujo de control causal.
3. Introducción del CIM: Un Modelo de Información Común que modela la ejecución delegada como estructuras duales (grafos de autoridad y de ejecución), permitiendo una reconstrucción post-hoc fiable y consultas forenses directas.

Resultados Experimentales

Los autores evaluaron el CIM utilizando dos entornos: un generador sintético de alto volumen (100k agentes, 10k usuarios) y un despliegue micro con invocaciones de herramientas reales.

Precisión de la Reconstrucción

• Ambigüedad: Bajo los métodos base (solo traza, ventana de tiempo o correlación híbrida), la ambigüedad (el número de agrupaciones de delegación válidas) aumentó drásticamente con la concurrencia. Por ejemplo, en flujos de trabajo multi-agente, la ambigüedad base alcanzó una mediana de 10,856. El CIM logró una ambigüedad de 1 para los eventos cubiertos por construcción.
• Recuperación (Recall): Los métodos base sufrieron de baja recuperación (p05 tan bajo como 0.03) cuando los límites de la traza no se alineaban con los límites de la delegación. El CIM logró un 100% de recuperación para los eventos cubiertos.
• Divergencia: Los experimentos confirmaron que la divergencia autoridad-causalidad es prevalente (por ejemplo, delegaciones únicas que abarcan más de 35 componentes causales en algunos flujos de trabajo), validando la necesidad de un modelo que trate la autoridad y la causalidad como independientes.

Sobrecarga Operativa

• Tamaño del Evento: El CIM añade aproximadamente 247 bytes por evento (contexto de delegación, linaje, predicados normalizados).
• Latencia: El procesamiento del Gateway añade una latencia insignificante (mediana de 0.01 ms, p95 de 0.29 ms).
• Esfuerzo de Consulta: El beneficio más significativo es la reducción de la carga de construcción de consultas. Las consultas base requieren de 6 a 14 operaciones (joins, ventaneo, normalización) por clase. El CIM reduce esto a 1–3 predicados directos sobre campos estables. El rendimiento de ejecución de las consultas fue comparable entre el CIM y los métodos base a la escala probada.

Significado y Reivindicaciones

El artículo sostiene que los sistemas agénticos requieren observabilidad sensible a la delegación porque la autoridad delegada no puede reconstruirse de forma fiable a posteriori a partir de las trazas por sí solas.

• Rendición de Cuentas Estructural: El CIM permite la reconstrucción de flujos de trabajo como objetos estructurados en lugar de flujos de eventos planos, permitiendo responder directamente a preguntas forenses como "¿Cuál es el radio de explosión de la delegación $d$?" o "¿Qué sub-agentes actuaron bajo esta autoridad?".
• Agnóstico a la Intención: El sistema separa explícitamente la atribución de la intención. El CIM atribuye las acciones a la delegación bajo la cual se ejecutaron, independientemente de si la acción fue intencionada, resultado de una inyección de prompt o un error. Esto hace que la "huella de acceso/compartición" sea auditable sin necesidad de inferir el razonamiento interno del agente o detectar una inyección de prompt.
• Complementariedad: El CIM se presenta como infraestructura que complementa los esfuerzos de seguridad y auditoría existentes. No previene el mal uso ni infiere la intención, sino que proporciona los datos estructurales necesarios para investigar resultados compuestos, comportamientos emergentes y deriva de ejecución en sistemas multi-agente.

Los autores concluyen que, sin tal sustrato, el problema de la "reconstrucción con alcance de delegación" permanece estructuralmente indeterminado en la IA agéntica, lo que conduce a un análisis forense poco fiable a medida que estos sistemas escalan.