💻 computer science

From Neural Intent to Cryptographic Authorization: Governing Agentic Workflows

Este artículo introduce los Servicios Criptográficos Neurales (NCS), una arquitectura de seguridad que protege a los agentes de IA autónomos mediante el desacoplamiento de la planificación neural de la ejecución y la imposición de una autorización criptográfica estricta de las llamadas a herramientas a través de un controlador simbólico determinista, previniendo así los ataques de inyección de prompts mientras se mantiene la utilidad del flujo de trabajo.

Autores originales: Jiasi Weng, Jian Weng, Minrong Chen, Ming Li, Jia-Nan Liu, Zhi Li, Yue Zhang

Publicado 2026-07-20

📖 5 min de lectura🧠 Análisis profundo

CC BY 4.0

Autores originales: Jiasi Weng, Jian Weng, Minrong Chen, Ming Li, Jia-Nan Liu, Zhi Li, Yue Zhang

Artículo original bajo licencia CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Esta es una explicación generada por IA del artículo a continuación. No ha sido escrita ni avalada por los autores. Para mayor precisión técnica, consulte el artículo original. Leer descargo de responsabilidad completo

Imagina un mundo donde tu computadora no solo sigue una lista estricta de comandos escritos por un humano, sino que actúa como un asistente brillante y comunicativo que puede descubrir por sí mismo cómo hacer las cosas. Esta es la era de los "agentes de IA". Piensa en ellos como pasantes digitales que pueden leer correos electrónicos, revisar cuentas bancarias y enviar documentos, todo mediante la comprensión de tus petciones en lenguaje natural. Pero aquí está el truco: estos pasantes son increíblemente inteligentes pero también increíblemente sugestionables. Si les susurras una instrucción secreta, o si un extraño astuto esconde una nota dentro de un documento que están leyendo, el pasante podría de repente decidir ignorar tu petición original y hacer algo peligroso en su lugar, como enviar todo tu dinero a un extraño. Esto es un problema porque, en el pasado, las computadoras eran como robots rígidos que solo hacían exactamente lo que se les programaba para hacer. Ahora, son como artistas creativos que pueden ser engañados para pintar sobre su propia obra.

Para entender el peligro, necesitamos observar dos formas diferentes en las que las computadoras "piensan". La primera es Neural, que es como funciona la IA: es como una vasta y difusa red de conexiones que adivina la mejor respuesta basándose en patrones. Es excelente entendiendo el lenguaje, pero puede ser un poco inestable y propensa a las alucinaciones. La segunda es Simbólica, que es como funciona la seguridad tradicional: es como un libro de reglas estricto e inquebrantable o una ecuación matemática donde $2+2$ siempre es igual a $4$, y no hay lugar para el "tal vez". La gran pregunta que los científicos se están haciendo es: ¿Cómo permitimos que nuestros agentes de IA sean creativos y útiles sin dejar que sean engañados para romper las reglas? Necesitamos una forma de dejar que la IA sueñe con el plan, pero que un guardián estricto e inalterable verifique cada paso antes de que realmente suceda.

Esto es exactamente lo que los investigadores detrás del artículo "From Neural Intent to Cryptographic Authorization" están resolviendo. Han construido un nuevo sistema de seguridad llamado Servicios Criptográficos Neurales (NCS). Imagina que estás enviando un paquete muy importante a un banco. En los viejos tiempos, podrías simplemente confiar en que el repartidor (la IA) siga las instrucciones en la caja. Pero, ¿qué pasa si alguien escribe "Entregue el paquete al ladrón" en el costado de la caja mientras el repartidor no miraba? El repartido podría leerlo y obedecer. NCS cambia las reglas del juego al poner un candado matemático súper estricto a las instrucciones.

