💻 computer science

From Neural Intent to Cryptographic Authorization: Governing Agentic Workflows

Cet article présente les Neural Cryptographic Services (NCS), une architecture de sécurité qui sécurise les agents IA autonomes en découplant la planification neuronale de l'exécution et en imposant une autorisation cryptographique stricte des appels d'outils via un contrôleur symbolique déterministe, empêchant ainsi les attaques par injection de requêtes tout en maintenant l'utilité du flux de travail.

Auteurs originaux : Jiasi Weng, Jian Weng, Minrong Chen, Ming Li, Jia-Nan Liu, Zhi Li, Yue Zhang

Publié 2026-07-20

📖 5 min de lecture🧠 Analyse approfondie

CC BY 4.0

Auteurs originaux : Jiasi Weng, Jian Weng, Minrong Chen, Ming Li, Jia-Nan Liu, Zhi Li, Yue Zhang

Article original sous licence CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Ceci est une explication générée par l'IA de l'article ci-dessous. Elle n'a pas été rédigée ni approuvée par les auteurs. Pour une précision technique, consultez l'article original. Lire la clause de non-responsabilité complète

Imaginez un monde où votre ordinateur ne se contente pas de suivre une liste stricte de commandes écrites par un humain, mais agit plutôt comme un assistant brillant et bavard capable de comprendre par lui-même comment accomplir les tâches. C'est l'ère des « agents IA ». Considérez-les comme des stagiaires numériques capables de lire des e-mails, de consulter des comptes bancaires et d'envoyer des documents, tout en comprenant vos demandes en langage naturel. Mais voici le piège : ces stagiaires sont incroyablement intelligents mais aussi incroyablement influençables. Si vous leur murmurez une instruction secrète, ou si un étranger sournois cache une note à l'intérieur d'un document qu'ils sont en train de lire, l'employé pourrait soudainement décider d'ignorer votre requête initiale pour faire quelque chose de dangereux, comme envoyer tout votre argent à un inconnu. C'est un problème car, par le passé, les ordinateurs étaient comme des robots rigides qui faisaient exactement ce pour quoi ils étaient programmés. Aujourd'hui, ils sont comme des artistes créatifs que l'on peut tromper pour qu'ils peignent par-dessus leur propre œuvre.

Pour comprendre le danger, nous devons examiner deux façons différentes dont les ordinateurs « réfléchissent ». La première est Neurale, ce qui est la manière dont l'IA fonctionne : c'est comme un vaste réseau de connexions floues qui devine la meilleure réponse en se basant sur des motifs. C'est excellent pour comprendre le langage, mais cela peut être un peu instable et sujet aux hallucinations. La seconde est Symbolique, ce qui est la manière dont la sécurité traditionnelle fonctionne : c'est comme un livre de règles strict et inviolable ou une équation mathématique où $2+2$ est toujours égal à $4$, et où il n'y a aucune place pour le « peut-être ». La grande question que les scientifiques se posent est la suivante : comment permettre à nos agents d'IA d'être créatifs et utiles sans les laisser se faire piéger pour enfreindre les règles ? Nous avons besoin d'un moyen de laisser l'IA imaginer le plan, tout en ayant un gardien strict et immuable qui vérifie chaque étape avant qu'elle ne se produise réellement.

C'est précisément ce que les chercheurs derrière l'article « From Neural Intent to Cryptographic Authorization » résolvent. Ils ont construit un nouveau système de sécurité appelé Neural Cryptographic Services (NCS). Imaginez que vous envoyiez un colis très important à une banque. Autrefois, vous feriez simplement confiance au livreur (l'IA) pour suivre les instructions sur la boîte. Mais que se passerait-il si quelqu'un griffonnait « Donnez le colis au voleur » sur le côté de la boîte pendant que le livreur ne regardait pas ? Le livreur pourrait lire cela et obéir. Le NCS change la donne en plaissant un verrou mathématique ultra-strict sur les instructions.

