Résumé technique : Qui possède cet agent ? Traçage des agents IA vers leurs propriétaires

1. Définition du problème : Attribution des agents

L'article identifie et formalise l'attribution des agents comme une faille de sécurité critique et émergente. Alors que les agents IA sont de plus en plus déployés pour agir de manière autonome — envoyant des messages, naviguant sur le web, appelant des API et exécutant des scripts — il n'existe actuellement aucun mécanisme technique fiable permettant de retracer une interaction d'agent nuisible jusqu'au compte d'opérateur spécifique qui l'a déployé.

Cette lacune en matière de responsabilité existe sur tout le spectre des comportements des agents :

• Préjudice involontaire : Des opérateurs bienveillants peuvent déployer des agents mal configurés (par exemple, des conditions d'arrêt défectueuses, des objectifs trop larges) provoquant du spam, une surcharge de service ou des actions non intentionnelles.
• Préjudice intentionnel : Des opérateurs malveillants peuvent armer des agents pour la fraude, le harcèlement, l'intrusion cybernétique ou la désinformation.

Dans les deux cas, les parties affectées (victimes) observent le comportement nuisible, et les fournisseurs (prestataires de modèles de langage) détiennent les journaux de session, mais aucune partie ne peut relier le comportement externe observé au compte de fournisseur responsable. Les mécanismes de recours existants échouent car :

• L'identification par adresse IP est inefficace car les agents font tourner les adresses et utilisent des proxies.
• L'enquête au niveau de la plateforme n'identifie que des comptes de surface jetables (par exemple, des personnalités fictives), et non le compte de fournisseur sous-jacent.
• L'empreinte comportementale détecte la présence d'un agent mais ne peut pas identifier lequel parmi des millions de comptes de fournisseurs est responsable.
• La procédure légale nécessite un préalable (identifier la session et le compte spécifiques) avant de pouvoir contraindre à la divulgation, ce qui est actuellement impossible sans un pont technique.

Les auteurs posent l'hypothèse que ce problème est particulièrement traitable dans le contexte des modèles de langage (LLM) hébergés par des fournisseurs. Même des adversaires sophistiqués s'appuient souvent sur des modèles hébergés par des fournisseurs (par exemple, OpenAI, Anthropic, ou des modèles open-source hébergés) pour leurs capacités de raisonnement. Bien que l'opérateur contrôle l'exécution et les wrappers, les appels au modèle passent par le fournisseur et sont enregistrés contre un compte.

2. Méthodologie : Le protocole basé sur des canaris

Les auteurs proposent un protocole d'attribution basé sur des canaris qui comble le fossé entre l'observation de la victime et les journaux du fournisseur. Le protocole implique cinq parties prenantes : l'Agent, l'Opérateur, le Fournisseur, la Victime et une Autorité (par exemple, les forces de l'ordre ou une entité commerciale).

Mécanisme central

1. Injection : Une Autorité ($\mathcal{D}$) autorisée injecte un canari dans le flux de contenu que l'Agent ($\mathcal{A}$) est susceptible de consommer.
   • Interaction directe : L'Autorité interagit directement avec l'agent (par exemple, via un chat) et injecte le canari.
   • Interaction passive : L'Autorité place des canaris dans des emplacements que l'agent est censé visiter (par exemple, des pages web spécifiques, des fichiers) et les instrumente avec des crochets.
2. Propagation : L'agent traite le contenu. Si l'agent transfère ce contenu vers son LLM hébergé par le fournisseur, le canari apparaît dans les journaux de session du fournisseur.
3. Recherche : L'Autorité initie une demande d'attribution auprès du Fournisseur ($\mathcal{V}$), en spécifiant le moment de l'injection ($\tau$) et les valeurs du canari.
4. Récupération : Le Fournisseur recherche dans une fenêtre temporelle étroite des journaux de session actifs la présence des canaris. S'ils sont trouvés, le fournisseur lie la session au compte d'Opérateur responsable ($\mathcal{O}$).

Constructions de canaris

L'article distingue deux contextes, nécessitant différents types de canaris :

• Contexte non-adversarial : L'opérateur ne tente pas d'éviter l'attribution.

  • Canaris lexicaux : Séquences de tokens simples et de correspondance exacte (par exemple, chaînes aléatoires, UUID, ou identifiants pertinents pour la tâche comme des codes de projet). Ceux-ci suffisent car l'agent transmet le contenu entrant au modèle à l'identique.

• Contexte adversarial : L'opérateur déploie un wrapper ($\mathcal{W}$) pour filtrer, paraphraser ou réécrire le contenu entrant afin de supprimer les marqueurs.

  • Canaris porteurs d'utilité : Pour contrer l'évasion, les auteurs introduisent des canaris indiscernables du contenu légitime de la tâche. Les supprimer dégraderait la capacité de l'agent à accomplir sa tâche.
  • Canaris lexicaux porteurs d'utilité : Identifiants critiques pour la tâche (par exemple, noms de fichiers dans une liste de répertoire, IDs spécifiques dans une requête de base de données) que l'agent doit préserver pour réussir.
  • Canaris sémantiques : Signatures définies par le sens plutôt que par la forme de surface (par exemple, styles de parole, schémas structurels, signaux d'urgence ou habitudes rhétoriques spécifiques). Ceux-ci résistent mieux au paraphrase que les chaînes exactes.
  • Stratégie multi-canaris : L'Autorité échantillonne un sous-ensemble ($K$) d'un grand univers de canaris ($N$) et les injecte. La détection nécessite un seuil ($m$) de correspondances. Cela crée une asymétrie favorable au défenseur : l'adversaire doit filtrer agressivement le contenu pour supprimer les canaris, ce qui dégrade inévitablement l'utilité de l'agent (par exemple, en provoquant l'échec d'une cyberattaque ou d'une arnaque), tandis que le défenseur peut conduire la probabilité d'attribution arbitrairement proche de 1.

