Resumen Técnico: HALO – Admisión Heterogénea mediante Obligaciones Localizadas para la Ejecución Segura de Agentes

Declaración del Problema

La emergencia de sistemas de IA agéntica, que combinan Modelos de Lenguaje Extensos (LLM) con herramientas y acciones externas, introduce un desafío de seguridad crítico conocido como deriva de soporte en tiempo de ejecución (runtime support drift). A diferencia de las respuestas de texto estático, las respuestas agénticas suelen contener componentes heterogéneos (por ejemplo, avisos de operador, informes de sensores, acciones de vuelo y mensajes de estado) con interdependencias.

Debido a que los LLM requieren tiempo para generar respuestas, el estado del sistema externo (datos de sensores, autorización, estado del software, entorno físico) puede cambiar entre el momento en que se genera una respuesta y el momento en que se ejecuta.

• El Dilema: Rechazar una respuesta completa debido a un único componente desactualizado descarta información válida y útil. Por el contrario, verificar los componentes de forma independiente conlleva el riesgo de ejecutar una acción dependiente (por ejemplo, un mensaje de estado) sin su prerrequisito (por ejemplo, una acción de vuelo) o ejecutar una acción basada en datos obsoletos.
• La Brecha: Los enfoques existentes ya sea controlan el contenido generado (Guardrails), gestionan flujos de trabajo amplios (SAFEFLOW), o proporcionan comprobaciones de operación programables (AgentSpec). Ninguno aborda específicamente el protocolo de tiempo de ejecución para preservar los componentes válidos dentro de una única respuesta heterogénea mientras se bloquean los componentes inválidos y se asegura la revalidación exacta de la acción inmediatamente antes de su despacho.

Metodología: El Protocolo HALO

HALO es un protocolo de tiempo de ejecución diseñado para gestionar la admisión, el despacho y la recuperación de componentes dentro de una única respuesta estructurada del agente. Opera bajo el principio de que los componentes deben tratarse como entidades separadas con requisitos previos declarados, en lugar de un bloque monolítico.

Componentes Principales

1. Respuesta Estructurada y Grafo ($bR, G_R$): El agente devuelve una respuesta estructurada que contiene componentes tipados con referencias de prerrequisitos opcionales. HALO valida estos contra un catálogo de dominio confiable ($K$) para formar un grafo de dependencia ($G_R$).
2. Admisión a Nivel de Componente:
   • Huella de Soporte ($\pi_e$): HALO identifica los campos de estado específicos relevantes para cada componente.
   • Cierre de Dependencia: HALO calcula el subconjunto más grande de componentes ($A^*_t$) que están actualmente soportados y cuyos prerrequisitos declarados también están soportados. Esto se logra mediante una iteración de punto fijo mayor que elimina los componentes no soportados y sus dependientes.
   • Resultado: Los componentes válidos se retienen; los inválidos se retienen.
3. Vinculación de Acción Exacta y Compuerta de Despacho Final:
   • La retención no equivale a la autorización. Antes de que una acción cruce la interfaz controlada (adaptador $G$), HALO realiza una comprobación de Compuerta de Despacho Final.
   • Vinculación ($b_e$): Una instancia de acción se vincula a un digest canónico y a un "token de un solo despacho".
   • Revalidación: Inmediatamente antes del despacho, la compuerta verifica que la acción exacta retenida sigue siendo soportada, los prerrequisitos están listos, la vinculación no ha cambiado y el token no ha sido utilizado.
4. Obligaciones Localizadas y Recuperación Fresca:
   • Si una acción es bloqueada, HALO crea una Obligación Localizada ($o_e$) que registra la razón de la denegación y el alcance específico ($S(o_e)$) de los componentes elegibles para el reemplazo.
   • Readmisión Fresca: Una acción bloqueada no puede ser revivida con su autoridad antigua. Un nuevo candidato debe someterse a una admisión fresca con evidencia actual, una nueva generación, un nuevo token y una nueva secuencia. Solo los componentes dentro del alcance de la obligación pueden recibir estos nuevos candidatos.

Modelo de Confianza

HALO asume un catálogo de dominio confiable ($K$), proveedores de estado fieles, un adaptador aplicado ($G$) y un libro de contabilidad de autorización confiable. No confía en las cargas útiles devueltas por el agente ni en las referencias de prerrequisitos, validándolas contra el catálogo.