Voici comment cela fonctionne dans le monde réel de l'article : l'agent d'IA (le « Planificateur Neural ») est autorisé à lire votre requête et à rédiger un brouillon de ce qu'il pense devoir faire. C'est comme un étudiant qui rédige un devoir de classe. Mais cet étudiant n'a aucun pouvoir pour rendre son travail ou dépenser de l'argent. Ce pouvoir appartient à un autre personnage : le Contrôleur Symbolique. Ce contrôleur est comme un robot garde qui ne se soucie pas des idées créatives de l'étudiant ; il ne s'intéresse qu'à une liste de contrôle spéciale, pré-approuvée et cryptographiquement signée.

Le processus ressemble à un coffre-fort de haute sécurité. Avant que l'agent d'IA ne puisse faire quoi que ce soit, l'humain responsable signe une « feuille de travail » (une liste d'étapes) avec une clé numérique spéciale. Cette feuille de travail est ensuite transformée en une chaîne de blocs, où chaque bloc est mathématiquement collé au suivant. Lorsque l'agent d'IA veut exécuter une étape, le Contrôleur Symbolique vérifie la chaîne. Il vérifie que l'étape correspond exactement à la liste de contrôle signée. Si l'agent d'IA essaie de dire : « Hé, envoyons $5\,000$ à mon ami au lieu des $50$ prévus », le garde vérifie les mathématiques, voit que les chiffres ne correspondent pas à la chaîne signée, et referme immédiatement la porte. L'agent ne peut pas tromper le garde car le garde n'écoute pas les mots de l'agent ; il n'écoute que la mathématique inviolable de la signature.

L'article montre que ce système est incroyablement efficace. Dans leurs tests, ils ont tenté de piéger les agents d'IA avec toutes sortes de ruses sournoises, comme cacher de mauvaises instructions dans des données d'apparence normale ou essayer de remplacer des chiffres dans un transfert bancaire. Sans ce nouveau système, les agents d'IA se faisaient piéger presque à chaque fois, avec des taux de réussite pour les attaquants atteignant parfois 100 % dans certains cas. Mais lorsqu'ils ont ajouté le NCS, le taux de réussite des attaquants est tombé à presque zéro. Les agents étaient toujours capables de faire leur travail lors des journées normales (en conservant une « utilité » élevée), mais ils sont devenus totalement immunisés contre le piratage.

Les chercheurs ont également découvert que ce système est étonnamment rapide. Les vérifications mathématiques qu'ils exécutent prennent moins d'une milliseconde — si vite que c'est presque invisible comparé au temps que l'IA met pour réfléchir. Cela signifie que nous n'avons pas à sacrifier la vitesse pour la sécurité. L'article soutient que nous ne devrions pas simplement espérer que l'IA « comprenne » qu'elle ne doit pas faire de mauvaises choses ; nous avons besoin d'un système où l'IA peut proposer des idées, mais où un verrou cryptographique garantit que seules les étapes approuvées et signées se produisent réellement. C'est une façon de donner à l'IA la liberté d'être intelligente, tout en gardant une laisse stricte et inviolable sur ce qu'elle peut réellement faire.

Résumé Technique : Neural Cryptographic Services (NCS)

Énoncé du Problème

L'adoption rapide des flux de travail agentiques pilotés par l'IA transforme les systèmes d'entreprise et gouvernementaux, passant de pipelines statiques basés sur des règles à des infrastructures dynamiques et autonomes. Bien que cela améliore l'efficacité opérationnelle, cela brise fondamentalement les hypothèses de sécurité de l'exécution déterministe. Les services cryptographiques traditionnels (par exemple, les HSM, les KMS) agissent comme des moteurs d'exécution passifs qui authentifient qui agit, mais restent agnostiques quant à savoir quels pas spécifiques du flux de travail sont autorisés lors de l'exécution.

