Resumen Técnico: Cortafuegos Lingüístico: La Geometría como Defensa en el Enrutamiento de Sistemas Multi-Agente

Declaración del Problema

La rápida integración de los Modelos de Lenguaje de Gran Escala (LLM) en los Sistemas Multi-Agente (MAS) ha hecho necesaria la creación de mecanismos de enrutamiento robustos para asignar tareas a agentes especializados. Las arquitecturas de enrutamiento de vanguardia actuales dependen fuertemente de metadatos textuales (por ejemplo, descripciones en lenguaje natural, documentación de herramientas o resúmenes de prompts de sistema) para determinar la competencia de un agente. Esta dependencia crea una vulnerabilidad de seguridad crítica conocida como Secuestro del Enrutador (Router Hijacking).

En este modelo de amenaza, un adversario puede manipular las decisiones de enrutamiento incrustando instrucciones adversarias (inyecciones de prompt) o "jailbreaks" directamente en la descripción textual de un agente. Debido a que los enrutadores estándar deben ingerir y razonar sobre estos textos no verificados para funcionar, activan inadvertidamente la carga útil del ataque. Esto permite a los adversarios dirigir el enrutador hacia agentes maliciosos sin comprometer los pesos o la infraestructura del enrutador. Además, los enrutadores existentes a menudo no logran distinguir entre el perfil proyectado de un agente y sus capacidades operativas reales, quedando vulnerables ante los Agentes Durmientes Semánticos (agentes que se comportan normalmente hasta que son activados por señales semánticas específicas) y los Ataques de Embedding Adaptativos.

Metodología: ANTAP

Para abordar estas vulnerabilidades, los autores presentan ANTAP (Automatic Non-Textual Agent Picker), una arquitectura de enrutamiento que reemplaza la interpretación textual por la proyección geométrica. ANTAP opera bajo la premisa de que el comportamiento de un agente puede modelarse como operadores lineales dentro de un espacio semántico compartido, desacoplando las decisiones de enrutamiento de la interpretación de texto no verificado.

Mecanismo Central

ANTAP funciona en dos fases distintas:

1. Fase Offline (Construcción del Operador de Comportamiento):

   • En lugar de leer las descripciones de los agentes, el sistema evalúa a los agentes frente a un conjunto de consultas de referencia confiables ($B$).
   • El rendimiento se codifica en una Matriz de Rendimiento ($Y$) utilizando una señal bipolar: $+1$ para éxito (respuesta correcta + sin llamadas a herramientas no autorizadas) y $-1$ para fallo.
   • Para cada agente, se aprende un Operador de Comportamiento ($W$). Este es una transformación lineal derivada mediante mínimos cuadrados con regularización de Tikhonov, que mapea las incrustaciones (embeddings) de las consultas con las firmas de rendimiento predichas.
   • Crucialmente, esta fase incluye un "entrenamiento de seguridad implícito". Si un agente durmiente activa una puerta trasera durante la calibración (por ejemplo, realizando llamadas a herramientas no autorizadas en consultas disparadoras), se etiqueta como $-1$, lo que provoca que su operador aprendido codifique una correlación negativa con el subespacio de incrustación relevante.

2. Fase Online (El Cortafuegos Lingüístico):

   • En el momento de la inferencia, el enrutador nunca ingiere ni procesa descripciones textuales.
   • Dada una consulta de usuario $q$, el sistema calcula su embedding $z = E(q)$.
   • El enrutamiento se realiza mediante una única multiplicación matriz-vector: $s = W^* z$, donde $s$ es el vector de utilidad predicha.
   • Se selecciona el agente con la puntuación más alta.
   • Debido a que la función de decisión depende únicamente de operadores numéricos fijos e incrustaciones de consulta, las instrucciones adversarias incrustadas en las descripciones de los agentes son matemáticamente inexpresables dentro de la lógica de enrutamiento.

