Resumen Técnico: TRACE – Una marca de agua de atribución robusta de dos canales

1. Formulación del problema y modelo de amenaza

El artículo aborda el desafío crítico de la atribución de procedencia para agentes de Modelos de Lenguaje Extensos (LLM) en un escenario adversarial específico: el modelo de amenaza del revendedor (reseller).

• Contexto: Los agentes de LLM interactúan con usuarios a través de revendedores que pueden renombrar el agente o sustituir el modelo subyacente. Cuando surgen disputas sobre la responsabilidad o el uso, la evidencia principal es el registro de trayectoria (un registro de llamadas a herramientas, observaciones y acciones ejecutadas), no el razonamiento interno del modelo.
• El Adversario: El revendedor posee acceso total de lectura y escritura al registro de trayectoria porque debe procesarlo para fines de facturación y medición. Ellos son la entidad que audita la evidencia.
• El Ataque: El revendedor intenta eliminar la atribución realizando dos movimientos de "lavado" específicos:
  1. Eliminación (Deletion): Podar el registro (eliminar pasos u observaciones) para remover registros que identifiquen al proveedor.
  2. Reescritura (Rewriting): Parafrasear las observaciones y renombrar las herramientas al espacio de nombres del revendedor, preservando al mismo tiempo el esqueleto estructural del registro (la secuencia de etiquetas de decisión/observación).
• La Limitación de los Métodos Existentes: Las marcas de agua de agentes previas (ej. Agent Guide, AgentMark) dependen de una única señal vinculada ya sea al contenido o a la posición.
  • Las claves basadas en contenido fallan bajo reescritura (ya que el contenido se altera).
  • Las claves basadas en posición fallan bajo eliminación (ya que la secuencia se desincroniza).
  • Los métodos existentes carecen de robustez contra un adversario que posee la evidencia misma.

2. Metodología: El esquema TRACE

Los autores proponen TRACE, un esquema de marca de agua de dos canales que superpone dos marcas de agua independientes y complementarias en una sola trayectoria. El principio de diseño central es que cada canal apunta a un invariante diferente preservado por una clase de ataque pero destruido por la otra.

A. El Canal de Selección (Vinculado al Contenido)

• Objetivo: Robustez contra la Eliminación.
• Mecanismo:
  • Portador: La acción específica ($b_i$) seleccionada por el agente en cada punto de decisión.
  • Clave (Keying): Derivada del contenido local del historial de acciones precedente ($A_{i-1}$) y una clave secreta ($key_1$).
  • Incrustación: Utiliza una carrera exponencial libre de distorsión (basada en el truco Gumbel-max). El agente muestrea de su distribución original $P_i$ exactamente, pero el "ganador" de la carrera es determinado por un valor aleatorio con clave.
  • Detección: El detector repliega la carrera usando la trayectoria observada y la clave. Si la acción observada fue la "ganadora" de la carrera con clave, genera una puntuación alta.
  • Robustez: Dado que la clave depende del contenido, la eliminación de un registro de observación solo desincroniza la clave para el siguiente grupo inmediato (radio de impacto de uno). El detector se resincroniza inmediatamente después de la eliminación.
  • Costo: La señal está limitada por la entropía de Shannon de la decisión. Las decisiones deterministas (entropía = 0) no generan señal; las decisiones de alta entropía generan señales más fuertes.

B. El Canal de Recuento (Vinculado a la Posición)

• Objetivo: Robustez contra la Reescritura.
• Mecanismo:
  • Portador: El conteo de registros ($k_i$) en un grupo de decisión (específicamente, si se añade un registro redundante de observación).
  • Clave (Keying): Derivada estrictamente del esqueleto de la trayectoria (la secuencia de etiquetas de decisión/observación) y una clave secreta ($key_2$). Es independiente del contenido de texto.
  • Incrustación: Para los grupos donde se cumple la condición con clave, el incrustador añade un registro redundante neutral al contexto. Este registro es una función determinista del prefijo, no invoca herramientas y no causa efectos secundarios, asegurando que no altere las decisiones futuras del agente.
  • Detección: El detector cuenta los registros en cada grupo y los compara con el patrón esperado derivado del esqueleto.
  • Robustez: Los ataques de reescritura preservan el esqueleto (la secuencia de etiquetas). Por lo tanto, los límites de grupo y los conteos permanecen sin cambios. El canal de recuento es incondicionalmente invariante bajo cualquier ataque de reescritura que preserve el esqueleto.

C. Detección Conjunta

El detector calcula un puntaje $z$ para ambos canales. Rechaza la hipótesis nula (que la trayectoria no tiene marca de agua) si el valor $p$ mínimo de los dos canales es inferior a un umbral. Los dos canales están diseñados para ser independientes bajo la hipótesis nula.

