💻 computer science

Delegation-Aware Runtime Contracts for Open LLM Multi-Agent Systems: Constraint Preservation, Capability Revocation, and State Recovery

Este artículo introduce los Contratos de Ejecución Conscientes de la Delegación (DARC, por sus siglas en inglés), un marco formal que trata la transferencia de autoridad en sistemas multiagente de LLM como un proceso verificable por máquina para imponer la preservación de restricciones, la revocación de capacidades y la recuperación de estado mediante mediación determinista en tiempo de ejecución, abordando así los riesgos de seguridad de tratar la delegación como mero lenguaje natural.

Autores originales: Vinay Bamil

Publicado 2026-08-13

📖 8 min de lectura🧠 Análisis profundo

CC BY 4.0

Autores originales: Vinay Bamil

Artículo original bajo licencia CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/). ✨ Esta es una explicación generada por IA del artículo a continuación. No ha sido escrita ni avalada por los autores. Para mayor precisión técnica, consulte el artículo original. Leer descargo de responsabilidad completo

Imagina un mundo donde no solo hablas con un robot inteligente, sino con todo un equipo de ellos trabajando juntos. En este mundo, un robot "gerente" podría decir: "Oye, tú ve a buscar el mejor precio para una nueva laptop", y luego ese robot podría decirle a un tercer robot: "Tú ve a revisar los sitios web". Esto se llama un sistema multiagente. Es como una carrera de relevos digital donde el testigo es una tarea. Pero aquí está la parte difícil: cuando el primer robot le pasa la tarea al segundo, normalmente solo le susurra las instrucciones en lenguaje natural. Si el primer robot dice: "No gastes más de $500", el segundo robot podría escuchar "Busca una laptop" y olvidar por completo el límite de precio. Esto sucede porque las computadoras son excelentes siguiendo reglas, pero no siempre son buenas recordando la letra pequeña cuando pasan una conversación a lo largo. Los científicos están preocupados de que, si dejamos que estos equipos de robots actúen sin control y sin mejores reglas, podrían accidentalmente gastar todo nuestro dinero, filtrar nuestros secretos o hacer cosas que nunca les pedimos.

Este artículo presenta una nueva forma de manejar estos traspasos de robots, llamada DARC (Contratos de Ejecución con Conciencia de Delegación). Piensa en esto como darle a los robots una mochila especial e inquebrantable en lugar de solo un susurro. Cada vez que un robot pasa una tarea a otro, no solo dice "ve"; entrega un contrato digital dentro de esa mochila. Este contrato enumera exactamente qué tiene permitido hacer el nuevo robot, qué no puede hacer, cuánto dinero puede gastar y cuándo expira su trabajo. El artículo muestra que, si utilizas estos contratos, puedes demostrar matemáticamente que el nuevo robot no puede obtener repentinamente más poder del que tenía el anterior, y que no puede olvidar los límites de presupuesto. El autor construyó un sistema para verificar estas mochilas automáticamente. Descubrieron que, sin estos contratos, las reglas a menudo desaparecen a medida que las tareas se pasan de un lado a otro, pero con ellos, las reglas permanecen bloqueadas. Sin embargo, el artículo es cuidadoso al decir que, si bien las partes "matemáticas" (como los límites de dinero o de tiempo) son perfectamente seguras, las partes que requieren comprender el significado del lenguaje humano (como "ser educado") siguen siendo un poco complicadas y necesitan más pruebas.

El Problema: El "Teléfono Descompuesto" de los Equipos de Robots

Imagina jugar al juego del "Teléfono Descompuesto" con un grupo de amigos. Le susurras un secreto a la primera persona, quien se lo susurra a la siguiente, y así sucesivamente. Para cuando llega a la última persona, el secreto generalmente ha cambiado. Tal vez "No comas pastel" se convierte en "¡Come pastel!".

En el mundo de la IA, esto es exactamente lo que sucede cuando un equipo de agentes de Modelos de Lenguaje Extensos (LLM) trabaja en conjunto. Un agente (el jefe) le da una tarea a otro agente (el trabajador). El jefe puede decir: "Busca un proveedor, pero no gastes más de $1,000 y no muestres nuestra lista de empleados a nadie". El trabajador escucha esto y le pasa la tarea a un tercer agente (el que navega por la web). Pero debido a que el mensaje es solo texto plano, el tercer agente podría solo escuchar: "Busca un proveedor". ¡El límite de presupuesto y la regla de privacidad se han desvanecido en el aire!