3. Contributions clés

1. Formalisation du problème : Il s'agit du premier travail à identifier et définir l'« attribution des agents » comme un problème de sécurité distinct et à caractériser la taxonomie complète des scénarios (involontaire vs intentionnel, diverses cibles d'attaque).
2. Protocole pratique : Un protocole d'attribution médiatisé par le fournisseur qui fonctionne sans pré-enregistrement universel ni exposition continue de l'identité. Il repose sur la dépendance structurelle des agents vis-à-vis des modèles hébergés par les fournisseurs.
3. Constructions de canaris robustes :
   • Développement de canaris porteurs d'utilité (à la fois lexicaux et sémantiques) qui créent un compromis pour les adversaires : éviter l'attribution nécessite de dégrader les performances de l'agent.
   • Formalisation de l'asymétrie où le défenseur peut contrôler la probabilité d'attribution tandis que l'adversaire paie un coût d'utilité pour l'évasion.
4. Évaluation empirique : Tests complets dans trois domaines :
   • Agents de communication : Interactions en chat et sur les forums.
   • Agents web : Ingestion et scraping de documents HTML.
   • Agents cybernétiques : Agents autonomes utilisant des outils dans des environnements Capture-The-Flag (CTF).

4. Résultats expérimentaux

L'évaluation démontre que le protocole est fiable, robuste et évolutif.

• Performance non-adversarial :

  • Les canaris lexicaux atteignent une détection quasi parfaite (TPR $\approx$ 1,0) avec un taux de faux positifs (FPR) quasi nul lorsque le contenu est transmis sans modification.
  • Les canaris sémantiques atteignent également des taux de détection élevés (AUC $\approx$ 0,98–0,99) dans les contextes de chat et de forums.

• Robustesse adversarial :

  • Attaques par paraphrase : Lorsqu'un wrapper paraphrase le contenu, les canaris lexicaux exacts échouent (le TPR chute à $\approx$ 0,20). Cependant, les canaris sémantiques restent robustes. Dans les contextes de chat, le TPR reste supérieur à 0,97 même sous paraphrase lors de l'utilisation d'un seuil multi-canaris ($m$ sur $k$).
  • Agents web : Les canaris lexicaux visibles (intégrés dans le texte rendu) survivent au prétraitement et au paraphrase à des taux $>60\%$. Les canaris structurels (cachés dans le DOM) sont plus fragiles. Les canaris de mise en page sémantiques fournissent un canal secondaire robuste.
  • Agents cybernétiques (CTF) : Il s'agit du test le plus rigoureux. Un adversaire conscient des canaris tentant de supprimer les canaris des sorties d'outils a provoqué l'effondrement du taux de résolution de l'agent, passant de 51 % à 9 %. Cela confirme le compromis utilité-évasion : supprimer les preuves d'attribution détruit la mission de l'agent.
  • Précision de l'attribution : Dans les contextes cybernétiques, l'attribution au niveau de la session a atteint un TPR $\ge$ 98 % avec un FPR proche de zéro, même dans des conditions adverses.

• Évolutivité :

  • La recherche côté fournisseur s'avère opérationnellement pratique. En ne recherchant que dans une fenêtre temporelle bornée de sessions concurrentes et en utilisant une correspondance au niveau des tokens (tirant parti des journaux déjà tokenisés), les coûts de recherche évoluent linéairement avec le nombre de sessions actives, et non avec la taille totale des journaux. La recherche au niveau des tokens s'est révélée environ 2 fois plus rapide que la correspondance au niveau des caractères.

5. Signification et revendications

L'article revendique être le premier travail à définir l'attribution des agents et à présenter une solution pratique. Sa signification réside dans :

• Le rétablissement du recours : Il fournit un pont technique permettant aux victimes, aux plateformes et aux autorités d'identifier les opérateurs responsables, permettant une intervention dans les cas bénins et une responsabilité légale dans les cas malveillants.
• Faisabilité pour les fournisseurs : Le protocole exploite l'infrastructure existante des fournisseurs (journaux, service d'API) et ne nécessite pas de modifications au code d'exécution de l'agent ou à l'infrastructure de l'opérateur.
• Asymétrie dans la défense : En liant les canaris à l'utilité de la tâche, le protocole force les adversaires dans un dilemme où l'évasion de l'attribution compromet leurs propres objectifs.

Les auteurs restent modestes concernant les limites, notant que l'évaluation utilise des familles de modèles et des configurations de wrappers spécifiques, et que l'injection indirecte (prédire les trajectoires des agents) nécessite davantage de tests dans le monde réel. Cependant, ils affirment que la méthode proposée offre une voie déployable vers la responsabilité pour des agents IA de plus en plus autonomes.