Resumen Técnico: Ataques de Backdoor de Solo Consulta sobre Habilidades de Evolución Propia mediante el Envenenamiento de Trayectorias

Planteamiento del Problema

Las habilidades agénticas permiten que los agentes de Modelos de Lenguaje Grande (LLM) ejecuten tareas complejas mediante la codificación de procedimientos reutilizables. Mientras que la adquisición tradicional de habilidades depende de mercados externos, los sistemas de habilidades de evolución propia han surgido para construir y actualizar habilidades automáticamente a partir de trayectorias de ejecución, desplazando la adquisición hacia un flujo de trabajo interno "de confianza". Este cambio tenía como objetivo mitigar los ataques de inyección de habilidades existentes que dependen de la manipulación directa de los artefactos de las habilidades.

Sin embargo, este artículo identifica una vulnerabilidad crítica: aunque el acceso directo a los artefactos de las habilidades está restringido, el propio flujo de evolución de habilidades permanece expuesto. Un atacante con solo acceso a nivel de consulta (la capacidad de enviar tareas y observar respuestas) puede dirigir indirectamente al evolutor de confianza. Al inducir trayectorias de ejecución comprometidas, un atacante puede causar que el evolutor consolide comportamientos maliciosos y condicionales en la habilidad. Esto crea una nueva superficie de ataque donde el proceso de construcción interna "de confianza" se convierte en el vector para inyectar backdoors (puertas traseras).

Metodología: Ataque de Backdoor de Trayectoria (TBA)

Los autores proponen el Ataque de Backdoor de Trayectoria (TBA), un ataque de solo consulta diseñado para implantar una regla de backdoor condicional en una habilidad de evolución propia sin modificar directamente el archivo de la habilidad ni el evolutor. El ataque se basa en tres mecanismos centrales para asegurar que la regla maliciosa sea claramente expresada, inferida y retenida por el evolutor:

1. Inducción de Trayectorias Contrafácticas:
   Dado que la acción maliciosa objetivo no está relacionada con las tareas benignas, esta no ocurre naturalmente en las trayectorias estándar. El TBA construye demostraciones contrafácticas emparejadas dentro del contexto de la consulta. Estos pares muestran:

   • Cuando está presente una condición de activación específica, el agente debe realizar la acción objetivo (Aceptar).
   • Cuando el activador está ausente, el agente debe abstenerse de la acción (Rechazar).
     Esto obliga al ejecutor a generar trayectorias que demuestren explícitamente el límite condicional, en lugar de solo el resultado.

2. Externalización de la Política a Nivel de Trayectoria:
   Para evitar que la regla condicional se pierda durante el proceso de compresión y consolidación del evolutor, el TBA incluye una instrucción de externalización de la política. Esto insta al ejecutor a inferir y declarar explícitamente la regla subyacente (por ejemplo, "Si el activador $c^*$ está presente, entonces añadir la acción $a^*$") antes de ejecutar la tarea. Esto convierte los patrones de comportamiento implícitos en evidencia textual explícita dentro de la trayectoria, facilitando que el evolutor la extraiga y codifique.

3. Construcción de Evidencia entre Tareas:
   Para convencer al evolutor de que la regla es una habilidad reutilizable y no un artefacto incidental de una sola tarea, el atacante envía las instrucciones contrafácticas y de externalización a través de diversas tareas con activadores, intercalando tareas limpias. Esto demuestra que la regla se aplica de manera general en toda la familia de tareas, fomentando que el evolutor la consolide como un componente permanente y dependiente de un activador dentro de la habilidad.

Modelo de Amenaza: El atacante no tiene acceso privilegiado a los artefactos de la habilidad, al evolutor o al proceso de recolección de trayectorias. Solo puede enviar consultas de tareas y observar las respuestas. El objetivo es producir una habilidad envenenada $s_{poi}$ que preserve la utilidad normal de las tareas ($\pi_{ben}(q)$) pero ejecute una acción objetivo $a^*$ cada vez que se cumpla una condición de activación específica $c^*(q)$.