Esto es peligroso. Si un equipo de robots está gestionando el presupuesto de una empresa o manejando datos privados, perder esas reglas significa que los robots podrían gastar accidentalmente millones o filtrar secretos. El problema no es que los robots sean "malos"; es que la forma en que se comunican entre sí trata las reglas de seguridad importantes como sugerencias opcionales en lugar de leyes estrictas.

La Solución: La Mochila Inquebrantable (DARC)

El autor de este artículo, liderado por Vinay Bamil, propone una solución llamada DARC. En lugar de solo pasar un mensaje de texto, cada vez que un agente delega una tarea, debe entregar un Contrato de Delegación.

Piensa en este contrato como una mochila especial e inquebrantable que viene con la tarea. Dentro de esta mochila, hay etiquetas claras y legibles por máquinas que dicen:

Lo que puedes hacer: (por ejemplo, "Puedes revisar precios, pero no puedes comprar nada").
Lo que no puedes hacer: (por ejemplo, "No puedes ver los registros de los empleados").
El presupuesto: (por ejemplo, "Te quedan exactamente $500 para gastar").
La expiración: (por ejemplo, "Esta tarea es válida solo por 1 hora").
El historial: (por ejemplo, "Esta tarea provino del Agente A, quien la recibió del Jefe").

La magia de DARC es que trata estas reglas como matemáticas, no solo como palabras. Cuando un robot intenta pasar una tarea a un nuevo robot, un "Mediador" (un guardia de seguridad) revisa la mochila. Si el nuevo robot intenta tomar una regla que no estaba allí, o si intenta añadir un nuevo poder que el anterior no tenía, el guardia dice: "¡No!" y detiene el traspaso.

Cómo Funciona: El Guardia de Seguridad y la Mochila

El sistema funciona en tres etapas principales, como un control de seguridad en un aeropuerto:

El Traspaso (Mediador): Cuando el Agente A quiere darle una tarea al Agente B, el Mediador revisa la mochila. Se asegura de que el Agente B no esté pidiendo más poder del que tenía el Agente A. Si el Agente A tenía un presupuesto de $500, el Agente B no puede obtener un presupuesto de $600. Si el Agente A tenía una regla sobre "no datos de empleados", el Agente B debe mantener esa regla. La mochila se construye antes de que se pase la tarea, por lo que es imposible olvidar las reglas.
La Acción (Gateway/Puerta de Enlace): Cuando el Agente B intenta realmente hacer algo (como comprar una laptop o leer un archivo), el Gateway revisa la mochila nuevamente. Pregunta: "¿Tienes permiso para hacer esto? ¿Tienes suficiente presupuesto restante? ¿Es este el dato que intentas leer permitido?". Si la respuesta es no, la acción se bloquea inmediatamente.
La Limpieza (Controlador de Incidentes): ¿Qué pasa si un robot es hackeado o se vuelve loco? El sistema puede "revocar" la mochila. Si el Jefe dice: "¡Detengan al Agente B!", el sistema no solo detiene al Agjeto B; rastrea el historial de la mochila. Encuentra cada robot al que el Agente B le dio una tarea y también los detiene a ellos. Además, pone en cuarentena cualquier dato que esos robots tocaron, asegurándose de que la "infección" no se propague.

Lo que el Autor Encontró (y lo que No Encontró)

El autor construyó un prototipo de este sistema y lo probó rigurosamente. Esto es lo que descubrió:

Las Matemáticas Funcionan: Demostró que si usas estos contratos, las reglas no pueden caerse accidentalmente. Si un presupuesto se establece en $500, se mantiene en $500 (o menos) sin importar cuántas veces se pase la tarea. Descubrieron que, sin este sistema, las reglas a menudo desaparecen después de solo unos pocos traspasos.
El Error de "Omisión": Durante sus pruebas, encontraron un error sigiloso. Se dieron cuenta de que si un robot padre olvidaba escribir un límite específico (como un número de presupuesto), el robot hijo podría pensar que tenía dinero ilimitado. Corrigieron esto estableciendo una nueva regla: si falta un límite, el sistema debe asumir el límite más estricto posible (como $0) para estar seguro. Esta es una gran lección para construir IA segura.
El Problema del "Significado": El sistema es perfecto para verificar números, fechas y reglas claras. Pero no es perfecto para comprender los matices del lenguaje humano. Por ejemplo, si una regla dice "Sé educado", el sistema no puede demostrar matemáticamente si un robot fue educado o no. El autor admite que, para estas reglas "basadas en el significado", su sistema es solo un monitor de "mejor esfuerzo", no una garantía perfecta. Son honestos al respecto: pueden demostrar que las matemáticas funcionan, pero aún no pueden demostrar que la "educación" funcione.
Las Pruebas: Realizaron un estudio piloto para ver qué tan bien un juez automatizado podía detectar estos errores. Sin embargo, el juez aún no superó su estricta prueba de concordancia. Por lo tanto, no están afirmando haber resuelto el problema de la "educación" todavía; solo están mostrando que su sistema puede rastrear estos problemas y que se necesitan más pruebas.