Cette lacune crée une vulnérabilité critique : un agent authentifié peut être détourné via une injection de prompt directe ou indirecte. Un adversaire peut injecter des instructions malveillantes dans des données non fiables ou des sorties d'outils, poussant l'agent à exécuter des actions qui satisfont les contrôles d'identité mais violent l'intention de l'utilisateur (par exemple, envoyer des données sensibles à un attaquant). Les mesures de sécurité conventionnelles échouent ici car le contrôle d'identité cryptographique réussit, et les permissions semblent légitimes, alors que l'intention sous-jacente a été subvertie. Le défi central consiste à réconcilier la nature probabiliste du raisonnement des modèles de langage (LLM) avec l'exactitude déterministe requise pour les opérations cryptographiques et le contrôle des privilèges.

Méthodologie : Neural Cryptographic Services (NCS)

Les auteurs proposent les Neural Cryptographic Services (NCS), un plan de gouvernance de sécurité actif au runtime, fondé sur une conception neuro-symbolique. Le NCS s'interpose entre les agents LLM non fiables et les outils privilégiés, en divisant l'autorité entre la génération neurale probabiliste et l'exécution symbolique déterministe.

Architecture Centrale

Le NCS comprend cinq modules :

Neural Planner (Planificateur Neural) : Un composant non fiable qui analyse les instructions en langage naturel et rédige des plans d'exécution structurés. Il détient une autorité d'exécution nulle et ne peut pas déclencher directement des outils privilégiés.
Symbolic Controller (Contrôleur Symbolique) : Le cœur d'autorité déterministe. Il valide les ébauches du planificateur par rapport à des politiques statiques, planifie l'exécution par ordre de dépendance et orchestre le flux de travail.
Crypto Execution Engine (Moteur d'Exécution Cryptographique) : Interprète les opcodes de la Représentation Intermédiaire (IR) agnostique de l'algorithme et les distribue à des backends cryptographiques interchangeables (par exemple, Ed25519, SHA-256).
Verifier (Vérificateur) : Applique une barrière de type fail-closed (échec par défaut). Il garantit que les arguments de l'appel d'outil proposés par un agent correspondent exactement à la charge utile d'instruction actuellement libérée et vérifiée cryptographiquement avant que tout effet secondaire ne se produise.
Runtime State Management (Gestion de l'État au Runtime) : Maintient le contexte de session faisant autorité, incluant les compteurs de programme, les transcriptions de vérification et les journaux d'audit.

Authentification d'Instruction à Deux Phases avec État

Le NCS impose l'authenticité des instructions et l'intégrité de l'exécution via un flux d'instructions chaîné par hachage et doté d'un état :

Phase A (Autorisation de la Feuille de Travail) : L'utilisateur signe uniquement l'en-tête du flux (métadonnées contenant le hachage du premier bloc et la longueur totale du flux). Le Contrôleur Symbolique vérifie cette signature pour établir l'autorisation au niveau de la feuille de travail. Aucun bloc de charge utile n'est encore libéré.
Phase B (Exécution Incrémentielle) : Le système traite le flux d'instructions bloc par bloc.
1. Vérification : Le Moteur d'Exécution Cryptographique vérifie la continuité de la chaîne de hachage ( $H(B'_i) = A_{i-1}$ ) et l'ancre de l'en-tête du flux.
2. Libération : Suite à la vérification réussie, le bloc d'instruction en clair ( $B_i$ ) est libéré comme unique charge utile active.
3. Liaison : Le Planificateur Neural compile une ébauche de plan d'étape basée sur $B_i$ . Le Vérificateur lie strictement les arguments d'outil proposés par l'agent à la charge utile $B_i$ libérée.
4. Distribution : Les actions sont exécutées uniquement si la proposition de l'agent correspond exactement à la charge utile libérée. Tout décalage ou appel hors séquence est immédiatement rejeté.

Cette conception garantit que même si un LLM est détourné pour proposer une action malveillante, l'action ne peut procéder que si elle correspond au flux d'instructions chaîné par hachage et signé cryptographiquement.

