Riepilogo Tecnico: CASPIAN – Rilevamento Online e Attribuzione di Attacchi a Cascata nei Sistemi Multi-Agente LLM

1. Enunciato del Problema

I Sistemi Multi-Agente basati su Modelli Linguistici di Grande Dimensione (LLM-MAS) sono sempre più suscettibili agli attacchi a cascata, una modalità di guasto distinta dalle iniezioni di prompt isolate o dalle allucinazioni. In questi attacchi, un'influenza avversaria o errata iniettata in un singolo agente si propaga, si amplifica e si auto-rafforza attraverso molteplici agenti e turni di interazione. Queste cascate sfruttano la struttura di interazione del sistema, potenzialmente corrompendo la memoria condivisa, reindirizzando gli output degli strumenti e sincronizzando gli agenti verso una traiettoria collettivamente difettosa.

La sfida centrale nel rilevare questi attacchi risiede nella natura distribuita e accoppiata delle prove:

• Propagazione Cross-Canale: L'influenza si diffonde simultaneamente attraverso comunicazione, memoria condivisa, API degli strumenti e metadati di esecuzione. Monitorare un singolo canale fornisce una visione incompleta.
• Accumulo Temporale: L'influenza si accumula gradualmente attraverso il riutilizzo del contesto. Un agente può apparire localmente benigno mentre il sistema collettivamente transita verso un guasto coordinato.
• Limitazioni delle Difese Esistenti: Gli approcci attuali (guardrail semantici, giudici basati su LLM, rilevatori basati su grafi) operano prevalentemente su messaggi isolati, grafi statici o tracce ex-post. Non riescono a catturare le dinamiche online, cross-canale e temporalmente coordinate della propagazione a cascata, spesso mancando i guasti nelle fasi iniziali o richiedendo analisi offline che precludono l'intervento in tempo reale.

2. Metodologia: Il Framework CASPIAN

CASPIAN (Cascade Attack Spectral Propagation and Influence Attribution Network) è un framework unificato progettato per il rilevamento e l'attribuzione online degli attacchi a cascata. Sposta il paradigma dall'ispezione semantica localizzata al monitoraggio della struttura evolutiva dell'influenza causale attraverso il sistema.

2.1 Modellazione Causale Unificata Cross-Canale

CASPIAN modella l'LLM-MAS come un tensore di influenza causale cross-canale in evoluzione $A_t \in \mathbb{R}^{N \times N \times |C|}$, dove $N$ è il numero di agenti e $C = \{comm, mem, tool, exec\}$ rappresenta i canali di interazione.

• Stima dell'Influenza: Invece di un'analisi dello stato completo computazionalmente costosa, CASPIAN impiega una formulazione di Entropia di Transfer Condizionata a Interazione Tardiva (LI-CTE). Questa stima l'influenza diretta $a_{ij}^{(c)}(t)$ dall'agente $i$ all'agente $j$ sul canale $c$ misurando quanto l'attività della sorgente spiega il comportamento corrente del target, condizionato allo stato storico del target stesso.
• Efficienza: Ispirata alla decomposizione in stile ColBERT, la LI-CTE costruisce proiezioni compatte di sorgente e target, introducendo un sovraccarico di solo ordine di millisecondi pur catturando dipendenze dirette consapevoli della storia.
• Aggregazione Tensoriale: Le matrici di influenza specifiche per canale vengono normalizzate e aggregate in una matrice di influenza unificata $\tilde{A}_t$ per l'analisi spettrale, preservando al contempo la struttura tensoriale per l'attribuzione a livello di canale.

2.2 Rilevamento Spettrale Online delle Cascate

CASPIAN rileva le cascate monitorando le transizioni spettrali nella topologia di influenza in evoluzione. Distingue l'attività collaborativa transitoria dalle cascate di auto-rafforzamento attraverso quattro dinamiche chiave:

1. Amplificazione: Crescita dell'energia spettrale dominante ($E_t = \lambda_1(t) + \lambda_2(t)$).
2. Sincronizzazione: Restringimento del gap spettrale ($g_t = 1 - \lambda_2(t)/\lambda_1(t)$), indicante modalità di propagazione accoppiate.
3. Diffusione Cross-Canale: Distribuzione dell'energia di influenza attraverso più canali, misurata tramite l'entropia di Shannon normalizzata ($H_t^{norm}$).
4. Persistenza: Rafforzamento sostenuto di queste dinamiche nel tempo.