Así es como funciona en el mundo real del artículo: El agente de IA (el "Planificador Neural") tiene permitido leer tu petición y redactar un borrador de lo que cree que debería hacer. Es como un estudiante escribiendo una tarea. Pero este estudiante no tiene el poder de entregar realmente el trabajo o gastar dinero alguno. Ese poder pertenece a un personaje diferente: el Controlador Simbólico. Este controlador es como un robot guardián al que no le importan las ideas creativas del estudiante; solo le importa una lista de verificación especial, preaprobada y firmada criptográficamente.

El proceso es un poco parecido a una bóveda de alta seguridad. Antes de que el agente de IA pueda hacer algo, el humano a cargo firma una "hoja de trabajo" (una lista de pasos) con una clave digital especial. Esta hoja de trabajo se convierte luego en una cadena de bloques, donde cada bloque está matemáticamente pegado al siguiente. Cuando el agente de IA quiere realizar un paso, el Controlador Simbólico verifica la cadena. Verifica que el paso coincida exactamente con la lista de verificación firmada. Si el agente de IA intenta decir: "Oye, enviemos $5,000 a mi amigo en lugar de los $50 que planeamos", el guardián revisa la matemática, ve que los números no coinciden con la cadena firmada e inmediatamente cierra la puerta de golpe. El agente no puede engañar al guardián porque el guardián no está escuchando las palabras del agente; solo está escuchando la matemática inquebrantable de la firma.

El artículo muestra que este sistema es increíblemente efectivo. En sus pruebas, intentaron engañar a los agentes de IA con todo tipo de trucos astutos, como esconder instrucciones maliciosas dentro de datos de apariencia normal o intentar cambiar números en una transferencia bancaria. Sin este nuevo sistema, los agentes de IA eran engañados casi siempre, con tasas de éxito para los atacantes de hasta el 100% en algunos casos. Pero cuando añadieron NCS, la tasa de éxito de los atacantes cayó casi a cero. Los agentes seguían siendo capaces de hacer sus trabajos en días normales (manteniendo su "utilidad" alta), pero se volvieron completamente inmunes a ser secuestrados.

Los investigadores también descubrieron que este sistema es sorprendentemente rápido. Las comprobaciones matemáticas que ejecutan toman menos de un milisegundo —tan rápido que es casi invisible comparado con el tiempo que la IA tarda en pensar—. Esto significa que no tenemos que sacrificar velocidad por seguridad. El artículo argumenta que no deberíamos simplemente esperar que la IA "entienda" que no debe hacer cosas malas; necesitamos un sistema donde la IA pueda proponer ideas, pero un bloqueo criptográfico asegure que solo los pasos aprobados y firmados ocurran realmente. Es una forma de dar a la IA la libertad de ser inteligente, manteniendo una correa estricta e inquebrantable sobre lo que realmente puede hacer.

Resumen Técnico: Servicios Criptográficos Neurales (NCS)

Declaración del Problema

La rápida adopción de flujos de trabajo de agentes impulsados por IA está transformando los sistemas empresariales y gubernamentales de tuberías estáticas basadas en reglas hacia infraestructuras autónomas y dinámicas. Si bien esto mejora la eficiencia operativa, rompe fundamentalmente los supuestos de seguridad de la ejecución determinista. Los servicios criptográficos tradicionales (por ejemplo, HSM, KMS) actúan como motores de ejecución pasivos que autentican quién está actuando, pero permanecen agnósticos a qué pasos específicos del flujo de trabajo están autorizados en tiempo de ejecución.

Esta brecha crea una vulnerabilidad crítica: un agente autenticado puede ser secuestrado mediante inyección de prompts directa o indirecta. Un adversario puede inyectar instrucciones maliciosas en datos no confiables o en las salidas de herramientas, causando que el agente ejecute acciones que satisfacen las verificaciones de identidad pero violan la intención del usuario (por ejemplo, enviar datos sensibles a un atacante). Las medidas de seguridad convencionales fallan aquí porque la verificación de identidad criptográfica es exitosa y los permisos parecen legítimos, pero la intención subyacente ha sido subvertida. El desafío central es reconciliar la naturaleza probabilística del razonamiento de los Modelos de Lenguaje Extensos (LLM) con la exactitud determinista requerida para las operaciones criptográficas y el control de privilegios.

