Resumen Técnico: MASTRIKE – Red-Teaming de Colusión Guiado por Shapley en Sistemas Multi-Agente

Planteamiento del Problema

Los Sistemas Multi-Agente (MAS) jerárquicos se despliegan cada vez más en dominios de alto riesgo como las finanzas, la ingeniería de software y la gestión de relaciones con el cliente (CRM). Estos sistemas distribuyen los controles de seguridad y protección entre sub-agentes especializados por roles. Sin embargo, esta modularidad introduce una vulnerabilidad crítica y poco explorada: ataques colusivos. En tales escenarios, un subconjunto de agentes comprometidos puede coordinarse para suprimir las señales de advertencia de los agentes benignos, creando una trayectoria colectiva que elude las salvaguardas a nivel de sistema.

Los enfoques actuales de red-teaming para MAS son limitados en dos aspectos fundamentales:

1. Falta de Atribución Principialista: Dependen de la selección heurística de agentes objetivo (basándose en descripciones de roles o topología) sin evaluar cuantitativamente qué agentes son los más responsables de la seguridad del sistema o qué grupos de agentes forman coaliciones vulnerables.
2. Modelado de Coordinación Inadecuado: A menudo perturban flujos de mensajes aislados o aplican ataques genéricos basados en plantillas, fallando al capturar las interdependencias y los comportamientos complementarios necesarios para una colusión multi-agente exitosa.

Metodología: MASTRIKE

Los autores proponen MASTRIKE, un marco de red-teaming de colusión en bucle cerrado para MAS jerárquicos. El marco opera en dos fases primarias:

1. Análisis de Valores de Shapley a Nivel de Agente

Para identificar coaliciones vulnerables, MASTRIKE trata la vulnerabilidad del sistema como un juego cooperativo.

• Función de Valor de la Coalición: La Tasa de Éxito del Ataque (ASR) se define como la función de valor $v_q(C)$ para una coalición de agentes comprometidos $C$ bajo una tarea específica $q$.
• Valores de Shapley ($\phi_i$): El marco calcula el valor de Shapley para cada agente para cuantificar su contribución marginal a la vulnerabilidad del sistema (es decir, cuánto degrada un agente la seguridad cuando se añade a una coalición).
• Índices de Interacción ($I_{ij}$): Para capturar efectos de orden superior, se calculan los índices de interacción de Shapley por pares. Esto mide el efecto sinérgico de comprometer a dos agentes juntos frente a la suma de sus efectos individuales.
• Estimación Eficiente: Dado que la evaluación exhaustiva de todas las $2^{|A|}$ coaliciones es computacionalmente inviable, MASTRIKE utiliza un enfoque de muestreo estratificado para estimar estos valores de manera eficiente.

2. Optimización de Red-Teaming Guiada por Shapley

Basándose en las señales de atribución, el marco ejecuta un bucle de red-teaming autónomo:

• Selección de Coalición: Para una tarea objetivo, el sistema agrega los valores de Shapley de tareas muestreadas similares (usando ponderación por similitud de coseno) para estimar la importancia específica de la tarea. Luego, selecciona una coalición de tamaño $k$ que maximiza un objetivo consciente de la sinergia, combinando altos valores de Shapley individuales con fuertes índices de interacción positivos.
• Generación de Inyección Coordinada: Un agente de red-teaming genera prompts adversarios para la coalición seleccionada simultáneamente. A diferencia de los ataques de un solo agente, estos prompts son conscientes del rol y mutuamente consistentes, diseñados para satisfacer las verificaciones cruzadas de los agentes y suprimir las advertencias.
• Refinamiento en Bucle Cerrado: El ataque se ejecuta en el MAS. Una función de juez evalúa el resultado. Si el ataque falla, un diagnóstico de fallo estructurado identifica las condiciones de bloqueo, y el agente de red-teaming refina iterativamente las inyecciones hasta alcanzar el éxito o agotar el presupuesto.