3. Principales Contribuciones

1. Modelo de Amenaza Formal: El artículo formaliza el modelo de amenaza del revendedor donde el adversario tiene acceso total de lectura y escritura a la evidencia, definiendo la Eliminación y la Reescritura como clases de ataque distintas.
2. Arquitectura de Dos Canales: TRACE es la primera marca de agua de agentes que logra simultáneamente:
   • Elecciones de acción libres de distorsión: La distribución del agente no cambia de forma demostrable.
   • Autosincronización bajo eliminación: El canal de selección se recupera tras una sola eliminación.
   • Invariancia incondicional bajo reescritura: El canal de recuento permanece sin cambios independientemente de la modificación del contenido.
3. Garantías Teóricas:
   • Preservación de la Utilidad: Se demuestra que el canal de selección no altera la distribución de acciones del agente (Teorema 5.1).
   • Compromiso entre Entropía y Detectabilidad: Se demuestra que la fuerza de la señal está limitada inferiormente por la mitad de la entropía de la decisión (Teorema 5.2).
   • Costo de Borrado Conjunto: Se demuestra que borrar ambos canales simultáneamente obliga al adversario a editar el esqueleto (exponiéndose a auditorías de consistencia) o a corromper una fracción constante de las acciones de la trayectoria, destruyendo efectivamente la calidad del servicio (Teorema 5.4).
4. Nuevo Punto de Referencia de Ataque: Introducción del Reescritor de LLM (LLM Rewriter), un ataque informado y que preserva la plausibilidad que sustituye acciones por alternativas diferentes pero plausibles, sirviendo como un riguroso punto de referencia para la robustez de la reescritura.

4. Resultados Experimentales

El esquema fue evaluado en ToolBench (horizonte corto, ~1.4 grupos de decisión/tarea) y ALFWorld (horizonte largo, ~23-25 pasos de decisión/tarea).

• Utilidad: TRACE iguala la tasa de éxito del agente sin marca de agua (Base) en ambos benchmarks. En contraste, las marcas de agua sesgadas (como la línea base Red-Green) sufrieron caídas significativas en la tasa de éxito (hasta 8.1 puntos en ALFWorld) debido al desplazamiento de la masa de probabilidad en decisiones de baja entropía.
• Poder de Detección:
  • Registros Limpios: TRACE logra puntuaciones de detección extremadamente altas ($z \approx 100$ para la selección en ALFWorld).
  • Eliminación: El canal de selección sigue siendo detectable incluso bajo una eliminación de pasos del 70% ($z$ cae de 11.34 a 4.06 pero se mantiene por encima del umbral).
  • Reescritura: El canal de recuento permanece exactamente invariante ($z$ se mantiene constante en ~14.34) bajo una fuerza de reescritura del 100%. Por el contrario, las líneas base basadas en contenido (RG, AM-F) colapsan a puntuaciones cercanas a cero o negativas bajo reescritura.
  • Ataques Combinados: Solo el caso extremo de alta eliminación (70%) combinada con alta reescritura (>60%) suprime ambos canales. Esto corresponde a un escenario en el que el revendedor ya ha destruido la utilidad del servicio.

5. Significado y Reivindicaciones

El artículo afirma que TRACE proporciona una solución estructural al problema de la procedencia en el entorno de reventa, yendo más allá de la robustez empírica hacia garantías matemáticas.

• Responsabilidad (Accountability): Permite la atribución incluso cuando la entidad que posee los registros (el revendedor) es el adversario.
• Invariantes Complementarios: El trabajo demuestra que la robustez puede lograrse dividiendo la señal a través de invariantes complementarios (contenido vs. esqueleto), asegurando que ninguna clase de ataque individual pueda destruir la marca de agua sin destruir el producto mismo.
• Libre de Distorsión: Demuestra que la marca de agua conductual puede lograrse sin degradar el rendimiento de la tarea del agente, un requisito crítico para el despliegue.
• Limitaciones: Los autores señalan que la detección requiere acceso a los conjuntos de acciones candidatas al momento de la auditoría y que el canal de recuento aumenta el volumen de los registros (sobrecarga de almacenamiento) en lugar de las llamadas a herramientas. También reconocen que si un revendedor abandona completamente el agente del proveedor y vuelve a ejecutar la tarea en un modelo diferente, la marca de agua estará ausente, aunque esta ausencia misma señala la tergiversación.

El artículo concluye que, si bien ningún esquema de un solo canal puede sobrevivir a un adversario con control total sobre la evidencia, un enfoque de dos canales que aprovecha las incrustaciones complementarias puede hacer que el costo de lavar el registro sea prohibitivamente alto.