Resumen Técnico: Un solo portón no es suficiente: Composición de controles de pre-acción con estado para la IA Agéntica

1. Planteamiento del problema

Los sistemas de IA agéntica a menudo requieren múltiples controles de pre-acción (puertas o gates) para gobernar acciones consecuentes de forma simultánea. Estos controles suelen abordar preocupaciones distintas: autoridad (permisos/obligaciones), recursos (presupuestos de costo/carbono) y evidencia (validez de datos/metadatos). Si bien trabajos previos han establecido puertas individuales (SARC, Green SARC, SARC-DQ) y han estudiado la composición de monitores de cumplimiento, persiste una brecha crítica cuando estos controles son heterogéneos y con estado (stateful).

El problema central abordado es el acoplamiento de control inducido por la remediación. En muchos sistemas, un control no se limita a bloquear una acción; la remedia (por ejemplo, sustituyendo un valor de datos corrupto o reduciendo la escala de una solicitud de recursos). Cuando el Control A remedia una acción, altera el contexto, la evidencia o los valores derivados de la misma (como el valor del pedido o el gasto previsto). Si el Control B evaluó la acción original antes de la remediación del Control A, el juicio del Control B puede quedar invalidado.

Esto crea tres desafíos específicos:

1. Invalidación: Una evaluación de una sola pasada (paralela o serial sin reevaluación) puede conducir a una ejecución poco sólida donde la acción final viola un control que fue satisfecho por el estado previo a la remediación.
2. No conmutatividad: Cuando existen múltiples operadores de remediación (por ejemplo, sustitución de evidencia y reducción de escala de recursos), su orden de aplicación puede cambiar el resultado final. El orden no es un detalle de implementación, sino una propiedad semántica de la política de gobernanza.
3. Contaminación de estado: Admitir un registro en un búfer de gobernanza persistente (por ejemplo, para una sustitución futura) basándose en la admisibilidad actual puede propagar "defectos no cubiertos" (fallos que los predicados del control actual no detectan) hacia un estado de confianza futuro, comprometiendo decisiones futuras.

2. Metodología y formalismo

El artículo formaliza estos problemas utilizando un modelo determinista donde una acción $a$ en un contexto $c(a)$ es evaluada por un conjunto de puertas $G_i$. Cada puerta mapea entradas a una respuesta en un retículo (lattice) $R = \{permitir, sustituir, degradar, escalar, bloquear\}$.

Definiciones clave

• Acoplamiento de control inducido por la remediación: Dos controles $G_i$ y $G_j$ están acoplados si un operador de remediación $\rho_i$ aplicado por $G_i$ cambia la entrada consumida por $G_j$, de tal manera que $G_j(a) \neq G_j(\rho_i(a))$.
• Solidez por acción (Per-Action Soundness): Un sistema es sólido si la acción ejecutada $a_{exec}$ satisface cada puerta en el momento de la ejecución, dado el estado vigente.
• Unión no compensatoria: El artículo distingue entre satisfacción de restricciones (donde cualquier veto bloquea la ejecución) y agregación compensatoria (don donde puntuaciones altas en un área compensan puntuaciones bajas en otra). Demuestra que para requisitos de gobernanza estrictos, la agregación ponderada aditiva puede fallar en preservar los derechos de veto a menos que se cumplan condiciones de umbral específicas.

El protocolo Remediate-and-Regate (RTR)

Para abordar la falta de solidez de una sola pasada, el artículo propone un protocolo de Remediación y Re-evaluación (RTR):

1. Fase I: Evaluar la puerta de evidencia. Si ocurre una sustitución, se forma una acción remediada $a' = \rho_{sub}(a)$ y se recomputa el contexto $c(a')$. Si existe una puerta de recursos, esta puede aplicar además un operador de reducción de ruta $\rho_{route}$ a $a'$, recomputando el contexto nuevamente.
2. Fase II: Reevaluar todas las puertas (incluida la de evidencia) sobre la acción final remediada $a_{exec}$ y el contexto actualizado.
3. Unión: Calcular el veredicto compuesto utilizando una unión no compensatoria (por ejemplo, lógica de denegar-sobreescribe o mínimo) sobre las respuestas de la Fase II.