Contribuciones Clave

1. Nuevo Vector de Amenaza: El artículo identifica y formaliza una nueva amenaza de backdoor específica para los sistemas de habilidades de evolución propia, donde la superficie de ataque se desplaza de la manipulación de artefactos al envenenamiento de trayectorias mediante consultas de tareas.
2. Marco TBA: Los autores proponen el Ataque de Backdoor de Trayectoria (TBA), un método que combina la inducción contrafáctica, la externalización de la política y la evidencia entre tareas para implantar de manera confiable backdoors condicionales utilizando únicamente el acceso a nivel de consulta.
3. Validación Empírica: Experimentos extensos demuestran que el TBA implanta con éxito backdoors en diferentes sistemas de evolución de habilidades y modelos de base, logrando tasas de éxito comparables o superiores a los ataques de inyección directa de habilidades, manteniendo al mismo tiempo una alta utilidad en las tareas benignas.

Resultados Experimentales

Los autores evaluaron el TBA en dos sistemas de evolución de habilidades (SkillOpt y Trace2Skill) a través de tres benchmarks (SearchQA, OfficeQA y SpreadsheetBench) utilizando cuatro modelos de base (incluyendo modelos de pesos abiertos y propietarios).

• Efectividad: El TBA logró consistentemente altas Tasas de Éxito de Ataque Activado (TASR). Por ejemplo, en el sistema Trace2Skill con el modelo base GPT-5.5, el TBA alcanzó una TASR del 70.6%, mientras mantenía una Precisión Limpia (CACC) del 98.3%.
• Comparación con Baselines: El TBA superó significativamente a los baselines de solo interacción.
  • Exposición de Acción-Activador (mostrar la acción sin reglas explícitas) tuvo una tasa de éxito mucho menor (por ejemplo, 6.1% frente a 45.6% en SkillOpt).
  • Exposición de Regla Explícita (declarar la regla sin contrafácticos) fue más efectiva, pero seguía siendo inferior al TBA completo.
  • El rendimiento del TBA se acercó al de la Inyección Directa de Habilidades (un oráculo con acceso de escritura), diferenciándose por solo 0.6–6.1 puntos porcentuales en algunas métricas, a pesar de no tener acceso directo al archivo de la habilidad.
• Robustez:
  • Persistencia: El backdoor persistió a través de actualizaciones benignas posteriores de la habilidad.
  • Sensibilidad: El ataque siguió siendo efectivo incluso con una baja proporción de trayectorias activadas (5 de 40) y contra habilidades maduras preexistentes.
  • Evasión de Defensas: Los modelos de salvaguarda existentes (por ejemplo, GPT-OSS-Safeguard) proporcionaron una protección inconsistente, fallando a veces en reducir la tasa de éxito del ataque o incluso aumentándola.

Significado y Reivindicaciones

El artículo sostiene que el cambio hacia la construcción de habilidades internas de confianza no asegura intrínsecamente los sistemas agénticos. En su lugar, crea una vulnerabilidad novedosa donde el propio flujo de evolución puede ser secuestrado.

Los autores enfatizan que:

• El acceso a nivel de consulta es suficiente: Los atacantes no necesitan comprometer el repositorio de habilidades ni el evolutor; manipular las consultas de entrada es suficiente para envenenar la habilidad resultante.
• La utilidad se preserva: El ataque mantiene con éxito la capacidad del agente para realizar tareas normales, lo que lo hace sigiloso y difícil de detectar mediante el monitoreo de utilidad estándar.
• Las defensas actuales son insuficientes: Los filtros de seguridad y las salvaguardas de los modelos estándar no previenen de manera confiable la consolidación de patrones de trayectoria maliciosos en habilidades reutilizables.

El estudio concluye que los sistemas de habilidades de evolución propia requieren nuevos mecanismos de seguridad que aborden específicamente la integridad del proceso de consolidación de trayectoria a habilidad, en lugar de centrarse únicamente en la seguridad de los artefactos estáticos de las habilidades.