Execution-bound advisory automation for agentic AI: a reproducible AIBOM-driven CSAF-VEX framework

Resumen Técnico: Automatización de Asesoría Vinculada a la Ejecución para IA Agéntica

Declaración del Problema
La seguridad de la cadena de suministro de software actual depende en gran medida de las Listas de Materiales de Software (SBOM) estáticas y de los marcos de correlación de vulnerabilidades como el Common Security Advisory Framework (CSAF) y el Vulnerability Exploitability eXchange (VEX). Si bien estos mecanismos mejoran la visibilidad de las dependencias de los componentes, siguen siendo fundamentalmente estáticos. Enumeran componentes declarados, pero carecen de un vínculo verificable con los estados de ejecución en tiempo de ejecución, las restricciones de política operativa o las características de comportamiento de los sistemas en los que se despliegan los componentes.

Esta limitación es crítica en el contexto de los sistemas de IA Agéntica, que no son artefactos de software monolíticos, sino entornos dinámicos y multi-agente que comprenden modelos fundacionales, plantillas de prompts, conectores de herramientas, lógica de orquestación y dependencias de contenedores. En estos sistemas, el comportamiento se moldea mediante entradas contextuales, memoria, comunicación entre agentes y políticas de ejecución aplicadas. Los flujos de trabajo tradicionales basados en SBOM no logran capturar el linaje del modelo, las dependencias de los prompts o las cadenas de invocación de herramientas. En consecuencia, las evaluaciones de explotabilidad derivadas de inventarios estáticos sobreestiman frecuentemente el riesgo operativo, generando esfuerzos de remediación con falsos positivos significativos. Aunque las emergentes Listas de Materiales de Inteligencia Artificial (AIBOM) extienden la transparencia a los artefactos específicos de la IA, actualmente carecen de un mecanismo reproducible para vincular la telemetría en tiempo de ejecución y el contexto de ejecución con la generación de asesorías.

Metodología
El artículo propone un marco impulsado por protocolos que transforma la automatización de asesorías de vulnerabilidades de un proceso de enumeración estática a un flujo de trabajo computacional sensible al contexto y vinculado a la ejecución. La metodología integra tres capas coordinadas para vincular los artefactos SBOM y AIBOM con la captura determinista del entorno y la telemetría estructurada en tiempo de ejecución:

1. Captura Determinista del Entorno (Protocolo de Contexto de Modelo - MCP): Esta capa captura los estados previos a la ejecución, incluyendo los digests de imágenes de contenedores, hashes de artefactos de modelos, identificadores de commit de plantillas de prompts, definiciones de endpoints de herramientas y políticas de seguridad aplicadas (por ejemplo, controles de egreso de red). Todos los artefactos están sellados criptográficamente para crear un sobre de ejecución reproducible.
2. Observación y Coordinación en Tiempo de Ejecución (Protocolo Agent2Agent - A2A): Agentes secundarios seguros o procesos envueltos por init recolectan telemetría estructurada en tiempo de ejecución. Esto incluye trazas de llamadas al sistema, cargas de librerías dinámicas, conexiones de red salientes, eventos de invocación de herramientas y niveles de privilegios. La telemetría es con marca de tiempo, hash y firmada en la fuente para garantizar la integridad sin una instrumentación intrusiva.
3. Gobernanza y Trazabilidad (AGNTCY): Esta capa de orquestación valida las identidades de los agentes, aplica restricciones de política y gestiona la firma y difusión de las asesorías CSAF-VEX. Vincula las asesorías a UUIDs de trabajos específicos y DOIs de conjuntos de datos dentro de una capa de transparencia federada.

El motor de inferencia de explotabilidad opera sobre una lógica de tres condiciones:

• Presencia: ¿Está el componente vulnerable declarado en el SBOM/AIBOM?
• Activación: ¿Es el componente realmente invocado o alcanzable durante la ejecución (verificado vía telemetría)?
• Factibilidad: ¿Permiten las restricciones ambientales (por ejemplo, políticas de red, restricciones de privilegios) que ocurra el exploit?

Una vulnerabilidad se clasifica como Afectada solo si las tres condiciones se cumplen. De lo contrario, se clasifica como No Afectada. El marco genera asesorías CSAF-VEX firmadas criptográficamente que contienen hashes de evidencia de tiempo de ejecución y referencias de procedencia, las cuales son validadas mediante la reproducción determinista.

