Reconstructive Authority Model: Runtime Execution Validity Under Partial Observability

Riassunto Tecnico: Modello di Autorità Ricostruttiva (RAM)

1. Il Problema: Il Limite Strutturale dell'Attestazione

Il paper affronta una vulnerabilità fondamentale nei sistemi di governance per agenti autonomi. Attualmente, la sicurezza di tali sistemi si affida all'attestazione (es. TEE, prove crittografiche di stato, oracoli). Questi meccanismi garantiscono l'integrità (ovvero che il calcolo sia stato eseguito correttamente su uno stato osservato), ma non la correttezza semantica rispetto alla realtà.

Il problema centrale è la parzialità dell'osservabilità: lo stato reale rilevante per l'esecuzione $S_r(t)$ non è mai completamente accessibile. Esiste sempre un "gap di stato" $\delta(t) = S_r(t) \setminus S_p(t)$, dove $S_p(t)$ è lo stato provabile/attestato. Poiché l'attestazione verifica solo la coerenza tra lo stato osservato e le decisioni prese, se una condizione critica (es. un segnale di frode o un cambio normativo) cade nel gap $\delta(t)$, il sistema eseguirà un'azione che appare valida crittograficamente ma è semanticamente invalida e pericolosa.

2. Metodologia: Il Modello RAM

Per risolvere questo limite, l'autore introduce il Reconstructive Authority Model (RAM). A differenza dei modelli basati sull'attestazione, che chiedono "L'esecuzione è coerente con quanto approvato in precedenza?", il RAM chiede: "L'autorità può essere ricostruita partendo da ciò che è vero ora?".

Concetti Chiave:

• Coverage Envelope (Involucro di Copertura) $E(t)$: Un triplo composto dallo stato provato $S_p(t)$, dalle assunzioni dichiarate $H(t)$ e dal residuo inosservabile $\delta(t)$. Rendere esplicito $\delta(t)$ costringe il sistema a riconoscere ciò che non sa.
• Autorità Non Persistente: L'autorità non è un diritto concesso all'ingresso (admission), ma una proprietà che deve essere ricalcolata ad ogni singolo passo di esecuzione.
• Funzione di Costruzione dell'Autorità $F(E(t), \alpha)$: Una funzione che mappa l'involucro di copertura e la classe di azione richiesta $\alpha$ in tre possibili esiti:
  1. Esecuzione completa ($\alpha$): Copertura adeguata.
  2. Privilegi ristretti ($\alpha' \subset \alpha$): Copertura parziale (il sistema riduce il raggio d'azione).
  3. Halt/Defer ($\perp$ o $false$): Copertura insufficiente o violazione degli invarianti. Il sistema "fallisce in modo chiuso" (fail-closed).

3. Contributi Principali

• Formalizzazione del limite dell'attestazione: Dimostrazione matematica che l'integrità del calcolo non implica la validità dell'esecuzione in presenza di parzialità dell'osservabilità (Teorema 5.1).
• Introduzione del RAM: Un framework formale che sposta il paradigma dalla validazione della coerenza alla costruzione dell'autorità.
• Architettura Ibrida RAM + Attestazione: Un modello in cui l'attestazione garantisce l'integrità dell'input (protezione contro la manipolazione), mentre il RAM garantisce la validità semantica (protezione contro il drift dello stato).
• Trattamento degli Invarianti: Gli invarianti non sono più semplici controlli di validazione, ma condizioni costruttive necessarie per definire l'autorità.

4. Risultati Sperimentali e Teoretici

Il paper presenta due teoremi fondamentali:

1. Teorema 1: Nessun sistema basato solo su attestazione può garantire la validità dell'esecuzione se lo stato reale non è interamente catturato dal modello attestato.
2. Teorema 2: La validità dell'esecuzione può essere garantita solo se l'autorità è definita come funzione dello stato reale $S_r(t)$ al runtime.

Valutazione Sperimentale:
Attraverso simulazioni di drift (deriva dello stato) in scenari finanziari, i risultati mostrano che:

• I sistemi basati su Attestazione e Oracoli presentano un tasso di esecuzioni invalide (IER) significativo, che non scende mai a zero anche con alta copertura, a causa della gestione errata degli stati "indefiniti".
• Il RAM mantiene un IER = 0.000 (zero esecuzioni invalide) a tutti i livelli di copertura, poiché sceglie di arrestarsi ($\perp$) quando l'informazione è insufficiente.
• Viene identificato il Trade-off OCR (Over-Conservatism Rate): il costo del RAM è la possibilità di arresti non necessari quando la copertura è bassa, un compromesso necessario per la sicurezza in sistemi ad alto rischio.

5. Significato e Implicazioni

Il lavoro conclude che per gli agenti autonomi ad alto impatto (finanza, veicoli autonomi, infrastrutture critiche), il comportamento di default non deve essere "se non rilevo errori, procedi", ma "se non posso ricostruire l'autorità, fermati".

Il RAM completa la Agent Governance Series fornendo la risposta operativa alla domanda: "Data l'impossibilità di osservare tutto (dimostrata nel Paper 2), come decidiamo se eseguire un'azione al runtime?". Il modello trasforma il problema della "mancanza di dati" da un rischio di sicurezza a un segnale di arresto strutturale.