KAIJU: An Executive Kernel for Intent-Gated Execution of LLM Agents

Le papier présente KAIJU, un noyau exécutif qui découple la planification des LLM de l'exécution des agents via une nouvelle abstraction d'exécution contrôlée par l'intention (IGX), permettant ainsi une gestion parallèle des outils, une sécurité renforcée et une meilleure scalabilité par rapport aux approches ReAct traditionnelles.

L'essentiel

🦖 KAIJU : Le Chef d'Orchestre qui Protège vos Robots Intellectuels

Imaginez que vous avez un génie très bavard (c'est l'Intelligence Artificielle, ou LLM) qui peut utiliser des outils pour vous aider : chercher sur Google, vérifier des fichiers sur un ordinateur, ou envoyer des emails.

Le problème avec les systèmes actuels (comme ceux qu'on appelle "ReAct"), c'est que ce génie est un peu chaotique. Il pense, agit, regarde le résultat, puis recommence. À chaque fois, il doit se souvenir de tout ce qu'il a fait depuis le début.

• Le problème 1 (La mémoire qui gonfle) : Plus la tâche est longue, plus il doit se souvenir de tout. C'est comme essayer de lire un livre où chaque page contient le résumé de toutes les pages précédentes. À la fin, le livre est si gros qu'il ne rentre plus dans votre cerveau, et le génie commence à halluciner ou à abandonner.
• Le problème 2 (La sécurité fragile) : Si vous lui dites "Ne touche pas aux poubelles", il peut oublier, ou pire, un pirate peut lui chuchoter à l'oreille de les vider. Il n'y a pas de garde du corps réel, juste des règles écrites sur un post-it.
• Le problème 3 (L'abandon facile) : Si un outil ne répond pas, le génie peut décider : "Bon, de toute façon, je connais la réponse par cœur, je vais inventer quelque chose". Ce n'est pas fiable.

KAIJU arrive pour changer la donne. C'est un noyau exécutif (un chef d'orchestre très strict) qui sépare le "penseur" du "faiseur".

---

🏗️ Comment ça marche ? L'Analogie du Chantier de Construction

Pour comprendre KAIJU, imaginez un grand chantier de construction.

1. Séparation des rôles : L'Architecte vs. Les Ouvriers

Dans les vieux systèmes, c'est le même ouvrier qui dessine le plan, pose les briques, vérifie si c'est droit, et nettoie les débris, tout en parlant à voix haute à chaque étape. C'est lent et fatiguant.

Avec KAIJU, on a deux équipes distinctes :

• L'Architecte (Le LLM) : Il ne fait que dessiner le plan au début. Il dit : "Il faut poser le toit, puis les murs, puis la peinture". Une fois le plan fait, il s'assoit et attend. Il ne voit pas ce qui se passe sur le chantier.
• Le Chef de Chantier (Le Noyau KAIJU) : C'est lui qui gère les ouvriers. Il reçoit le plan, organise qui fait quoi, vérifie la sécurité, et gère les imprévus.

2. La Sécurité : Le Portique de Sécurité "IGX"

C'est la partie la plus cool. Avant qu'un ouvrier ne touche à un outil dangereux (comme une tronçonneuse ou un explosif), il doit passer un portique de sécurité automatique.

Ce portique vérifie 4 choses, indépendamment de ce que dit l'Architecte :

1. Qui es-tu ? (Intention : Est-ce que c'est une tâche de routine ou une opération dangereuse ?)
2. Quel outil veux-tu ? (Portée : As-tu le droit d'utiliser cet outil ?)
3. Quel est l'impact ? (Impact : Est-ce que cet outil va juste lire un fichier ou le détruire ?)
4. As-tu le feu vert ? (Autorisation externe : Un humain ou un système externe a-t-il validé cette action précise ?)

L'astuce géniale : Si l'Architecte demande quelque chose d'interdit, le portique bloque l'action. Mais l'Architecte ne le sait pas. Il ne voit pas le message "Accès refusé". Il voit juste "L'outil n'a pas fonctionné". Cela empêche les pirates de tester les limites de la sécurité en faisant des essais et des erreurs. C'est une sécurité structurelle, pas juste une promesse.

3. La Vague d'Action (Exécution Parallèle)

Au lieu de faire les choses une par une (comme un robot qui attend que la colle sèche avant de poser la brique suivante), KAIJU lance tout ce qui peut être fait en même temps.

• Il envoie 5 ouvriers poser des briques simultanément.
• Dès qu'un groupe finit, un Inspecteur (une petite réflexion) vérifie le travail.
• Si tout va bien, on passe à la suite. Si un groupe a raté une brique, un Micro-Planificateur envoie un autre ouvrier réparer le problème sans attendre que le patron revienne.