Por Qué Esto Importa

Este artículo es un puente entre dos mundos: el viejo mundo de la seguridad informática estricta (donde las reglas son duras e inquebrantables) y el nuevo mundo de los equipos de IA flexibles (donde los robots hablan en lenguaje natural).

El autor demuestra que no podemos simplemente dejar que los robots de IA hablen libremente entre sí si queremos que sean seguros. Necesitamos darles un "contrato" que viaje con la tarea. Esto asegura que, incluso si los robots son conversadores y creativos, no puedan romper las reglas que les imponemos.

Si bien el sistema no es perfecto todavía (especialmente para comprender significados humanos complejos), proporciona una base sólida. Demuestra que podemos construir equipos de IA que sean poderosos pero también seguros, manteniendo nuestro dinero a salvo y nuestros secretos secretos, al tratar cada traspaso como un contrato serio y verificado en lugar de solo un susurro en la oscuridad.

Resumen Técnico: Contratos de Tiempo de Ejecución Conscientes de la Delegación para Sistemas Multi-Agente de LLM Abiertos

Declaración del Problema
Los sistemas multi-agente de Modelos de Lenguaje Extensos (LLM) actuales delegan tareas con frecuencia, generan sub-agentes y comparten memoria. Sin embargo, los controles de seguridad se aplican típicamente a agentes individuales o patrones de comunicación, en lugar de al traspaso de autoridad en sí mismo. El artículo argumenta que tratar la delegación como texto ordinario de lenguaje natural es un error de modelado fundamental. En este paradigma, los objetivos tienden a sobrevivir a múltiples traspasos, mientras que las restricciones críticas —como presupuestos, restricciones de datos, obligaciones y condiciones de revocación— tienden a debilitarse o desaparecer a medida que son parafraseadas por los modelos de lenguaje. Las defensas existentes (guardrails por agente, detección a nivel de topología o jueces de LLM) fallan en abordar esto porque no pueden rastrear la propagación de restricciones a través de cadenas de delegación, carecen de mecanismos para la revocación transitiva de la autoridad derivada y no ofrecen recuperación para estados corruptos.

Metodología: Contratos de Tiempo de Ejecución Conscientes de la Delegación (DARC)
El autor propone DARC, un marco que trata la delegación como un punto de ejecución de primera clase y verificable mecánicamente. En lugar de pasar prompts de texto plano, cada traspaso de autoridad porta un Contrato de Delegación ( $C_{i \to j}$ ) que codifica:

Objetivos delegados, capacidades y alcances de datos.
Obligaciones, prohibiciones y presupuestos de recursos.
Expiración, cadenas de procedencia y condiciones de revocación.

El sistema opera bajo una disciplina de dos niveles:

Núcleo Determinista: Un conjunto de restricciones (atenuación de capacidades, preservación del alcance de datos, límites de presupuesto, expiración, integridad de linaje y cierre de revocación) que son mecánicamente verificables. Estas reciben garantías formales bajo el supuesto de interposición completa (todas las delegaciones, llamadas a herramientas y escrituras de memoria gobernadas pasan a través de un mediador).
Nivel Semántico: Las cláusulas dependientes del significado del lenguaje natural (por ejemplo, interpretaciones de obligaciones específicas) son gestionadas por monitores de mejor esfuerzo. Estas reciben análisis empíricos pero no garantías formales.