Metodología: Servicios Criptográficos Neurales (NCS)

Los autores proponen los Servales Criptográficos Neurales (NCS), un plano de gobernanza de seguridad en tiempo de ejecución activo basado en un diseño Neuro-Simbólico. NCS se interpone entre los agentes de LLM no confiables y las herramientas privilegiadas, dividiendo la autoridad entre la generación neural probabilística y la ejecución simbólica determinista.

Arquitectura Central

NCS consta de cinco módulos:

Planificador Neural (Neural Planner): Un componente no confiable que analiza instrucciones en lenguaje natural y redacta planes de ejecución estructurados. Posee cero autoridad de ejecución y no puede activar herramientas privilegiadas directamente.
Controlador Simbólico (Symbolic Controller): El núcleo de autoridad determinista. Valida los borradores del planificador contra políticas estáticas, programa la ejecución por orden de dependencia y orquesta el flujo de trabajo.
Motor de Ejecución Criptográfica (Crypto Execution Engine): Interpreta códigos de Representación Intermedia (IR) agnósticos al algoritmo y los despacha a backends criptográficos plugables (por ejemplo, Ed25519, SHA-256).
Verificador (Verifier): Aplica una compuerta de cierre por falla (fail-closed). Asegura que los argumentos de la llamada a la herramienta propuestos por un agente coincidan exactamente con la carga útil de la instrucción actualmente liberada y verificada criptográficamente antes de que ocurran cualquier efecto secundario.
Gestión de Estado en Tiempo de Ejecución (Runtime State Management): Mantiene el contexto de sesión autoritativo, incluyendo contadores de programa, transcripciones de verificación y registros de auditoría.

Autenticación de Instrucciones con Estado en Dos Fases

NCS impone la autenticidad de la instrucción y la integridad de la ejecución mediante un flujo de instrucciones con encadenamiento de hashes con estado:

Fase A (Autorización de la Hoja de Trabajo/Worksheet): El usuario firma únicamente la cabecera del flujo (stream head) (metadatos que contienen el hash del primer bloque y la longitud total del flujo). El Controlador Simográfico verifica esta firma para establecer la autorización a nivel de hoja de trabajo. No se liberan bloques de carga útil todavía.
Fase B (Ejecución Incremental): El sistema procesa el flujo de instrucciones bloque por bloque.
1. Verificar: El Motor de Ejecución Criptográfica verifica la continuidad de la cadena de hashes ( $H(B'_i) = A_{i-1}$ ) y la ancla de la cabecera del flujo.
2. Liberar: Tras la verificación exitosa, se libera el bloque de instrucción plano ( $B_i$ ) como la única carga útil activa.
3. Vincular: El Planificador Neural compila un borrador del plan de pasos basado en $B_i$ . El Verificador vincula estrictamente los argumentos de la herramienta del agente a la $B_i$ liberada.
4. Despachar: Las acciones se ejecutan solo si la propuesta del agente coincide exactamente con la carga útil liberada. Cualquier discrepancia o llamada fuera de orden es rechazada inmediatamente.

Este diseño asegura que, incluso si un LLM es secuestrado para proponer una acción maliciosa, la acción no puede proceder a menos que coincida con el flujo de instrucciones con cadena de hashes firmado criptográficamente.