---

🚀 Pourquoi c'est mieux ? (Les Résultats)

Les chercheurs ont testé KAIJU contre les systèmes classiques sur des tâches complexes (comme calculer la position des planètes en temps réel).

1. Plus rapide sur les tâches difficiles : Sur les petites tâches, KAIJU est un tout petit peu plus lent (car il faut d'abord dessiner le plan). Mais sur les tâches complexes, il est beaucoup plus rapide (jusqu'à 2 fois plus vite) car il ne perd pas de temps à relire tout son historique à chaque étape.
2. Moins d'erreurs : Les systèmes classiques finissent souvent par abandonner ou inventer des réponses quand ils sont fatigués (trop de contexte). KAIJU, lui, continue jusqu'au bout car le "Chef de Chantier" force la persévérance.
3. Sécurité inébranlable : Même si un hacker essaie de tromper l'IA, il ne peut pas contourner le portique de sécurité car celui-ci ne dépend pas de l'IA, mais de règles codées en dur.

🎯 En résumé

KAIJU, c'est comme passer d'un cowboy solitaire (qui parle tout le temps, oublie ses règles et abandonne vite) à une armée de marionnettes bien organisée.

• Il y a un stratège qui planifie.
• Il y a un général qui exécute et gère les troupes en parallèle.
• Il y a un gendarme (le portique) qui vérifie les papiers à chaque porte, sans que le général n'ait besoin de savoir pourquoi un soldat a été bloqué.

C'est une façon de rendre les robots intelligents plus rapides, plus sûrs et plus fiables pour les tâches réelles et complexes.

Résumé technique

1. Problématique

Les agents autonomes basés sur les grands modèles de langage (LLM) utilisant l'architecture ReAct (Reasoning + Acting) font face à trois limitations majeures qui deviennent critiques à mesure que la complexité des tâches augmente :

1. Latence sérielle et croissance quadratique du contexte : Dans le modèle ReAct, chaque tour de réflexion doit transmettre l'historique complet de la conversation. Pour une tâche de $n$ tours avec des résultats d'outils de taille moyenne $k$, la complexité en tokens est de $O(n^2k)$. Cela épuise rapidement les fenêtres de contexte et dégrade la qualité de l'attention du modèle.
2. Autorité unilatérale et fiabilité : Le modèle LLM conserve le contrôle total sur l'utilisation des outils à chaque tour. Si un outil échoue, le modèle peut décider rationnellement (mais non fiablement) d'abandonner la tâche, de recourir à ses connaissances paramétriques (souvent obsolètes) ou de demander de l'aide, ce qui compromet la fiabilité globale de la requête.
3. Vulnérabilité à l'injection de prompts et aux hallucinations : La sécurité est souvent assurée par des instructions dans le prompt (ex: "ne pas appeler d'outils destructeurs"). Ces instructions peuvent être ignorées par le modèle via des hallucinations, des injections de prompts ou des débordements de contexte, car il n'existe pas de mécanisme de sécurité structurel.

Les systèmes existants (LLM Compiler, LangGraph, CrewAI) tentent de résoudre partiellement ces problèmes mais maintiennent généralement le LLM couplé aux mécanismes d'exécution ou manquent de contrôles de sécurité structurels robustes.

2. Méthodologie : L'Architecture KAIJU

KAIJU introduit une abstraction système qui dissocie complètement la couche de raisonnement (LLM) de la couche d'exécution. Le système est structuré en deux niveaux :

A. Le Noyau Exécutif (Executive Kernel)

C'est une couche d'exécution sans état (stateless) qui gère le plan, la sécurité et l'exécution des outils sans que le LLM n'ait connaissance des mécanismes internes.

• Graphes de dépendance : Le LLM (planificateur) génère un graphe acyclique dirigé (DAG) de tâches. Les nœuds sont exécutés en vagues parallèles dès que leurs dépendances sont résolues.
• Injection de paramètres structurelle : Les données circulent entre les étapes via des références structurelles (param refs) résolues au moment de l'exécution, éliminant le besoin de boucles de raisonnement séquentielles pour passer les données.
• Modes d'exécution adaptatifs :
  • Reflect : Points de contrôle entre les vagues de dépendances pour réévaluer et replanifier.
  • nReflect : Points de contrôle périodiques (tous les $N$ nœuds) pour un équilibre débit/contrôle.
  • Orchestrator : Observateurs légers par nœud pour une réactivité immédiate et une granularité fine.