Contribuciones Clave

Modelo Formal (C1): Un modelo de delegación recursivo para sistemas de LLM abiertos donde los contratos codifican objetivos, capacidades, alcances de datos, obligaciones, prohibiciones, presupuestos, expiración, procedencia y revocación.
Marco de Propiedades de Dos Niveles (C2):
- Propiedades Deterministas: Monotonía de la autoridad (un delegado nunca recibe más autoridad que el delegante), preservación del alcance de datos, preservación de obligaciones (vía transformaciones registradas), cierre de revocación (revocación transitiva de descendientes) y completitud de la procedencia.
- Propiedades Semánticas: Consistencia de objetivos y herencia de obligaciones en lenguaje natural, tratadas empíricamente.
Arquitectura de Tiempo de Ejecución (C3): Un sistema que comprende un Compilador de Contratos (registro de transformaciones), un Mediador de Delegación (aplica reglas de atenuación), un Monitor de Comunicación, una Pasarela de Capacidades (verifica llamadas a herramientas contra contratos activos), una Capa de Memoria Gobernada (delimita escrituras/lecturas por contrato) y un Controlador de Incidentes (gestiona la revocación y la recuperación).
Protocolo de Recuperación (C4): Un protocolo de contención guiado por la procedencia que permite la revocación de capacidades transitiva y la cuarentena de memoria basada en el linaje. Distingue entre cuarentena conservadora (cualquier entrada contaminada contamina la salida) y cuarentena mínima (planificada).
Evidencia de Conformidad (C5): Una suite de pruebas mecanizadas y una matriz de bypass de adaptadores que evalúa la correspondencia de la implementación con la especificación determinista.

Resultados y Hallazgos

Garantías Formales: Bajo mediación completa, el sistema garantiza formalmente que las capacidades se atenúan, los alcances de datos se preservan, los presupuestos se respetan y la revocación es transitiva.
Perspectivas de Ingeniería: El proceso de formalización expuso dos defectos críticos de escalada a nivel de implementación:
1. Omisión de Límites Numéricos: Un contrato hijo podía omitir un límite numérico de un padre, pasando la atenuación y apareciendo como ilimitado ante la pasarela.
2. Omisión de Ejes de Presupuesto: Un hijo podía omitir un eje de presupuesto, volviéndose ilimitado en ese eje.
- Resolución: Estos defectos llevaron a un principio de diseño general: las restricciones con clave opcionales deben tener por defecto la interpretación más restrictiva. La omisión nunca debe significar "ilimitado".
Conformidad de Implementación: El prototipo congelado pasó 75 pruebas mecanizadas, incluyendo casos de regresión para los defectos de escalada identificados. Las pruebas de bypass de adaptadores confirmaron que las acciones gobernadas no podían ejecutarse fuera de la ruta vinculada al contrato mediante seis vectores de evasión específicos (ej. referencias directas a herramientas, subgrafos anidados).
Estado del Piloto Empírico: El artículo reporta un piloto exploratorio de juez automatizado sobre la retención de restricciones a través de profundidades de delegación. Sin embargo, el autor establece explícitamente que no se realizan afirmaciones empíricas confirmatorias en esta versión porque la ronda de calificación del juez automatizado no alcanzó la puerta de acuerdo preregistrada (80% de acuerdo, $\kappa \ge 0.70$ ) y la validación independiente está incompleta.

Significancia y Reivindicaciones
El artículo posiciona a DARC como un puente entre los sistemas multi-agente normativos, la seguridad de capacidades y la ejecución en tiempo de ejecución. Su principal significancia radica en:

Reencuadre de la Delegación: Pasar de tratar la delegación como texto a tratarla como una acción institucional con restricciones exigibles.
Recuperación de Primera Clase: Tratar la recuperación de estado (cuarentena y reversión basada en linaje) como una parte integral de la salvaguarda, no como una ocurrencia tardía.
Límites Disciplinados: Separar claramente lo que puede probarse formalmente (restricciones deterministas) de lo que debe medirse empíricamente (cláusulas semánticas), evitando la sobre-reivindicación común en la investigación de seguridad de LLM.

El autor enfatiza que la contribución no es una nueva teoría de la delegación o el blindaje de forma aislada, sino su composición en una arquitectura de ejecución y recuperación para sistemas abiertos donde los agentes, las herramientas y las topologías cambian en tiempo de ejecución. El trabajo sigue siendo un prototipo y una demostración de mecanismos, requiriendo trabajo futuro para la compensación de tareas/herramientas, la reasignación de tareas y la validación empírica completa de las cláusulas semánticas.