El artículo demuestra que bajo los supuestos de determinismo, remediación acotada (de un solo paso) e idempotencia (la sustitución no dispara una nueva sustitución), este protocolo garantiza la solidez por acción.

Manejo de la no conmutatividad

El artículo demuestra que los dos operadores de remediación específicos implementados en el artefacto —$\rho_{sub}$ (sustitución de evidencia) y $\rho_{route}$ (reducción de escala de recursos)— no conmutan.

• $\rho_{route}(\rho_{sub}(a)) \neq \rho_{sub}(\rho_{route}(a))$ en general para estos operadores.
• Un verificador de modelos finito encontró contraejemplos concretos donde el orden de las operaciones cambia el resultado.
• Conclusión: El orden de las operaciones debe especificarse explícitamente como parte de la política de gobernanza (por ejemplo, "Primero la Puerta de Evidencia, luego la Puerta de Recursos") en lugar de dejarse a la implementación. El artículo señala que esto es una propiedad de estos operadores específicos y no pretende ser una solución general para sistemas de reescritura arbitrarios.

Contaminación de estado y mitigación

El artículo identifica una vulnerabilidad donde los "defectos no cubiertos" (fallos de datos que los predicados de la puerta no pueden detectar) son admitidos en un búfer gobernado y posteriormente se utilizan para remediar acciones futuras.

• Mecanismo: Un valor admitido pero defectuoso entra en el búfer $\to$ Acciones futuras sustituyen este valor defectuoso $\to$ El defecto se propaga.
• Mitigaciones: Se demuestran dos estrategias:
  1. Ventana de cuarentena: Un registro solo se considera confiable tras $N$ admisiones consecutivas consistentes.
  2. Mediana móvil de 3: Uso de la mediana de valores recientes para filtrar valores atípicos.
     Nota: Estas reducen la exposición pero no eliminan la vulnerabilidad fundamental de la remediación con estado con cobertura incompleta.

3. Contribuciones clave

1. Formalización del acoplamiento inducido por la remediación: El artículo define las condiciones bajo las cuales la remediación de un control invalida el juicio de otro, yendo más allá de la simple composición de monitores hacia la invalidación de objetos semánticos.
2. Solidez de Remediate-and-Regate: Establece un protocolo que restaura la solidez en un entorno acotado e idempotente al asegurar que cada puerta reevalúe la acción final.
3. No conmutatividad de operadores de remediación específicos: Demuestra que los dos operadores de remediación concretos implementados en el artefacto (sustitución de evidencia y reducción de escala de recursos) no conmutan, lo que hace que el orden de las operaciones sea un requisito semántico para estos controles específicos. Esto fue verificado mediante un verificador de modelos finito que encontró 86/243 puntos de cuadrícula (y 150/200 puntos fuera de la cuadrícula) donde el orden cambia el resultado. El artículo no afirma que esta no conmutatividad se aplique a operadores de remediación arbitrarios.
4. Contaminación del estado de gobernanza: Demuestra que admitir registros en el estado persistente sin cobertura total puede contaminar la remediación futura, y muestra que las estrategias de mitigación (cuarentena, filtrado de la mediana) reducen, pero no eliminan, este riesgo.
5. Agregación lineal frente a semántica de veto: Proporciona una condición exacta (Lema) para cuando un agregador de suma ponderada preserva los derechos de veto: un perfil vetado es admitido si y solo si el umbral $\tau$ no excede la suma de pesos del "dejar uno fuera" más grande del agregador. Esto aclara que la puntuación aditiva no es un sustitto de la semántica de factibilidad conjuntiva en gobernanza estricta.
6. Conjunto de evidencia unificado: Un mecanismo para preservar el linaje completo a través de las puertas, registrando los IDs de evidencia pre y post-remediación y la escritura específica en el búfer, asegurando el compromiso de identidad sin pretender la reconstrucción de bytes.

