Atomic Decision Boundaries: A Structural Requirement for Guaranteeing Execution-Time Admissibility in Autonomous Systems

1. Il Problema: Il "Decision Boundary Problem"

Il paper affronta una sfida critica nei sistemi autonomi moderni (es. trasferimenti finanziari, operazioni su API, deleghe tra agenti) che eseguono azioni modificando stati condivisi in modo irreversibile.

• Il Gap Temporale: I meccanismi di governance attuali (come RBAC, OPA, audit post-hoc) valutano la politica prima dell'esecuzione. Esiste un intervallo temporale tra la decisione di permettere un'azione e l'effettiva transizione di stato.
• La Vulnerabilità: In un ambiente concorrente, lo stato del sistema può cambiare tra la valutazione e l'esecuzione a causa di azioni esterne (es. un altro agente che modifica un saldo o blocca una risorsa). Di conseguenza, un'azione che era ammissibile al momento della valutazione può diventare inammissibile al momento dell'esecuzione.
• Limitazione delle Soluzioni Esistenti: Il paper sostiene che questo non è un problema di espressionività delle policy o di disponibilità dei dati, ma un difetto strutturale dell'architettura. Nessun raffinamento della logica di policy in un sistema "split" (separato) può garantire l'ammissibilità al momento dell'esecuzione.

2. Metodologia e Modello Formale

L'autore formalizza il problema utilizzando un Sistema a Transizioni Etichettate (LTS - Labeled Transition System).

• Definizione di Admissibilità: L'ammissibilità non è una proprietà dell'azione in sé, ma della transizione di stato ($s \to s'$) in un dato istante. Un'azione $a$ è ammissibile in $s$ se $Adm(s, a) = true$.
• Classificazione dei Sistemi:
  1. Sistemi a Valutazione Split (Split Evaluation Systems): La funzione di decisione $D$ (che valuta la politica) e la funzione di transizione $T$ (che applica l'azione) sono passi distinti nell'LTS. Tra questi due passi, azioni ambientali ($A_{env}$) possono intercalarsi, modificando lo stato.
  2. Sistemi con Confine Decisionale Atomico (Atomic Decision Boundary): La decisione e la transizione risultante sono calcolate congiuntamente come un singolo passo indivisibile nell'LTS. Non esiste uno stato intermedio esposto alle azioni ambientali tra la valutazione e l'applicazione.
• Dominio Decisionale a Tre Valori: Il modello introduce un terzo esito, Escalate (oltre ad Allow e Refuse), che sospende la transizione per una revisione esterna (supervisore). Questo estende le analisi classiche TOCTOU (Time-of-Check/Time-of-Use).
• Ipotesi di Ambiente: Il teorema principale si basa su un modello ambientale avversario (Assunzioni 2.5 e 2.6) dove le azioni esterne sono incontrollabili e possono intercalarsi nel momento peggiore possibile.

3. Contributi Chiave

1. Definizione Formale del Confine Decisionale Atomico: Formalizzazione matematica della condizione necessaria affinché un sistema di controllo ammissione garantisca l'integrità dello stato.
2. Teorema di Non-Equivalenza (Teorema 5.1): Dimostrazione costruttiva che nessun sistema "split" può essere equivalente a un sistema atomico rispetto alla preservazione dell'ammissibilità sotto tutte le tracce di esecuzione. Viene fornito un controesempio specifico (traccia $\sigma^*$) in cui un sistema split esegue una transizione inammissibile.
3. Requisito di Chiusura dell'Escalation (Corollario 5.6): Viene dimostrato che l'esito Escalate non elimina la necessità di atomicità, ma la trasferisce al punto di risoluzione del supervisore. Se la risoluzione dell'escalation non è essa stessa atomica, il problema del gap persiste.
4. Mappatura dei Sistemi Esistenti: Classificazione strutturale di meccanismi diffusi (RBAC, OPA, AWS IAM, Cedar) come sistemi "split", e identificazione di protocolli come l'ACP (Agent Control Protocol) come sistemi che implementano un confine atomico.

4. Risultati Principali

• Impossibilità nei Sistemi Split: In un ambiente concorrente reale, un sistema che separa valutazione ed esecuzione non può garantire che un'azione sia ammissibile al momento dell'esecuzione. La garanzia di ammissibilità è una proprietà dell'esecuzione, non della valutazione preliminare.
• Inefficacia dello Stato Esterno: L'aggiunta di store di stato esterni (es. database condivisi letti dalla policy) non risolve il problema. Anche se si legge lo stato esterno, il momento della lettura e il momento dell'esecuzione rimangono separati, lasciando spazio a nuove modifiche.
• Natura Strutturale, non Implementativa: L'atomicità è una proprietà architetturale. Non dipende dall'uso di transazioni DB, lock o istruzioni hardware specifiche, ma dal fatto che l'LTS non esponga stati intermedi tra decisione e transizione.
• Relazione con TOCTOU: Il paper generalizza il classico problema TOCTOU dai primitivi del sistema operativo ai sistemi di governance complessi, mostrando che le mitigazioni classiche (come il ri-valutazione) falliscono se non sono accoppiate atomicamente all'esecuzione.

5. Significato e Implicazioni

Questo lavoro costituisce la base formale per una serie di quattro paper sulla governance degli agenti autonomi.

• Cambiamento di Paradigma: Sposta il focus dalla "espressività della policy" alla "struttura di esecuzione". Per garantire la sicurezza in sistemi autonomi che modificano stati condivisi, l'architettura deve garantire l'atomicità al confine decisionale.
• Validazione dell'ACP: Fornisce la prova teorica che il Agent Control Protocol (ACP), che utilizza un "Execution Token" crittografico emesso e consumato atomicamente, è l'unico modo strutturale per garantire l'ammissibilità in tempo di esecuzione.
• Implicazioni per la Progettazione di Sistemi: I progettisti di sistemi autonomi devono riconoscere che l'uso di motori di policy standard (come OPA) in modalità "chiamata separata" introduce inevitabilmente rischi di race condition. Per garantire sicurezza assoluta, la logica di decisione e l'azione di stato devono essere fuse in un'unica operazione indivisibile.
• Gerarchia di Governance: L'introduzione dell'escalation e la dimostrazione che anche il supervisore deve operare su un confine atomico suggerisce che la governance multi-livello richiede che ogni livello di risoluzione mantenga l'atomicità per non degradare le garanzie complessive.

In sintesi, il paper dimostra che l'ammissibilità è una proprietà dell'esecuzione, e garantire tale proprietà richiede vincoli strutturali rigidi (atomicità) che i sistemi di governance attuali, basati su valutazioni pre-esecuzione separate, non possiedono.