Agent Guard: Kernel-Enforced Damage Boundaries for AI Agents via Human-Authorized Contracts

En el panorama digital moderno, la inteligencia artificial ha evolucionado de un simple generador de texto a un trabajador proactivo capaz de planificar tareas complejas, ejecutar programas e interactuar con los archivos y las redes de una computadora. Esta nueva autonomía, sin embargo, conlleva un tipo específico de riesgo: si la IA comete un error, es engañada por un prompt malicioso o simplemente alucina una instrucción peligrosa, puede ejecutar comandos que dañen el mismísimo sistema al que se supone debe ayudar. Las medidas de seguridad tradicionales suelen actuar como un portero en la puerta de un club, verificando el nombre de una herramienta antes de dejarla entrar, pero tienen dificultades para rastrear qué sucede una vez que esa herramienta abre una terminal, genera un proceso hijo o escribe un archivo que luego es leído por otro programa. Una vez que la IA logra pasar el control inicial, sus acciones pueden repercutir en todo el sistema operativo, dejando a los equipos de seguridad incapaces de distinguir qué parte de la ejecución estaba autorizada y qué parte causó el daño.

Para resolver esto, investigadores han desarrollado un sistema llamado Agent Guard, que actúa como un monitor continuo e incansable dentro del núcleo, o kernel, de la computadora. En lugar de confiar en que la IA siga las reglas o de depender de que la IA sugiera qué debería permitirse, este sistema requiere que un humano confirme los límites antes de que la IA pueda ejecutarse. El humano autoriza un conjunto específico de reglas para las acciones de la IA, y el sistema operativo de la computadora impone estas reglas con absoluta certeza. Si la IA intenta hacer algo fuera de su alcance autorizado, el sistema la detiene instantáneamente, mucho antes de que pueda ocurrir cualquier daño. Este enfoque desplaza el enfoque de intentar predecir cada posible error que la IA pueda cometer hacia la creación de una cerca rígida e inquebrantable alrededor de los activos específicos que el humano ha decidido que son seguros de tocar.

Los investigadores construyeron este sistema creando una puerta especial que se sitúa entre la autorización del humano y la ejecución de la IA. Antes de que la IA pueda ejecutar cualquier código, un humano debe revisar un plan propuesto y confirmar exactamente a qué archivos y conexiones de red tiene permitido acceder la IA. Esta confirmación no es solo una sugerencia; es un contrato formal que el sistema operativo de la computadora bloquea en su lugar. El sistema luego vincula este contrato a la tarea específica que la IA está a punto de realizar. Si la IA intenta ejecutar un comando que viole este contrato, el sistema operativo deniega la solicitud de inmediato. Crucialmente, el sistema no solo verifica el comando inicial; vigila toda la cadena de eventos. Si la IA escribe un archivo, y ese archivo es leído más tarde por otro programa, la restricción viaja con el archivo. Si la IA abre una conexión de red, el sistema asegura que ningún dato pueda salir de la computadora si el contrato lo prohíbe, incluso si la conexión se estableció antes de que se aplicara la restricción.

Para lograr este nivel de control, los investigadores utilizaron una tecnología que permite al sistema conectarse directamente a los ganchos internos del sistema operativo. Crearon un plano de datos que etiqueta cada proceso, archivo y canal de comunicación con un estado específico. Cuando un proceso lee un archivo restringido, hereda la restricción. Cuando escribe en una tubería o un socket, la restricción pasa al otro extremo. Esta propagación es monotónica, lo que significa que una vez que se aplica una restricción, no puede ser eliminada por la IA simplemente reiniciando un programa o renombrando un archivo. El sistema asegura que el estatus de "prohibido" se propague a través de la red de procesos como una mancha que no se puede lavar, evitando que la IA lave sus acciones a través de pasos intermedios para eludir las reglas.

El equipo probó este sistema rigurosamente para ver si realmente podía detener el daño que fue diseñado para prevenir. Ejecutaron cientos de pruebas de seguridad formal que cubrían diecinueve escenarios diferentes, incluyendo casos donde la IA intentaba acceder a archivos que no debía, enviar datos por la red después de ser restringida o pasar restricciones a otros programas. En cada uno de los 570 registros de prueba, el sistema funcionó exactamente como se pretendía. Denegó con éxito las acciones no autorizadas, propagó las restricciones correctamente a través de diferentes tipos de archivos y canales de comunicación, y aseguró que no ocurrieran efectos secundarios fuera de los límites acordados. El sistema demostró que podía mantener un límite de daño estricto y autorizado por humanos sin necesidad de confiar en el propio juicio de la IA o en sus sugerencias de políticas.

Más allá de solo demostrar que funcionaba, los investigadores midieron cuánto ralentizaba este sistema a la computadora. Compararon su sistema contra un método anterior llamado ActPlane, que es una herramienta de seguridad similar. En pruebas que involucraban la lectura y escritura de archivos, el nuevo sistema añadió un retraso de aproximadamente el 12 por ciento en comparación con una computadora sin medidas de seguridad. En contraste, el sistema anterior ralentizó la computadora entre un 33 y un 61 por ciento, dependiendo de la tarea. Esta diferencia significativa sugiere que el nuevo enfoque no solo es más seguro, sino también mucho más eficiente, lo que lo hace práctico para el uso en el mundo real donde la velocidad importa. Los investigadores encontraron que el costo de verificar las reglas y rastrear el flujo de datos era mínimo, especialmente en comparación con la pesada sobrecarga de las herramientas de la generación anterior.

El estudio también destacó lo que el sistema no hace, lo cual es tan importante como lo que sí hace. El sistema no pretende solucionar todos los problemas posibles con la seguridad de la IA, ni garantiza que la decisión inicial del humano haya sido la perfecta. Simplemente asegura que, sea cual sea la regla que el humano decida, la computadora la siga sin falta. No protege contra activos que nunca fueron declarados, ni detiene a una IA de causar daño si el humano autoriza explícitamente una acción peligrosa. El sistema es una herramienta de ejecución, no un sustituto del juicio humano. Toma la idea compleja y a menudo vaga de la "IA segura" y la convierte en una realidad técnica y concreta donde los límites son definidos por una persona y ejecutados por la máquina.

Al final, el trabajo demuestra que es posible crear una red de seguridad para la inteligencia artificial que sea tanto estricta como eficiente. Al separar el rol de la IA, que sugiere acciones, del rol del humano, que las autoriza, y luego usar el sistema operativo para hacer cumplir esas autorizaciones, los investigadores han creado un modelo donde el daño es limitado y predecible. El sistema no depende de que la IA se comporte bien; depende de que el sistema operativo evite que la IA se comporte mal. Este cambio de confiar en el agente a hacer cumplir el contrato representa un cambio fundamental en cómo podríamos asegurar el futuro de la computación autónoma, asegurando que, incluso si la IA comete un error, las consecuencias queden contenidas dentro de los muros que el humano construyó.