Riepilogo Tecnico: Chi Possiede Questo Agente? Tracciamento degli Agenti AI fino ai Loro Proprietari

1. Definizione del Problema: Attribuzione degli Agenti

Il documento identifica e formalizza l'attribuzione degli agenti come una lacuna di sicurezza critica ed emergente. Man mano che gli agenti AI vengono sempre più dispiegati per agire in autonomia — inviando messaggi, navigando su siti web, chiamando API ed eseguendo script — non esiste attualmente alcun meccanismo tecnico affidabile per tracciare un'interazione dannosa di un agente fino al specifico account dell'operatore che lo ha dispiegato.

Questa lacuna di responsabilità esiste su tutto lo spettro dei comportamenti degli agenti:

• Danno Involontario: Operatori benigni possono dispiegare agenti mal configurati (ad esempio, condizioni di arresto difettose, obiettivi eccessivamente ampi) che causano spam, sovraccarico dei servizi o azioni non intenzionali.
• Danno Intenzionale: Operatori malevoli possono armare agenti per frodi, molestie, intrusioni informatiche o disinformazione.

In entrambi i casi, le parti colpite (le vittime) osservano il comportamento dannoso e i fornitori (provider di LLM) detengono i registri delle sessioni, ma nessuna parte può collegare il comportamento esterno osservato all'account del fornitore responsabile. I meccanismi di ricorso esistenti falliscono perché:

• L'identificazione basata su IP è inefficace poiché gli agenti ruotano gli indirizzi e utilizzano proxy.
• L'indagine a livello di piattaforma identifica solo account superficiali effimeri (ad esempio, personaggi finti), non l'account del fornitore sottostante.
• L'impronta digitale comportamentale rileva la presenza di un agente ma non può identificare quale, tra milioni di account di fornitori, sia responsabile.
• Il processo legale richiede un presupposto (l'identificazione della sessione e dell'account specifici) prima di poter imporre la divulgazione, il che è attualmente impossibile senza un ponte tecnico.

Gli autori ipotizzano che questo problema sia particolarmente azionabile nell'ambito dei Modelli Linguistici di Grandi Dimensioni (LLM) ospitati dal fornitore. Anche gli avversari sofisticati spesso fanno affidamento su modelli ospitati dal fornitore (ad esempio, OpenAI, Anthropic o modelli open-source ospitati) per le loro capacità di ragionamento. Sebbene l'operatore controlli il runtime e i wrapper, le chiamate al modello passano attraverso il fornitore e vengono registrate contro un account.

2. Metodologia: Il Protocollo Basato su Canarini

Gli autori propongono un protocollo di attribuzione basato su canarini che colma il divario tra l'osservazione della vittima e i registri del fornitore. Il protocollo coinvolge cinque soggetti principali: l'Agente, l'Operatore, il Fornitore, la Vittima e un'Autorità (ad esempio, forze dell'ordine o un'entità commerciale).

Meccanismo Principale

1. Iniezione: Un'Autorità ($\mathcal{D}$) autorizzata inietta un canarino nel flusso di contenuti che l'Agente ($\mathcal{A}$) è probabile consumare.
   • Interazione Diretta: L'Autorità interagisce direttamente con l'agente (ad esempio, tramite chat) e inietta il canarino.
   • Interazione Passiva: L'Autorità posiziona canarini in luoghi che l'agente è previsto visiti (ad esempio, pagine web specifiche, file) e li strumentizza con hook.
2. Propagazione: L'agente elabora il contenuto. Se l'agente inoltra questo contenuto al suo LLM ospitato dal fornitore, il canarino appare nei registri delle sessioni del fornitore.
3. Ricerca: L'Autorità avvia una richiesta di attribuzione con il Fornitore ($\mathcal{V}$), specificando il momento dell'iniezione ($\tau$) e i valori del canarino.
4. Recupero: Il Fornitore cerca una finestra temporale ristretta di registri di sessioni attive alla ricerca dei canarini. Se trovati, il fornitore collega la sessione all'account dell'Operatore responsabile ($\mathcal{O}$).

Costruzioni dei Canarini

Il documento distingue tra due contesti, richiedendo diversi tipi di canarini:

• Contesto Non Avversario: L'operatore non sta tentando di eludere l'attribuzione.

  • Canarini Lessicali: Sequenze di token semplici e corrispondenti esattamente (ad esempio, stringhe casuali, UUID o identificatori rilevanti per l'attività come codici di progetto). Questi sono sufficienti perché l'agente passa il contenuto in ingresso al modello invariato.

• Contesto Avversario: L'operatore dispiega un wrapper ($\mathcal{W}$) per filtrare, parafrasare o riscrivere il contenuto in ingresso per sopprimere i marcatori.

  • Canarini Portatori di Utilità: Per contrastare l'evasione, gli autori introducono canarini che sono indistinguibili dai contenuti legittimi dell'attività. Rimuoverli degraderebbe la capacità dell'agente di svolgere il suo compito.
  • Canarini Lessicali Portatori di Utilità: Identificatori critici per l'attività (ad esempio, nomi di file in un elenco di directory, ID specifici in una query di database) che l'agente deve preservare per avere successo.
  • Canarini Semantici: Firme definite dal significato piuttosto che dalla forma superficiale (ad esempio, stili di discorso, pattern strutturali, segnali di urgenza o abitudini retoriche specifiche). Questi sopravvivono meglio alla parafrasi rispetto alle stringhe esatte.
  • Strategia Multi-Canarino: L'Autorità campiona un sottoinsieme ($K$) da un vasto universo di canarini ($N$) e li inietta. Il rilevamento richiede una soglia ($m$) di corrispondenze. Questo crea un'asimmetria favorevole al difensore: l'avversario deve filtrare aggressivamente i contenuti per rimuovere i canarini, il che inevitabilmente degrada l'utilità dell'agente (ad esempio, facendolo fallire un attacco informatico o una truffa), mentre il difensore può spingere la probabilità di attribuzione arbitrariamente vicina a 1.

