Resumen Técnico: Invariantes de Seguridad para Agentes que Orquestan Transiciones de Estado Irreversibles

Declaración del Problema

Los agentes autónomos basados en planificadores probabilísticos (LLM) tienen la tarea cada vez más frecuente de producir efectos irreversibles en sistemas externos, tales como transferir fondos en libros contables públicos, escribir en almacenamiento duradero o actuar sobre hardware. Los marcos de trabajo existentes (por ejemplo, ReAct, Reflexion, MCP) optimizan el éxito de la tarea en benchmarks, pero ignoran en gran medida la seguridad de los efectos secundarios irreversibles.

El desafío central es que una capa de ejecución en tiempo de ejecución no puede determinar de manera definitiva si una transición generada representa fielmente la intención en lenguaje natural de un usuario (el problema del "mapeo de la intención"). Sin embargo, el artículo argumenta que, si bien el mapeo de la intención no está resuelto, la ejecución de dicha intención puede controlarse estrictamente. Sin tales controles, los agentes sufren de modos de falla específicos:

• A nivel de RPC: "Éxito fantasma" (los RPC devuelven hashes que son retractados posteriormente) o "Fallo fantasma" (transacciones legítimas que aterrizan pero se reportan como fallidas debido a ventanas de verificación cortas).
• A nivel de LLM: "Deriva de contexto obsoleta", donde los agentes repiten conclusiones desactualizadas (por ejemplo, "el usuario no tiene cuenta") incluso después de que la verdad fundamental cambie.
• A nivel de Exchange/API: "Deriva de atomicidad documentada", donde las acciones especificadas como atómicas (por ejemplo, cancelar y reemplazar) se ejecutan solo parcialmente tras un rechazo, dejando a los usuarios en estados inseguros.
• Operacional: Entregas duplicadas y selecciones de billetera mal mapeadas que resultan en dobles gastos no deseados.

Metodología y Formalismo

Espacio de Estados Tetradimensional

El artículo formaliza las operaciones de billetera como transiciones de estado en un espacio tetradimensional $S = W \times C \times A \times P$:

• $W$ (Wallet/Billetera): La frase semilla/mnemónico que controla los fondos.
• $C$ (Chain/Cadena): La red blockchain.
• $A$ (Address/Dirección): La dirección específica en esa cadena.
• $P$ (Protocol/Protocolo): El token específico, contrato o cuenta off-chain (por ejemplo, USDC en Arbitrum frente a perp-USDC en Hyperliquid).

Una transición $\tau$ es una función parcial que modifica los saldos en un conjunto acotado de cuádruples. Crucialmente, el formalismo trata a la Billetera ($W$) como una coordenada fija para una sola transición. Esto permite al sistema distinguir entre "fondos insuficientes" (un fallo de verificación de estado válido) y "selección de billetera incorrecta" (un error fatal donde el agente eligió el $W$ equivocado), una distinción que se pierde en modelos de menor dimensión.

Fidelidad de Ejecución

El artículo define la Fidelidad de Ejecución como la garantía de que para cualquier sesión $\sigma$, el efecto realizado en el libro contable, $real(\sigma)$, es:

1. Nada ($\emptyset$), o
2. Exactamente la transición $\tau_p$ que fue presentada al usuario, exactamente una vez.

El teorema explícitamente no afirma que $\tau_p$ coincida con la intención en lenguaje natural del usuario. En cambio, reduce la pregunta semántica no acotada de "¿entendió el agente?" a una verificación acotada y decidible: "¿coincide la tupla de cuatro coordenadas y el monto con lo previsualizado?".

Los Siete Invariantes de Seguridad

Derivados mediante un análisis de casos de la condición de fidelidad (para prevenir la ejecución no renderizada, la ejecución duplicada y la ejecución derivada pero distinta), el sistema impone siete invariantes:

1. Puerta de Confirmación (Local al Ejecutor): No se deriva ninguna clave de firma hasta que se registre una confirmación explícita contra una tupla de transición renderizada. Esto obliga al sistema a comprometerse con un único punto en $S$ antes de los pasos irreversibles.
2. Suficiencia de Pre-estado (Local al Ejecutor): Se realiza una verificación de saldo basada en la verdad fundamental (evitando cachés de consistencia eventual) inmediatamente antes de la firma para asegurar que la transición sea aplicable al momento de la difusión.
3. Observabilidad de Post-estado (Local al Ejecutor): Si el resultado de una difusión no puede observarse dentro de una ventana acotada, el sistema reporta "incertidumbre" en lugar de "fallo" para evitar disparadores falsos de reintentos.
4. Sin Éxito Fantasma (Local al Ejecutor): Una transacción nunca se reporta como exitosa a menos que su existencia en la cadena sea verificada por un indexador o un RPC.
5. Delegación de Alcance (Trans-nivel): Los llamadores no humanos (avatars) operan bajo conjuntos de alcance explícitos (por ejemplo, {transferir}) derivados de tokens de delegación. El ejecutor admite llamadas solo si el alcance cubre la transición requerida, desacoplando la autenticación de la autorización.
6. Seguridad de Reintento a Nivel de Plan (Nivel de Plan): Los avatars no pueden reemitir una transición irreversible tras un fallo reportado o incertidumbre hasta que hayan verificado positivamente mediante la verdad fundamental del estado que el efecto de la transición está ausente.
7. Receptor de Intención Idempotente (Receptor HTTP): Las intenciones externas que llegan a través de canales de entrega "al menos una vez" se deduplican mediante el hash del ID del remitente y los bytes de la solicitud, asegurando que una única intención de usuario produzca una única tupla de transición.