Contributions Clés

Séparation Stricte de l'Autorité : Le document formalise une séparation où les composants neuraux interprètent l'intention et rédigent des plans, tandis que les composants symboliques déterministes authentifient, planifient, vérifient et exécutent. Aucun résultat neural ne peut déclencher l'accès à une clé ou la distribution d'un outil privilégié sans passer par les portes symboliques.
Authentification d'Instruction à État : Une approche novatrice où l'utilisateur ne signe que l'en-tête d'une feuille de travail, tandis que des blocs chaînés par hachage lient l'ordre des étapes et les paramètres. La Phase B impose l'égalité exacte entre les appels d'outils de l'agent et le bloc d'instruction libéré.
Prototype Compatible avec l'Arrière : Les auteurs ont implémenté un prototype s'interfaçant avec des backends standards de type PKCS#11.
Évaluation Empirique : Le NCS a été évalué sur AgentDojo, un benchmark personnalisé de détournement d'arguments (InjecAgent-ArgHijack), et sur le jeu de données OpenPromptInjection.

Résultats

L'évaluation démontre que le NCS atténue efficacement les risques de sécurité tout en maintenant l'utilité :

Taux de Succès d'Attaque (ASR) : Le NCS réduit le taux de succès des attaques pour l'exécution d'outils non autorisés à proche de zéro (0,0 % sur la plupart des modèles et outils) face aux injections de prompts directes et indirectes, ainsi qu'aux attaques de détournement d'arguments.
Détournement d'Arguments : Dans le benchmark personnalisé, les modèles de base présentaient une vulnérabilité élevée (par exemple, un ASR de 100 % sur GPT-4o-mini). NCS-Full a réduit l'ASR à 0,0 % sur tous les modèles et outils de contrôle testés (BankManagerPayBill, TransferFunds, etc.).
Préservation de l'Utilité : Le NCS préserve une "Utilité Partielle" ( $U^\partial$ ), permettant aux étapes bénignes de se terminer même en cas d'attaque. Par exemple, sur DeepSeek-Chat, $U^\partial$ a atteint 94,4 % avec NCS-Full.
Surcharge (Overhead) : La surcharge cryptographique est négligeable. La vérification complète du flux (signature + chaîne de hachage) prend environ 1,2 ms (p50), ce qui est de plusieurs ordres de grandeur inférieur à un seul tour d'inférence LLM.
Comparaison avec les Baselines : Contrairement aux défenses statistiques (par exemple, FATH, Spotlighting) qui sacrifient l'utilité pour la sécurité ou restent vulnérables à la coercition de conformité de format, le NCS fournit des garanties déterministes sans sacrifier significativement les taux de réussite des tâches bénignes.

Signification et Revendications

Le papier affirme que le NCS recadre la sécurité des agents : de "l'intention du modèle est-elle conforme ?" vers "la distribution proposée correspond-elle à une étape cryptographiquement autorisée ?".

Gouvernance Active : Le NCS fait évoluer les services cryptographiques de moteurs d'exécution passifs en plans de gouvernance actifs au runtime qui régissent quand et sous quelles conditions les opérations sensibles sont libérées.
Garanties Déterministes : En ancrant l'exécution à des flux chaînés par hachage et signés hors ligne, le NCS fournit une sécurité déterministe et "fail-closed", robuste contre la nature probabiliste du raisonnement des LLM et les injections de prompts adverses.
Complémentarité : Les auteurs soulignent que le NCS est complémentaire, et non un remplacement, des cadres existants de contrôle de flux d'information (IFC) et de contrôle des privilèges. Tandis que l'IFC contraint les frontières générales de flux de données, le NCS impose l'intégrité des paramètres et de la séquence d'exécution de manière cryptographique.
Limitations : L'implémentation actuelle se concentre sur la vérification de signature et le hachage ; le support pour le chiffrement ou les signatures de seuil est noté comme un travail futur. De plus, le NCS ne filtre pas la fuite de texte en langage naturel (par exemple, la génération de texte) si cela n'implique pas un appel d'outil de contrôle, une limitation visible dans certaines classes d'attaques sur des modèles de base plus faibles.

En résumé, le NCS offre une voie pratique pour sécuriser les flux de travail agentiques en découplant l'interprétation de l'intention de l'autorité d'exécution, garantissant que même si le raisonnement d'un agent est détourné, l'exécution reste liée à des étapes cryptographiquement vérifiées et autorisées.