B. Le Paradigme IGX (Intent-Gated Execution)

C'est le cœur de la sécurité de KAIJU. Avant chaque exécution d'outil, un portail d'exécution (Execution Gate) vérifie quatre variables indépendantes, gérées par des autorités externes au modèle :

1. Scope (Portée) : Liste blanche des outils autorisés.
2. Intent (Intention) : Niveau d'autorisation de la tâche (ex: observation vs opération), défini par la source du déclenchement, pas par le LLM.
3. Impact : Niveau de dangerosité déclaré de l'outil (ex: lecture, écriture, suppression).
4. Clearance (Autorisation) : Vérification externe via un endpoint HTTP pour les autorisations spécifiques au domaine (ex: géofencing, politiques AD).

Principe clé de sécurité : Le LLM ne voit jamais les décisions du portail. Si un outil est bloqué, le nœud échoue avec une erreur générique. Le modèle ne peut pas "sonder" les limites de la politique de sécurité car il n'a pas de retour d'information sur pourquoi une action a été refusée.

3. Contributions Clés

1. Séparation stricte et contexte borné : Réduction de la complexité en tokens de $O(n^2k)$ (ReAct) à $O(nk)$ ou $O(nkd)$ selon le mode, car chaque appel LLM ne voit qu'un contexte limité (résultats de la vague courante) et non l'historique complet.
2. Exécution parallèle et planifiable : L'exécution est pilotée par la résolution des dépendances du graphe, pas par les décisions séquentielles du LLM, réduisant la latence à $O(d)$ (profondeur de dépendance).
3. Sécurité structurellement imposée : Le portail IGX impose des garanties comportementales (sécurité, conformité) que le simple prompting ne peut garantir. La séparation empêche les attaques adaptatives contre les politiques de sécurité.
4. Injection de dépendances structurelle : Permet un flux de données dynamique entre les étapes sans boucle de raisonnement séquentielle.
5. Clé de délégation : L'autorisation des ressources est déléguée à des endpoints externes, rendant le framework agnostique au domaine tout en permettant des politiques complexes.

4. Résultats Expérimentaux

Les évaluations comparatives entre KAIJU (modes DAG) et ReAct (avec appels de fonctions parallèles) sur 40 requêtes de complexité variable montrent :

• Latence :
  • Sur des requêtes simples, ReAct est légèrement plus rapide (absence de surcharge de planification).
  • Sur des requêtes complexes et computationnelles, KAIJU (notamment le mode nReflect) surpasse nettement ReAct.
    • Exemple (Requêtes complexes) : 9,5s (KAIJU) vs 28,9s (ReAct).
    • Exemple (Requêtes computationnelles) : 25,2s (KAIJU) vs 43,7s (ReAct).
• Fiabilité et Complétion :
  • KAIJU complète 100% des requêtes, y compris celles nécessitant des données en temps réel et des calculs multi-étapes.
  • ReAct échoue sur 20% des requêtes computationnelles (épuisement du contexte ou abandon prématuré).
• Qualité de sortie :
  • Sur le benchmark GAIA (questions textuelles), KAIJU obtient une meilleure précision globale (15,7% vs 12,6%) et une supériorité marquée sur les questions de niveau 3 (raisonnement multi-sauts : 21,1% vs 0% pour ReAct).
  • KAIJU produit des résultats plus détaillés et structurés, évitant le recours aux connaissances paramétriques lorsque les outils échouent (le système force la réessai ou la replanification).
• Sécurité : Le portail IGX bloque les appels d'outils non autorisés sans que le modèle ne puisse contourner la règle par des tentatives itératives.

5. Signification et Impact

KAIJU représente un changement de paradigme dans la conception des agents LLM :

• De la conversation à l'orchestration : Il passe d'un modèle de dialogue séquentiel à un modèle d'orchestration de workflows graphiques, permettant une exécution parallèle et une gestion robuste des erreurs.
• Sécurité par conception (Security by Design) : Au lieu de compter sur la "volonté" du modèle de respecter les règles (via le prompting), KAIJU impose des contraintes structurelles et déterministes via le noyau exécutif. Cela résout le problème de l'attaque adaptative où le modèle apprend à contourner les filtres.
• Évolutivité : La réduction de la complexité en tokens et la capacité à exécuter des tâches complexes sans épuisement du contexte rendent les agents LLM viables pour des applications d'entreprise critiques, de cybersécurité et de recherche scientifique.

En conclusion, KAIJU démontre que la séparation stricte entre la planification (LLM) et l'exécution (Noyau) permet d'obtenir des agents plus rapides, plus sûrs et plus fiables, en particulier pour les tâches complexes nécessitant une investigation approfondie et une exécution parallèle.