Contribuciones Clave

1. Modelo de Admisión a Nivel de Componente: Un modelo formal para respuestas heterogéneas bajo deriva de soporte en tiempo de ejecución, distinguiendo entre la retención parcial y el rechazo de la respuesta completa.
2. Proceso de Tiempo de Ejecución: Un protocolo que combina la retención consistente de dependencias, la vinculación de despacho exacto y la recuperación con alcance definido.
3. Evidencia por Capas: Validación mediante la reproducción de respuestas estructuradas, pruebas de conformidad de protocolo y ejecución física de UAV (PX4/Gazebo/Crazyflie).

Resultados de la Evaluación

El artículo evalúa HALO a través de tres dimensiones:

1. Necesidad del Mecanismo (Reproducción de Respuesta Estructurada)

• Configuración: Se comparó HALO-Full con variantes reducidas (WholeResponse, IndependentFilter) y líneas base (AgentSpec-Global, AgentSpec-Scoped).
• Hallazgos:
  • WholeResponse: Retuvo 0/248 componentes soportados (bloqueo excesivo).
  • IndependentFilter: Retuvo 248/248 componentes pero permitió 70/70 "fugas de huérfanos" (componentes dependientes sin prerrequisitos).
  • HALO-Admission: Retuvo 248/248 pero omitió 72/72 despachos obsoletos debido a la falta de recomprobaciones finales.
  • HALO-Full: Retuvo 248/248 componentes soportados, bloqueó 72/72 épocas obsoletas, 72/72 límites incorrectos y 70/70 huérfanos. Cumplió con los 96 casos de espera de admisión y pasó 20 pruebas de protocolo.

2. Conformidad del Protocolo

• Hallazgos: La implementación coincidió con todos los resultados esperados a través de 135 grafos enumerados exhaustivamente (hasta 16 componentes), 45 grafos comprobados de forma independiente (32 componentes) y 10,000 cronogramas con inyección de fallos. Aplicó correctamente el cierre de dependencia, la no reutilización de tokens y las transiciones de recuperación.

3. Ejecución Física (UAV/PX4/Gazebo)

• Configuración: Diez sesiones de arranque en frío con Crazyflie y PX4/Gazebo.
• Hallazgos:
  • HALO bloqueó cada ruta obsoleta probada (0 conjuntos de consignas obsoletas observados).
  • Retuvo componentes no afectados (por ejemplo, informes de rango) mientras retenía acciones obsoletas (por ejemplo, comandos de vuelo).
  • Los 10/10 candidatos de recuperación fresca fueron readmitidos y despachados con éxito.
  • No se observaron consignas obsoletas para las acciones denegadas.

4. Costo de Tiempo de Ejecución

• Hallazgos: El costo del protocolo es mínimo.
  • Costo de admisión (hasta 32 componentes): Mediana de 0.333 ms.
  • Costo de compuerta final (hasta 16 dependencias): Mediana de 0.035 ms.
  • El escalado es lineal con respecto al número de componentes y dependencias ($O(|V| + |D_\phi|)$).

Significado y Reivindicaciones

El artículo posiciona a HALO no como un nuevo lenguaje de predicados, métrica de frescura o primitiva de autorización, sino como un protocolo de tiempo de ejecución de componentes tipados reutilizable que se sitúa entre las respuestas estructuradas y las acciones externas controladas.

• Capa de Tiempo de Ejecución Distinta: HALO establece la admisión de componentes heterogéneos como una capa distinta, separando la decisión de qué componentes siguen siendo elegibles de la decisión de si una acción exacta puede cruzar la interfaz.
• Garantías de Seguridad: Bajo sus supuestos de confianza, HALO garantiza:
  • Coherencia de Dependencia: Ningún dependiente es retenido sin su prerrequisito.
  • Vinculación de Instancia Exacta: Las acciones están vinculadas a cargas útiles y estados de soporte específicos, evitando la repetición o modificación.
  • Cumplimiento de Un Solo Despacho: Los tokens aseguran que las acciones se despachen como máximo una vez.
  • Recuperación con Alcance Fresco: Los componentes bloqueados solo pueden regresar como candidatos frescos con evidencia actual, evitando la revitalización de autoridad obsoleta.
• Alcance de Frontera: Los autores declaran explícitamente que las garantías de HALO están limitadas a su frontera. No garantiza la corrección semántica de la intención del agente, no gestiona dependencias no declaradas ni asegura los resultados físicos posteriores (por ejemplo, evitación de colisiones), pero asegura que el cruce de la interfaz esté gobernado por condiciones actuales, consistentes y autorizadas.

El trabajo demuestra que, a medida que los LLM evolucionan hacia agentes que actúan sobre sistemas externos, es necesario un paradigma de tiempo de ejecución a nivel de componente para gobernar las respuestas que producen efectos de manera segura.