Contribuciones Clave

• Generación de Asesoría Vinculada a la Ejecución: El artículo redefine la generación de asesorías como un proceso determinista basado en el comportamiento observado del sistema en lugar de una enumeración estática de dependencias.
• Integración de AIBOM: Extiende el concepto de SBOM para incluir artefactos específicos de IA (modelos, prompts, herramientas) y los vincula a la telemetría en tiempo de ejecución, creando un flujo de trabajo unificado impulsado por AIBOM.
• Reproducibilidad mediante Replay Determinista: El marco asegura que las asesorías CSAF-VEX sean reproducibles bajo idénticas condiciones de ejecución sellando los sobres de ejecución y verificando los resultados mediante la comparación de hashes durante las auditorías de reproducción.
• Filtrado Sensible al Contexto: Al integrar la telemetría en tiempo de ejecución y las restricciones de política, el sistema filtra vulnerabilidades que están presentes pero que no son activables, reduciendo significativamente los falsos positivos.

Resultados
El marco fue evaluado utilizando aproximadamente 10,000 entradas de componentes a través de cargas de trabajo de IA Agéntica sintéticas (que oscilan entre 50 y 5,000 componentes) y datos de contenedores del mundo real, incorporando inteligencia de amenazas de OSV, GitHub Advisory, CISA KEV y FIRST EPSS.

• Métricas de Desempeño: Bajo condiciones experimentales controladas, el marco logró un F1-score de 0.93 (precisión 0.96, recall 0.92). Esto representa una mejora significativa respecto al emparejamiento estático de SBOM–CVE, que logró un F1-score de 0.78.
• Reducción de Falsos Positivos: El enfoque vinculado a la ejecución redujo los falsos positivos en un 37% a 42% en relación con las líneas base estáticas, principalmente al excluir vulnerabilidades que requieren egreso de red, escalada de privilegios o rutas de ejecución dinámica que no fueron observadas durante la ejecución.
• Impacto de AIBOM: La integración de artefactos AIBOM alteró los resultados de explotabilidad en el 31% de los casos de artefactos específicos de IA. Específicamente, el 54% de las instancias de vulnerabilidad específicas de IA fueron reclasificadas como no activables debido al aislamiento de red o al enrutamiento de prompts inalcanzables.
• Reproducibilidad: El replay determinista de los sobres de ejecución sellados resultó en una consistencia de hash del 100% a través de 100 ciclos de generación de asesorías, confirmando que los resultados de explotabilidad son estables bajo condiciones idénticas.
• Escalabilidad: El sistema demostró características de procesamiento casi lineales, manejando 1,000 entradas de SBOM en menos de cuatro minutos en instancias optimizadas para cómputo, con la telemetría en tiempo de ejecución introduciendo un overhead promedio del 8.4%.

Significancia y Reivindicaciones
El artículo posiciona este trabajo como una contribución de sistemas y marcos con una validación empírica estructurada basada en simulaciones, más que un estudio de modelado predictivo puramente basado en datos. Los autores afirman que su metodología aborda una brecha metodológica crítica en la seguridad de la cadena de suministro de IA al mover la automatización de asesorías de la "transparencia descriptiva" a la "inteligencia de seguridad operativamente fundamentada y sensible al contexto".

La significancia radica en demostrar que la explotabilidad en los sistemas de IA Agéntica no puede inferirse únicamente a partir de grafos de dependencias estáticos. Al vincular los artefactos AIBOM con la telemetría en tiempo de ejecución, el marco transforma la generación de CSAF-VEX de una divulgación estática en una evaluación de explotabilidad fundamentada en la ejecución. Esto permite a las organizaciones distinguir entre vulnerabilidades que simplemente están presentes y aquellas que son realmente explotables bajo restricciones de política específicas. Los autores enfatizan que, si bien los resultados demuestran la viabilidad y la validez interna bajo condiciones controladas, no pretenden una generalización predictiva universal en todos los despliegues heterogéneos del mundo real, reconociendo limitaciones respecto a la observabilidad parcial y el uso de datos sintéticos para las pruebas de escalabilidad.