Contribuciones Clave

División Estricta de Autoridad: El artículo formaliza una separación donde los componentes neurales interpretan la intención y redactan planes, mientras que los componentes simbólicos deterministas autentican, programan, verifican y ejecutan. Ninguna salida neural puede activar el acceso a llaves o el despacho de herramientas privilegiadas sin pasar por las compuertas simbólicas.
Autenticación de Instrucciones con Estado: Un enfoque novedoso donde los usuarios firman solo un encabezado de hoja de trabajo, mientras que los bloques con encadenamiento de hashes vinculan el orden de los pasos y los parámetros. La Fase B impone la igualdad exacta entre las llamadas a herramientas del agente y el bloque de instrucción liberado antes del despacho.
Prototipo con Retrocompatibilidad: Los autores implementaron un prototipo que se interconecta con backends estándar tipo PKCS#11.
Evaluación Empírica: NCS fue evaluado en AgentDojo, un benchmark personalizado de Secuestro de Argumentos (Argument-Hijacking) (InjecAgent-ArgHijack), y el conjunto de datos OpenPromptInjection.

Resultados

La evaluación demuestra que NCS mitiga eficazmente los riesgos de seguridad manteniendo la utilidad:

Tasa de Éxito de Ataque (ASR): NCS reduce la tasa de éxito de ataque para la ejecución de herramientas no autorizadas a casi cero (0.0% en la mayoría de los modelos y herramientas) bajo inyección de prompts directa e indirecta, así como ataques de secuestro de argumentos.
Secuestro de Argumentos: En el benchmark personalizado, los modelos base exhibieron una alta vulnerabilidad (por ejemplo, 100% ASR en GPT-4o-mini). NCS-Full redujo el ASR a 0.0% en todos los modelos de prueba y herramientas de control (BankManagerPayBill, TransferFunds, etc.).
Preservación de Utilidad: NCS preserva la "Utilidad Parcial" ( $U^\partial$ ), permitiendo que los pasos benignos se completen incluso bajo ataque. Por ejemplo, en DeepSeek-Chat, $U^\partial$ alcanzó un 94.4% con NCS-Full.
Sobrecarga (Overhead): La sobrecarga criptográfica es insignificante. La verificación de flujo completo (firma + cadena de hashes) toma aproximadamente 1.2 ms (p50), lo cual es órdenes de magnitud menor que un solo turno de inferencia de LLM.
Comparación con Baselines: A diferencia de las defensas estadísticas (como FATH o Spotlighting) que sacrifican utilidad por seguridad o permanecen vulnerables a la coerción de cumplimiento de formato, NCS proporciona garantías deterministas sin sacrificar significativamente las tasas de finalización de tareas benignas.

Significado y Reivindicaciones

El artículo afirma que NCS redefine la seguridad de los agentes de preguntar "¿el intento del modelo cumplió?" a "¿el despacho propuesto coincide con un paso criptográficamente autorizado?".

Gobernanza Activa: NCS evoluciona los servicios criptográficos de motores de ejecución pasivos a planos de gobernanza de tiempo de ejecución activos que gobiernan cuándo y bajo qué condiciones se liberan las operaciones sensibles.
Garantías Deterministas: Al anclar la ejecución a flujos con cadena de hashes firmados fuera de línea, NCS proporciona una seguridad de cierre por falla determinista que es robusta contra la naturaleza probabilística del razonamiento de los LLM y la inyección de prompts adversaria.
Complementariedad: Los autores enfatizan que NCS es complementario, en lugar de un reemplazo, de los marcos existentes de Control de Flujo de Información (IFC) y control de privilegios. Mientras que el IFC restringe los límites generales de flujo de datos, NCS impone la integridad de los parámetros de los pasos y la criptografía.
Limitaciones: La implementación actual se centra en la verificación de firmas y hashing; el soporte para cifrado o firmas de umbral (threshold signatures) se señala como trabajo futuro. Además, NCS no filtra la fuga de salida de lenguaje natural (por ejemplo, generación de texto) si no implica una llamada a una herramienta de control, una limitación visible en clases específicas de ataques en modelos de base más débiles.

En resumen, NCS ofrece un camino práctico para asegurar los flujos de trabajo de agentes mediante el desacoplamiento de la interpretación de la intención de la autoridad de ejecución, asegurando que, incluso si el razonamiento de un agente es secuestrado, la ejecución permanezca vinculada a pasos autorizados y verificados criptográficamente.