4. Resultados empíricos

El artículo valida estos mecanismos utilizando un artefacto determinista (suite-demo) compuesto por tres motores Apache 2.0 sin modificaciones (SARC, Green SARC, SARC-DQ) sobre 30 semillas pre-registradas y dos flujos de trabajo (Diario y Semanal).

• Solidez (CH1): Bajo el protocolo Remediate-and-Regate, cero acciones ejecutadas violaron ninguna puerta en el momento de la ejecución en todas las 30 semillas.
• Falta de solidez de una sola pasada (CH2): En el escenario construido (S4), la evaluación de una sola pasada divergió del protocolo sólido en 207.5 decisiones (promedio) por cada 30 semillas, admitiendo a menudo acciones que violaban las puertas tras la remediación.
• No conmutatividad (CH7): Un verificador de modelos confirmó que los dos operadores de remediación específicos no conmutan, validando la necesidad de un orden fijo para estos operadores.
• Honestidad de la cobertura (CH4): El sistema compuesto detectó exactamente la unión de las clases cubiertas de las puertas miembros; no se "fabricó" nueva cobertura de detección mediante la composición.
• Contaminación del búfer (CH6): En el flujo de trabajo "Diario" (W1), el búfer simple produjo un promedio de 14.70 sustituciones contaminadas. Tanto la cuarentena como las mitigaciones de la mediana de 3 redujeron estrictamente este conteo. En el flujo de trabajo "Semanal" (W2), la tasa de contaminación base era menor (1.83), y aunque las mitigaciones redujeron el conteo, el pequeño tamaño de la muestra a veces resultó en cero eventos base, lo que imposibilitó satisfacer estadísticamente la reducción estricta por semilla en todos los casos.
• Seguridad de la compensación (CH5): Las comprobaciones exhaustivas de la cuadrícula y empíricas confirmaron que la agregación de suma ponderada puede admitir acciones vetadas (por ejemplo, bloquear un defecto específico) si el umbral no está cuidadosamente calibrado, mientras que la semántica de unión min preserva estrictamente el veto.

5. Significado y declaraciones

La importancia del artículo radica en establecer la semántica de composición acotada para los controles de pre-acción con estado en la IA Agéntica. Argumenta que:

• La remediación cambia la semántica: Una vez que se permite a un control transformar una acción, los juicios previos se vuelven contingentes a la versión del objeto evaluado. La gobernanza correcta requiere una semántica explícita para invalidar y recomputar los juendicios dependientes.
• El orden importa: Cuando existen múltiples operadores de remediación, su orden es parte de la política de gobernancia, no un detalle de implementación.
• El estado requiere políticas de confianza: La admisión en el estado de gobernancia persistente es distinta de la confianza futura; los defectos admitidos pero no cubiertos pueden contaminar la remediación futura.

Alcance y limitaciones:
El artículo limita explícitamente sus afirmaciones:

• Es una demostración de mecanismo, no un estudio de prevalencia en producción.
• Establece la solidez para el entorno actual de un solo paso e idempotencia. No pretende resolver la convergencia, terminación o confluencia general para remediadores no idempotentes o dependencias cíclicas arbitrarias.
• No afirma que la agregación ponderada sea inherentemente insegura, sino que no es adecuada para implementar semánticas de veto estricto sin restricciones de umbral específicas.
• La mitigación de la contaminación del búfer reduce la exposición pero no elimina la vulnerabilidad de la remediación con estado con cobertura incompleta.
• La demostración de la no conmutatividad se aplica específicamente a los dos operadores implementados (sustitución de evidencia y reducción de escala de recursos) y no se generaliza a operadores de remediación arbitrarios sin derivar nuevamente el verificador.

El trabajo proporciona una base rigurosa para componer controles heterogéneos con estado en agentes de IA, destacando la necesidad de la reevaluación, el orden explícito y la distinción cuidadosa entre la admisión y la confianza.