Résumé Technique : CAGE (Certified Authorization under Typed-Return Uncertainty)

1. Énoncé du Problème

L'article traite d'une vulnérabilité critique dans les Agents de Grands Modèles de Langage (LLM) utilisant des outils. Bien que les harnais de déploiement des agents emploient de plus en plus de barrières de permission au moment de l'exécution pour autoriser les appels d'outils, ces barrières évaluent généralement le retour de l'outil observé et l'action proposée à un instant unique. Elles ne tiennent pas compte de l'incertitude résiduelle de liaison : la possibilité que l'enregistrement validé observé par l'agent ($\tilde{z}$) diffère du retour « correctement lié » ($z^\star$) en raison de fautes mineures d'assemblage (ex: étiquettes de provenance obsolètes, décalages de schéma ou conditions de concurrence) et d'une dérive numérique bornée.

Le problème central est qu'une action peut paraître sûre sous l'enregistrement observé et même sous des vérifications distinctes pour les perturbations discrètes (catégorielles) et continues (numériques), tout en devenant dangereuse lorsque ces perturbations surviennent de manière conjointe. Les auteurs nomment cela l'attaque par écart conjoint (joint-gap attack). Les défenses existantes, qui se concentrent souvent sur la sanitisation du texte non fiable ou sur l'évaluation d'actions ponctuelles, laissent la frontière de décision sans protection contre ces incertitudes sémantiques spécifiques.

2. Méthodologie : CAGE

Les auteurs proposent CAGE (Certified Authorization Gate for Execution), un moniteur d'exécution qui déplace l'objet de l'autorisation de l'observation ponctuelle $(\tilde{z}, a)$ vers un voisinage conjoint $B_{d,\epsilon}(\tilde{z})$. Une action $a$ n'est autorisée que si elle reste sûre pour chaque retour potentiellement correct au sein de ce voisinage.

Le Voisinage Conjoint

Le voisinage est défini par deux budgets :

• Budget Discret ($d$) : Permet jusqu'à $d$ fautes de liaison admissibles (ex: un échange de provenance ou une confusion de paquet de politique).
• Budget Continu ($\epsilon$) : Permet une dérive $\ell_2$ bornée dans les champs numériques (ex: scores de risque, montants) après validation standard.

Le Théorème de Non-Composition

Une contribution théorique centrale est la preuve que la certification séparée des canaux ne se compose pas.

• Théorème 1 : Un prédicat de sécurité peut être sûr sous toutes les perturbations continues de l'état discret original et sûr sous tous les échanges discrets de la valeur continue originale, tout en étant dangereux sous un échange discret et un décalage continu combinés.
• Implication : Les certificats marginaux (vérifier le texte et les nombres séparément) sont non valides. La défense doit certifier le produit cartésien des perturbations discrètes et continues.

L'Algorithme CAGE

CAGE fonctionne par énumération exacte du voisinage discret suivie d'une certification sonore de la branche continue :

1. Énumérer : Calculer l'ensemble fini des voisins discrets $N_d(s) = \{s' : D_{disc}(s, s') \le d\}$.
2. Certifier les Branches : Pour chaque voisin discret $s'$, certifier que l'action est sûre pour toutes les perturbations continues $x'$ dans la boule $\epsilon$.
3. Décision : Autoriser l'action uniquement si chaque branche passe son test de certification continue.

L'Échelle d'Hypothèses (Backends)

CAGE supporte différents backends selon la nature de la politique (exécutable ou apprise) :

• CAGE-Exact (Échelon 1) : Utilisé lorsque la politique est un prédicat exécutable (ex: contraintes affines en Rego ou tables de décision). Il effectue une vérification mathématique exacte des contraintes sur la boule $\epsilon$. C'est une approche certifiée par la politique.
• CAGE-Lip (Échelon 2) : Utilisé pour les portes apprises (politiques implicites). Il emploie une architecture de réseau de neurones 1-Lipschitzienne. Il certifie la décision de la porte basée sur la marge Lipschitz ($h_\theta > L_{cert}\epsilon$). C'est une approche certifiée par la porte et sonore sous une hypothèse de fidélité mesurée de la politique de la porte.
• CAGE-RS (Échelon 3) : Utilisé pour les portes boîte noire. Il applique le Lissage Aléatoire (Randomized Smoothing) pour fournir des garanties probabilistes sur la boule continue. C'est également une approche certifiée par la porte.

