Verifier-Bound Communication for LLM Agents: Certified Bounds on Covert Signaling

1. Il Problema: Segnalazione Occulta negli Agenti LLM

Negli attuali sistemi multi-agente basati su Large Language Models (LLM), la comunicazione è sia il meccanismo di coordinamento che il confine di sicurezza primario. Il problema centrale identificato è la segnalazione occulta (covert signaling): agenti collusivi possono nascondere informazioni coordinate all'interno dei messaggi in modo che questi rimangano conformi alle policy a livello superficiale (testo legittimo), ma contengano dati nascosti attraverso:

• Variazioni lessicali e scelte di serializzazione.
• Metadati, argomenti delle chiamate agli strumenti (tool-call) e azioni ambientali.
• Comportamenti temporali (timing).
• Piani d'azione semanticamente equivalenti ma strutturalmente diversi.

Le tecniche di allineamento comportamentale standard non sono sufficienti a garantire la sicurezza della comunicazione, poiché non controllano questi canali laterali. I rilevatori offline e i test di "red-teaming" non sostituiscono la necessità di un confine di sicurezza online e deterministico che impedisca il bypass.

2. Metodologia: Il Protocollo CLBC

Gli autori presentano CLBC (Verifier-Bound Communication), un protocollo che separa la generazione del messaggio dalla sua ammissione allo stato del transcript. Il principio fondamentale è che un messaggio viene accettato nello stato del sistema solo se un piccolo verificatore accetta una "busta" di prova vincolata a un predicato $\Pi$.

Componenti Chiave del Protocollo:

1. Separazione Generazione/Ammissione: Il modello LLM genera un messaggio, ma questo non influenza lo stato del sistema finché non supera il controllo del verificatore.
2. Il Predicato $\Pi$: Un insieme di controlli deterministici che vincola l'intero envelope di comunicazione. Include:
   • Hash della policy (per evitare derive silenti).
   • Programma di casualità pubblica (per legare le scelte a semi verificabili).
   • Catena del transcript (hashing dello stato precedente).
   • Vincoli di schema latente e metadati canonici.
   • Codici di rifiuto deterministici.
3. Canalizzazione e Prova: Il protocollo utilizza un "collo di bottiglia latente" ($Z_t$) e un rendering deterministico. Ogni messaggio ammissibile è una funzione misurabile delle informazioni consentite, della casualità pubblica e dello stato latente.
4. Rifiuto Predefinito (Fail-Closed): Se qualsiasi clausola del predicato fallisce, il messaggio viene rifiutato immediatamente, impedendo che influenzi lo stato successivo.

Formalizzazione Teorica:

Il paper deriva limiti superiori per la perdita di informazioni (leakage) nel transcript. La perdita totale è limitata dalla somma della perdita latente (controllata dallo schema) e dei canali residui espliciti (tempo, strumenti, ambiente) che non sono stati completamente chiusi.

• Teorema del Limite Superiore: La perdita di informazioni è limitata da $I(S; Z_t) + R_t$, dove $R_t$ rappresenta i canali residui non chiusi.
• Limite Inferiore Semantico: Se esistono molte alternative semantiche valide per una policy, la capacità del canale occulto cresce a meno che non vengano enforceate regole di "spartizione" (tie-break) deterministiche vincolate al verificatore.

3. Contributi Chiave

1. Protocollo di Ammissione Verificabile: Spostamento dal rilevamento post-hoc all'ammissione online basata su prove crittografiche o attestazioni (es. ZK-proofs, TEE).
2. Contabilità Esplicita dei Canali Residui: Invece di affermare una sicurezza assoluta (spesso impossibile), il metodo quantifica e dichiara esplicitamente i canali residui, rendendo le affermazioni di sicurezza verificabili e componibili.
3. Distinzione tra Canali Sintattici e Semantici: Dimostrazione che la canonizzazione sintattica (ordinamento chiavi, serializzazione) riduce i canali, ma che la pressione semantica (scelta tra piani equivalenti) richiede vincoli latenti e semi pubblici per essere mitigata.
4. Framework di Valutazione Rigoroso: Introduzione di una metodologia di valutazione che include test di stress con colluditori adattivi, separazione dai baseline deboli e verifica della coerenza tra metriche di sicurezza e utilità.

4. Risultati Sperimentali

Gli autori hanno valutato il protocollo su diverse famiglie di task (decisione multi-agente, negoziazione, pianificazione, uso di strumenti) utilizzando modelli open-source (es. Llama 3.1, Qwen 2.5).

• Sicurezza (Strict Lane):
  • Il vantaggio massimo del decoder (capacità di recuperare lo stato nascosto) è stato limitato a 0.0000.
  • Il proxy di informazione mutua (MI) è stato di 0.0636.
  • I test di stress con colluditori adattivi sono rimasti ben al di sotto delle soglie degli attaccanti.
• Utilità:
  • La sicurezza non ha causato un collasso dell'utilità: l'utilità minima aggregata è rimasta sopra 0.8860 nelle configurazioni severe.
  • Le famiglie di task con alta complessità semantica (pianificazione, uso di strumenti) mostrano una maggiore difficoltà e una maggiore recoverability, confermando la necessità di vincoli più stretti in questi contesti.
• Performance e Latenza:
  • Modalità Full-Proof: Latenza mediana per turno di 27.53 secondi (p95: 28.08s).
  • Modalità Campionata (Sampled Proving): Riduce la latenza dei turni non provati a 0.327 ms, permettendo un compromesso pratico tra sicurezza e interattività.
• Confronto con Baseline: Le configurazioni con solo "schema" o "audit-only" mostrano un vantaggio del decoder significativamente più alto rispetto al protocollo completo vincolato alla prova.

5. Significato e Implicazioni

Il paper stabilisce che le affermazioni sulla sicurezza delle comunicazioni tra agenti LLM sono tecnicamente difendibili solo se legate a:

1. Un predicato di ammissione imposto dal verificatore.
2. Una contabilità esplicita dei canali residui.
3. Test di stress allineati alle condizioni del teorema.

Implicazioni Pratiche:

• Sicurezza di Sistema: La sicurezza non è una proprietà del solo testo generato, ma del processo di ammissione dello stato.
• Deploy Ibrido: Per carichi di lavoro asincroni ad alta sicurezza si può usare la prova completa; per sistemi interattivi, si può usare una verifica online obbligatoria combinata con una prova campionata per gestire la latenza.
• Ciclo di Vita: Qualsiasi cambiamento (modello, policy, schema strumenti) deve triggerare un riesame delle garanzie di sicurezza, poiché le affermazioni di sicurezza sono vincolate a specifici "snapshot" di configurazione.

In sintesi, CLBC trasforma la sicurezza della comunicazione da un problema di rilevamento statistico (spesso fallibile) a un problema di ingegneria dei sistemi con confini deterministici e verificabili, offrendo limiti certificati sulla capacità dei canali occulti.