3. Contributi Chiave

1. Formalizzazione del Problema: Questo è il primo lavoro a identificare e definire l'"attribuzione degli agenti" come un problema di sicurezza distinto e a caratterizzare l'intera tassonomia degli scenari (danno involontario vs intenzionale, vari bersagli di attacco).
2. Protocollo Pratico: Un protocollo di attribuzione mediato dal fornitore che funziona senza pre-registrazione universale o esposizione continua dell'identità. Si basa sulla dipendenza strutturale degli agenti dai modelli ospitati dal fornitore.
3. Costruzioni Robuste di Canarini:
   • Sviluppo di canarini portatori di utilità (sia lessicali che semantici) che creano un compromesso per gli avversari: eludere l'attribuzione richiede di degradare le prestazioni dell'agente.
   • Formalizzazione dell'asimmetria in cui il difensore può controllare la probabilità di attribuzione mentre l'avversario paga un costo di utilità per l'evasione.
4. Valutazione Empirica: Test completi su tre domini:
   • Agenti di Comunicazione: Interazioni in chat e forum.
   • Agenti Web: Ingestione e scraping di documenti HTML.
   • Agenti Cyber: Agenti autonomi che utilizzano strumenti in ambienti Capture-The-Flag (CTF).

4. Risultati Sperimentali

La valutazione dimostra che il protocollo è affidabile, robusto e scalabile.

• Prestazioni in Contesto Non Avversario:

  • I canarini lessicali raggiungono un rilevamento quasi perfetto (TPR $\approx$ 1.0) con falsi positivi quasi nulli (FPR) quando il contenuto viene passato invariato.
  • I canarini semantici raggiungono anch'essi tassi di rilevamento elevati (AUC $\approx$ 0.98–0.99) nei contesti di chat e forum.

• Robustezza Avversaria:

  • Attacchi di Parafrasi: Quando un wrapper parafrasa il contenuto, i canarini lessicali esatti falliscono (il TPR scende a $\approx$ 0.20). Tuttavia, i canarini semantici rimangono robusti. Nei contesti di chat, il TPR rimane superiore a 0.97 anche sotto parafrasi quando si utilizza una soglia multi-canarino ($m$-su-$k$).
  • Agenti Web: I canarini lessicali visibili (incorporati nel testo renderizzato) sopravvivono al pre-processing e alla parafrasi a tassi >60%. I canarini strutturali (nascosti nel DOM) sono più fragili. I canarini di layout semantici forniscono un canale secondario robusto.
  • Agenti Cyber (CTF): Questo è il test più forte. Un avversario consapevole dei canarini che tenta di rimuoverli dagli output degli strumenti ha causato il crollo del tasso di risoluzione dell'agente dal 51% al 9%. Questo conferma il compromesso utilità-evasione: sopprimere le prove di attribuzione distrugge la missione dell'agente.
  • Accuratezza dell'Attribuzione: Nei contesti cyber, l'attribuzione a livello di sessione ha raggiunto un TPR $\ge$ 98% con FPR vicino allo zero, anche in condizioni avversarie.

• Scalabilità:

  • La ricerca lato fornitore è dimostrata essere operativamente pratica. Cercando solo una finestra temporale limitata di sessioni concorrenti e utilizzando la corrispondenza a livello di token (sfruttando i registri già tokenizzati), i costi di ricerca scalano linearmente con il numero di sessioni attive, non con la dimensione totale dei log. La ricerca a livello di token è risultata essere $\approx$2 volte più veloce della corrispondenza a livello di caratteri.

5. Significato e Affermazioni

Il documento afferma di essere il primo lavoro a definire l'attribuzione degli agenti e a presentare una soluzione pratica. Il suo significato risiede in:

• Ripristino del Ricorso: Fornisce un ponte tecnico che permette a vittime, piattaforme e autorità di identificare gli operatori responsabili, consentendo interventi nei casi benigni e responsabilità legale in quelli malevoli.
• Fattibilità per i Fornitori: Il protocollo sfrutta l'infrastruttura esistente dei fornitori (log, erogazione API) e non richiede modifiche al codice di runtime dell'agente o all'infrastruttura dell'operatore.
• Asimmetria nella Difesa: Legando i canarini all'utilità dell'attività, il protocollo costringe gli avversari in un dilemma in cui eludere l'attribuzione compromette i loro stessi obiettivi.

Gli autori rimangono modesti riguardo alle limitazioni, notando che la valutazione utilizza famiglie di modelli e configurazioni di wrapper specifiche, e che l'iniezione indiretta (prevedendo le traiettorie degli agenti) richiede ulteriori test nel mondo reale. Tuttavia, affermano che il metodo proposto offre una strada dispiegabile verso la responsabilità per agenti AI sempre più autonomi.