Contribuciones Clave

1. Reducción Formal del Riesgo: El artículo demuestra que, bajo un modelo de fallos que admite mapeo erróneo del planificador, resultados ambiguos y reintentos, los siete invariantes confinan todo el riesgo residual a la única predicación del mapeo de la intención. Todos los demás modos de falla se fuerzan a no producir efecto.
2. Derivación de Invariantes: A diferencia de trabajos previos que enumeran reglas de seguridad basadas en la experiencia, estos invariantes se derivan lógicamente de la definición de fidelidad de ejecución, asegurando la completitud con respecto al modelo de fallos definido.
3. Arquitectura de Múltiples Capas: El artículo describe cryptitalk-wallet, un sistema desplegado con una capa de Avatar (agentes persistentes que actúan en nombre de los usuarios) y una capa de Ejecutor (el servicio de billetera). La arquitectura trata a los avatars y a los humanos como llamadores intercambiables desde la perspectiva del ejecutor, asegurados mediante tokens de delegación de alcance.
4. Argumento Metodológico sobre la Evaluación: El artículo sostiene que las evaluaciones de seguridad dependen altamente del "modelo de respaldo" (el LLM). El valor de un stack de seguridad es una función de la agresividad inherente del modelo; evaluar un stack en un solo modelo es "casi infalsificable".

Resultados Empíricos

Suite Adversaria Controlada ($N=60$)

El sistema fue evaluado contra una suite de prompts adversarios etiquetados que apuntaban a las clases de fallos identificadas a través de cuatro modelos de respaldo:

• Modelos de Escritura Agresiva (Claude, MiniMax): El stack completo de invariantes elevó la tasa de éxito en ~74 puntos porcentuales sobre un enfoque ReAct base (por ejemplo, 81.7% vs 10.2% para Claude).
• Modelo de Escritura Cautelosa (Gemini): El stack elevó la tasa de éxito en solo ~3 puntos (60.0% vs 56.7%), ya que el modelo declinó las herramientas de escritura ante prompts ambiguos.
• Estudios de Ablación: Deshabilitar los invariantes de puerta de código (I1, I3, I5, I6, I7) causó que las tasas de éxito colapsaran casi a cero en clases de fallos específicas, confirmando que cada puerta es fundamental. Las ablaciones a nivel de herramienta (I2, I4) mostraron impactos menores, ya que el razonamiento del agente a veces absorbía la eliminación de una sola herramienta.

Despliegue en Producción

El sistema ha realizado 108 operaciones de escritura en producción a través de 8 cadenas y 8 primitivas de transición.

• Taxonomía de Fallos: El registro de despliegue validó la taxonomía de fallos, observándose incidentes para "Éxito fantasma", "Bypass de la puerta de previsualización", "Selección de billetera incorrecta" y "Entrega de webhook duplicada".
• Flota de Avatars: En una flota de 87 ejecuciones de DCA (Dollar Cost Averaging), el 32% tuvo éxito, el 32% fue escalado a humanos, el 24% dio error (se reportó correctamente) y el 11% fue abortado. Crucialmente, no ocurrieron transiciones on-chain duplicadas en el periodo posterior al despliegue del Invariante-6, contrastando con un caso de estudio previo donde un "fallo fantasma" llevó a un doble gasto realizado de 400 USDT.

Significado y Reivindicaciones

El artículo sostiene que la fidelidad de ejecución es una propiedad de seguridad tratable para agentes autónomos que actúan sobre estados irreversibles, incluso cuando el mapeo de la intención permanece sin resolver. Al formalizar el espacio de estados y derivar los invariantes desde los primeros principios, el sistema asegura que si un agente actúa, lo hace exactamente como se previsualizó, exactamente una vez.

La importancia radica en:

1. Reducción del Riesgo No Acotado: Convertir el problema infinito de "¿entendió el agente?" en una comparación finita y verificable de una tupla de cuatro coordenadas.
2. Despliegue Práctico: Demostrar que las garantías formales pueden implementarse en un sistema de billeteras multi-cadena real que maneja fondos de producción.
3. Rigor de Evaluación: Destacar que las capas de seguridad no pueden evaluarse de forma aislada del comportamiento del LLM subyacente, abogando por el modelo de respaldo como una variable experimental de primer orden.

El artículo reconoce explícitamente las limitaciones: la garantía se detiene en el "caso no supervisado" (donde las verificaciones de alcance reemplazan la confirmación humana), la supresión de duplicados es limitada en el tiempo ($\Delta$), y el sistema no proporciona atomicidad para planes de múltiples pasos (solo consistencia de prefijo). No pretende resolver el MEV, errores de contratos inteligentes o compromiso de claves, enfocándose estrictamente en la superficie de orquestación del agente.