3. Contributions Clés

1. Formalisation de l'Autorisation Robuste : L'article formalise l'autorisation post-retour d'outil comme une décision sous incertitude sémantique bornée, prouvant que la sécurité dépend de l'inspection du retour réalisé (Proposition 1).
2. Preuve de Non-Composition : Les auteurs prount que les certificats marginaux pour les canaux catégoriels et numériques n'impliquent pas la sécurité sur leur produit conjoint, identifiant l'existence de « témoins d'écart conjoint » (Théorème 1).
3. Moniteur Certifié avec Échelle d'Hypothèses : CAGE fournit un cadre unifié qui énumère exactement l'espace discret et certifie l'espace continu via une hiérarchie de backends (Exact, Lipschitz, Smoothing), assurant un seuil de sonorité même pour les portes apprises.
4. Cas de Sécurité Mesuré : Le travail fournit un cas de sécurité calibré sur des fautes injectées, démontant que CAGE élimine les fausses autorisations dans le budget tout en conservant une autonomie utile.

4. Résultats Expérimentaux

L'évaluation couvre des contextes synthétiques, de la politique-en-code (Open Policy Agent, GoRules), des cadres réglementaires (PSD2/AML) et des données de transactions réelles (IEEE-CIS).

• Existence de Témoins d'Écart Conjoint : L'étude confirme que les témoins d'écart conjoint existent dans chaque configuration, survenant à des fréquences naturelles de 3,5 % à 12 %.
• Sonorité : Dans tous les contextes, CAGE atteint un taux de Fausse Autorisation Certifiée (CFA) de 0. En revanche, les portes ponctuelles et les bases de comparaison par composition marginale admettent ces témoins dangereux à des taux élevés (sou souvent 100 % de l'ensemble des témoins).
• Autonomie : Malgré les garanties de sécurité strictes, CAGE conserve une autonomie significative :
  • CAGE-Exact autorise de manière autonome 22 à 34 % des décisions robustes-sûres dans les contextes de politique-en-code et 57 % dans le trafic naturel.
  • Les backends appris (Lip/RS) conservent 6,5 à 37 % d'autonomie selon la rigueur du point de fonctionnement.
• Validation de Bout en Bout : Dans des tests de systèmes réels (Kubernetes, chemins d'écriture MCP, moteurs AML), CAGE a bloqué avec succès des effets secondaires non autorisés (ex: déploiements non autorisés, écritures dépassant les quotas) qui avaient été admis par des agents non protégés ou protégés par des portes ponctuelles.
• Attaques Adaptatives : CAGE reste sonore face à des adversaires adaptatifs qui connaissent la politique et le budget, alors que les portes apprises ponctuelles souffrent de taux de fausses autorisations élevés (jusqu'à 98 % lors de certaines attaques synthétiques).

5. Signification et Revendications

L'article affirme que CAGE fournit un mécanisme d'autorisation calibré pour les décisions où la sécurité dépend de retours typés incertains. Sa signification réside dans :

• Combler le Fossé Logique : C'est le premier système à certifier formellement le voisinage conjoint des retours typés, traitant une vulnérabilité que les défenses ponctuelles et marginales ignorent.
• Déployabilité Pratique : En proposant une « échelle d'hypothèses », il fait le pont entre les politiques exécutables théoriquement parfaites et les portes apprises pratiques, fournissant des garanties formelles même pour ces dernières sous des conditions de fidélité explicites.
• Réalisme Opérationnel : Le travail sépare explicitement la garantie formelle des préconditions opérationnelles (ex: fraîcheur des données, intégrité du constructeur). Il quantifie le « risque résiduel » lorsque ces préconditions échouent (ex: si la déconnexion des données dépasse le budget déclaré), plutôt que de revendiquer une immunité absolue.

Les auteurs font preuve de modestie concernant les revendications de validité externe : ils démontrent l'existence, la réalisabilité et le mécanisme des attaques par écart conjoint dans des pipelines de type déployé, mais ne prétendent pas avoir mesuré la prévalence de ces fautes spécifiques dans tous les systèmes agentiques du monde réel. Ils concluent que CAGE est un contrôle de runtime nécessaire partout où l'incertitude des retours typés peut être mesurée et imposée.