Contribuciones Clave

1. Primer Análisis de Shapley a Nivel de Agente para MAS: El artículo introduce un marco de principios para cuantificar las contribuciones de los agentes a la seguridad del sistema, capturando tanto la importancia individual como los efectos de interacción mediante valores de Shapley e índices de interacción.
2. Marco de Red-Teaming en Bucle Cerrado: MASTRIKE integra la selección de agentes basada en Shapley con la generación de inyecciones coordinadas y conscientes del rol, junto con un diagnóstico de fallo estructurado, permitiendo el refinamiento adaptativo de ataques colusivos.
3. Benchmark MABENCH: Los autores construyeron MABENCH, un benchmark de red-teaming integral que abarca Finanzas, Ingeniería de Software y CRM. Cuenta con entornos MAS controlables y en entornos de pruebas (sandboxed) con topologías jerárquicas realistas y suites de tareas (tanto benignas como maliciosas) que requieren colusión entre agentes para tener éxito.
4. Validación Empírica: Experimentos extensos demuestran que MASTRIKE supera significativamente a las líneas base heurísticas (TAMAS, GCA, AutoTransform, AiTM) a través de diferentes modelos de frontera (GPT-5.5, Gemini 3.1 Pro, Claude Opus 4.7).

Resultados Experimentales

• Tasas de Éxito del Ataque (ASR): MASTRIKE logró un ASR promedio del 61.8% contra Claude Opus 4.7, 55.6% contra GPT-5.5 y 51.0% contra Gemini 3.1 Pro. En contraste, los métodos de referencia a menudo arrojaron un ASR cercano a cero (por ejemplo, 0.0% para AiTM en Claude Opus 4.7).
• Sinergia y Eficiencia: El marco demostró que seleccionar agentes basados en valores de Shapley e índices de interacción es más efectivo que aumentar el tamaño de la coalición arbitrariamente. Las líneas base a menudo vieron una disminución en el ASR con coaliciones más grandes debido a señales conflictivas, mientras que la generación coordinada de MASTRIKE escaló de manera efectiva.
• Evaluación de Salvaguardas Empresariales: Al ser probado contra salvaguardas de seguridad de nivel empresarial (específicamente aquellas desarrolladas en Salesforce), los ataques de MASTRIKE a menudo no fueron detectados. El estudio encontró que las salvaguardas que dependen de la detección a nivel de trayectoria tienen dificultades cuando los comportamientos adversarios se distribuyen entre múltiples agentes, ya que las señales coordinadas parecen estructuralmente similares a las trayectorias benignas.
• Perspectivas de la Distribución de Shapley: El análisis reveló que la importancia de los agentes es dispersa y dependiente de la tarea. Una alta importancia individual no garantiza una fuerte sinergia de coalición; algunos agentes de alto impacto exhiben interacciones negativas cuando se emparejan, lo que resalta la necesidad de modelar las interacciones.

Significado y Reivindicaciones

El artículo afirma que MASTRIKE aborda una brecha crítica en la seguridad de los MAS al ir más allá de la robustez de un solo agente para analizar la dinámica de colusión. Los autores argumentan que:

• La Coordinación es la Clave: La seguridad en los MAS jerárquicos no puede garantizarse asegurando los agentes individuales; el sistema es vulnerable a la manipulación coordinada que elude las verificaciones distribuidas.
• La Atribución Cuantitativa es Necesaria: La selección heurística de agentes objetivo es insuficiente. Los valores de Shapley proporcionan un método basado en principios para identificar agentes "críticos" y pares "sinérgicos" que los métodos heurísticos pasan por alto.
• Las Defensas Actuales son Insuficientes: La evaluación de las salvaguardas empresariales sugiere que las señales de seguridad actuales, que son efectivas para ataques de un solo agente, no se traducen bien a entornos multi-agente donde los comportamientos adversarios son composicionales y distribuidos.

El trabajo establece una base para comprender y mitigar los riesgos de colusión en despliegues complejos de MAS en el mundo real, enfatizando que los futuros mecanismos de seguridad deben considerar las dependencias entre agentes y los vectores de ataque coordinados.