ClawLess: A Security Model of AI Agents

1. Il Problema

Gli agenti AI autonomi, potenziati dai Large Language Models (LLM), rappresentano un cambiamento di paradigma nella capacità di ragionare, pianificare ed eseguire compiti complessi. Tuttavia, la loro capacità di recuperare informazioni autonomamente ed eseguire codice introduce rischi di sicurezza significativi che le soluzioni tradizionali non riescono a mitigare:

• Confini di fiducia ambigui: A differenza del software tradizionale che interagisce con endpoint fissi, gli agenti AI recuperano dati da fonti diverse e non controllate, offuscando il confine tra input attendibile e non attendibile.
• Compromissione tra privilegi e usabilità: Gli agenti necessitano di ampi privilegi (accesso al filesystem, rete, esecuzione di programmi) per funzionare, ma concedere tali privilegi crea vulnerabilità. I principi del "privilegio minimo" sono difficili da applicare senza limitare eccessivamente l'utilità dell'agente.
• Inadeguatezza delle difese tradizionali:
  • L'analisi statica è impossibile a causa della natura non deterministica degli output degli LLM.
  • I sandboxing (es. Docker) dipendono dal kernel Linux sottostante, ereditandone le vulnerabilità.
  • Le tecniche di verifica formale non sono state adattate al comportamento dinamico degli agenti che utilizzano strumenti esterni.
• Modello di minaccia "Worst-Case": Il paper assume che l'agente AI stesso possa diventare ostile (a causa di prompt malevoli o input non sanificati) e che sia capace di lanciare attacchi sofisticati contro qualsiasi meccanismo di sicurezza.

2. Metodologia: ClawLess

ClawLess è un framework di sicurezza progettato per imporre politiche formalmente verificate sugli agenti AI, indipendentemente dal loro design interno. L'approccio si basa su tre pilastri fondamentali:

A. Modello di Sicurezza Formale

ClawLess definisce un modello di sicurezza granulare basato su tre concetti chiave:

1. Entità (Entities): Processi, file, socket, dispositivi, ecc.
2. Scope (Ambiti): Tre livelli di isolamento: Sandbox (per script esterni), Agent (l'agente stesso) e Monitor (il sistema di sicurezza, es. gVisor).
3. Permessi: Un insieme di permessi che includono Read, Write, Append, Visible (per accedere a credenziali senza leggerne il contenuto) e NoExecute.
   • Viene introdotta una logica temporale (Linear Temporal Logic) per gestire le policy dinamiche. Ad esempio, se un agente legge un file sensibile, la policy può revocare dinamicamente il permesso di scrittura su socket in uscita per prevenire la fuoriuscita di dati.

B. Validazione e Compilazione delle Policy

• Validazione SMT: Le policy definite formalmente vengono validate utilizzando solver SMT (come Z3). Questo garantisce che le configurazioni di sicurezza siano coerenti e prive di conflitti prima dell'implementazione.
• Policy Compiler: Un compilatore traduce le specifiche formali di alto livello in regole concrete per le chiamate di sistema (syscalls) di Linux. Questo colma il divario semantico tra il modello astratto e l'interfaccia di sistema.

C. Implementazione e Applicazione

• Kernel nello Spazio Utente: ClawLess utilizza un kernel nello spazio utente (simile a gVisor) per isolare l'agente AI dal kernel host vulnerabile. Questo riduce la superficie di attacco e protegge l'host.
• Intercettazione Syscall tramite BPF: Il sistema di monitoraggio utilizza Berkeley Packet Filter (BPF) per intercettare le chiamate di sistema dell'agente in tempo reale.
  • I programmi BPF vengono attaccati a hook specifici (es. sys_enter).
  • Interrogano le regole di sicurezza generate dal compilatore per decidere se permettere o bloccare l'operazione.
  • Questo permette aggiornamenti dinamici delle policy senza ricompilare il kernel.
• Sandbox Esterna: Gli script o il codice generato/d scaricato dall'agente vengono eseguiti in un ambiente sandbox separato con permessi ulteriormente ridotti rispetto all'agente principale.

3. Contributi Chiave

1. Prima analisi di sicurezza completa: Offre un'analisi sistematica delle vulnerabilità degli agenti AI autonomi basata su due assunzioni fondamentali: la capacità di attacco sofisticato e la inevitabilità del comportamento malevolo.
2. Modello di sicurezza formale granulare: Definisce un modello che bilancia sicurezza e usabilità, introducendo concetti come la visibilità delle credenziali senza accesso al contenuto e la gestione dinamica dei permessi basata sul contesto temporale.
3. Framework di isolamento ClawLess: Implementazione pratica che integra modelli formali, compilazione di policy e enforcement runtime tramite kernel utente e BPF, garantendo la sicurezza anche se l'agente è compromesso.

4. Risultati e Validazione

Sebbene il paper si concentri principalmente sulla progettazione architetturale e sulla formalizzazione, i risultati chiave includono:

• Dimostrazione di fattibilità: Il framework è stato implementato con successo, mostrando come tradurre modelli formali in regole BPF eseguibili.
• Gestione dei casi d'uso critici:
  • Script Esterni: Impedisce l'esecuzione diretta di script non verificati dall'agente, forzandoli in sandbox.
  • Credenziali: Permette all'agente di utilizzare credenziali per servizi esterni senza che queste siano leggibili o modificabili dal contesto dell'agente (tramite il permesso Visible).
  • Prevenzione Data Exfiltration: Utilizza la logica temporale per bloccare l'invio di dati su rete se è stato precedentemente letto un file sensibile.
• Robustezza: Il sistema mantiene la sicurezza anche in scenari in cui l'agente tenta di sfruttare vulnerabilità note o tecniche di evasione, poiché l'enforcement è esterno e basato su policy verificabili.

5. Significato e Impatto

ClawLess rappresenta un passo fondamentale verso la sicurezza degli agenti AI autonomi per diversi motivi:

• Cambio di Paradigma: Sposta l'attenzione dal tentativo di "controllare" il comportamento dell'AI tramite prompt o training (approcci fallaci per sistemi non deterministici) all'impedimento fisico/logico di azioni dannose tramite enforcement esterno.
• Indipendenza dall'Implementazione: La sicurezza non dipende dalla correttezza del codice dell'agente o del suo modello linguistico, ma dalle policy esterne verificate.
• Scalabilità e Usabilità: Utilizzando un kernel utente e BPF, ClawLess offre un equilibrio tra isolamento forte (superiore a Docker) e compatibilità/usabilità (superiore alle VM tradizionali o TEE), rendendolo adatto per ambienti cloud e produzione.
• Fondamento Teorico: Fornisce un modello formale che può essere esteso e adattato man mano che le capacità degli agenti AI evolvono, offrendo una base solida per la ricerca futura sulla sicurezza dell'AI.

In sintesi, ClawLess dimostra che è possibile costruire agenti AI autonomi e potenti mantenendo garanzie di sicurezza rigorose, trattando l'agente stesso come un'entità non attendibile e applicando controlli di accesso granulari e verificati formalmente.