Principales Contribuciones

El artículo describe cuatro contribuciones principales:

1. Formalización de la Amenaza: Los autores formalizan la inyección de prompt basada en metadatos como una superficie de ataque distinta en los MAS, demostrando que los adversarios pueden manipular decisiones de enrutamiento privilegiadas sin comprometer la infraestructura del enrutador.
2. Enrutamiento No Textual: Introducen ANTAP, que representa a los agentes como operadores lineales fijos derivados de la evaluación empírica, eliminando la necesidad de interpretar las descripciones de los agentes en el tiempo de inferencia.
3. Defensa Estructural (Cortafuegos Lingüístico): La arquitectura actúa como un "cortafuegos lingüístico" al eliminar estructuralmente las descripciones textuales de la interfaz de enrutamiento, haciendo que los ataques de inyección de prompt basados en descripciones sean imposibles de ejecutar.
4. Validación Empírica: Evaluaciones exhaustivas contra líneas base de descripción y de embedding demuestran la capacidad de ANTAP para lograr una Tasa de Éxito de Ataque (ASR) cercana a cero, manteniendo la precisión del enrutamiento y reduciendo la latencia.

Resultados Experimentales

Los autores evaluaron ANTAP frente a líneas base que incluyen AutoGen (enrutador basado en texto) y EmbedLLM (enrutador basado en embeddings) a través de múltiples conjuntos de datos (MMLU, Big-Bench Hard, AgentHarm) y vectores de ataque.

• Inyección Basada en Descripción: Contra ataques de inyección de prompt donde agentes maliciosos usan metadatos adversarios, ANTAP logró una ASR del 0.2% en MMLU. En contraste, la línea base de AutoGen sufrió una ASR del 75.3%, y EmbedLLM alcanzó un 5.8%.
• Agentes Durmientes (Envenenamiento de Datos): Para ataques de puerta trasera latente (por ejemplo, BadNet, Sleeper, VPI), ANTAP mantuvo una ASR entre el 0.3% y el 1.9%, superando significativamente a las líneas base que oscilaron entre el 12.2% y el 78.8%.
• Ataques Adaptativos: Bajo ataques adaptativos de caja blanca donde los adversarios optimizan los tokens de la consulta para romper el límite geomético, ANTAP mostró una notable rigidez. Su ASR se mantuvo estable (fluctuando solo ~8 puntos porcentuales de su línea base limpia) independientemente de la longitud del disparador, mientras que la ASR de EmbedLLM se disparó drásticamente con mínimas adiciones de disparadores.
• Escalabilidad y Robustez: Los estudios de ablación confirmaron que el rendimiento de ANTAP es invariante a la verbosidad del prompt (prompts de sistema de hasta 1,000 tokens) y al tamaño del grupo de agentes (escalando de 2 a 19 agentes), mientras que las líneas base sufrieron picos de latencia y degradación de la precisión a medida que crecían las ventanas de contexto.

Significación y Reivindicaciones

El artículo postula que ANTAP representa un cambio fundamental en la seguridad de los ecosistemas de agentes al trasladar la "raíz de confianza" de las autodescripciones no verificadas de los agentes a un pipeline de evaluación empírica controlado por la plataforma.

• Seguridad Estructural: Al eliminar la ingesta de texto en el tiempo de inferencia, ANTAP no solo mitiga los ataques, sino que hace que ciertas clases de ataques (secuestro basado en descripción) sean estructuralmente imposibles.
• Realineación de Incentivos: El enfoque desalienta el "relleno de palabras clave" (keyword stuffing) y la ingeniería de prompts descriptiva, realineando los incentivos de los agentes hacia el rendimiento empírico.
• Eficiencia: Reemplazar la compleja inferencia de LLM para el enrutamiento con operaciones geométricas de costo fijo reduce drásticamente la latencia (por ejemplo, 27ms para ANTAP frente a 428ms para AutoGen en pruebas de línea base).

Los autores concluyen que, si bien ANTAP asume un entorno de calibración offline confiable, proporciona un paso arquitectónico prometedor hacia sistemas multi-agente seguros, escalables y fiables, aprovechando las propiedades geométricas del espacio semántico como un mecanismo de defensa.