Logica di Rilevamento:

• Condizione WATCH: Si attiva quando la crescita dell'amplificazione coincide con un accoppiamento spettrale che si restringe ($\Delta g_t > 0$) guidato dalla modalità dominante.
• Classificazione:
  • Cascate a Singolo Turno: Rilevate immediatamente se WATCH coincide con un Cambiamento di Fase (cambiamento strutturale brusco) o Diffusione Cross-Canale, a condizione che esista un percorso di propagazione fattibile (controllo del Collegamento Debole).
  • Cascate a Multi-Turno: Rilevate se WATCH persiste per una finestra adattiva $W_{tw}$ (governata dall'inverso del gap spettrale) e contiene almeno un evento di transizione strutturale.

2.3 Attribuzione Causale Online

Al momento del rilevamento, CASPIAN esegue un'attribuzione online utilizzando le dinamiche di influenza memorizzate nella cache, senza richiedere replay o ricalcoli. Identifica:

• Origine: L'agente con l'influenza in uscita più forte all'inizio.
• Amplificatore: L'agente che rafforza maggiormente la propagazione (alto rapporto flusso-uscita/flusso-ingresso).
• Ponte: L'agente che riceve e ridistribuisce l'influenza attraverso la rete.
• Spine di Propagazione: I percorsi dominanti top-$K$, classificati in base alla forza del loro collegamento più debole, insieme al canale di interazione dominante per ogni spine.

3. Contributi Chiave

1. Modellazione Causale Unificata Cross-Canale: Il primo framework che modella congiuntamente l'influenza inter-agente diretta attraverso canali di comunicazione, memoria, strumenti ed esecuzione negli LLM-MAS utilizzando una formulazione LI-CTE efficiente.
2. Rilevamento Spettrale Online: Un meccanismo di rilevamento che identifica sia cascate brusche a singolo turno che graduali a multi-turno dalle dinamiche di influenza in evoluzione, senza richiedere template di attacco, tracce di calibrazione benigna o addestramento offline.
3. Attribuzione in Tempo Reale: Uno schema di attribuzione che recupera origini, amplificatori, ponti e percorsi di propagazione della cascata direttamente dalle dinamiche di influenza memorizzate nella cache al momento del rilevamento, abilitando un intervento immediato.

4. Risultati Sperimentali

CASPIAN è stato valutato su due benchmark (TAMAS e ACIArena) attraverso quattro framework LLM-MAS (AutoGen, CrewAI, MetaGPT, LLM Debate) coinvolgendo 727 scenari e 2.908 tracce di esecuzione.

• Prestazioni di Rilevamento: CASPIAN ha costantemente superato i guardrail semantici (es. PromptGuard), i giudici basati su LLM e i rilevatori basati su grafi (es. G-Safeguard).
  • AUROC: Ha superato 0,90 nella maggior parte delle configurazioni (es. 0,942 su AutoGen).
  • Rilevamento Precoce (EDR@5): Ha raggiunto il rilevamento entro 5 turni dall'iniezione in ~79% dei casi su AutoGen, superando significativamente le baseline (es. 0,792 vs 0,482 per la migliore baseline basata su grafi).
  • Robustezza: Le prestazioni sono rimaste elevate attraverso diversi tipi di attacco (Manipolazione dell'Intento, Attacchi di Esecuzione, Attacchi di Coordinamento) e topologie di framework.
• Accuratezza dell'Attribuzione:
  • Localizzazione dell'Origine: Alta accuratezza (Acc@1 $\approx$ 0,86 su TAMAS AutoGen).
  • Ponte/Amplificatore: Recupero stabile, sebbene l'identificazione del ponte sia più complessa nelle topologie distribuite.
  • Recupero del Percorso: I punteggi Jaccard@3 delle spine sono rimasti superiori a 0,62 in tutte le impostazioni.
• Efficienza: CASPIAN opera con una latenza di sovraccarico relativa sotto l'1% (es. ~0,66% su tracce benigne), rendendolo adatto al deployment online.

5. Significato e Affermazioni

Il documento afferma che la modellazione causale unificata cross-canale è essenziale per rilevare e comprendere in modo affidabile i guasti a cascata nei sistemi multi-agente LLM. A differenza dei metodi precedenti che ragionano localmente sui prompt o sui grafi statici, CASPIAN affronta la natura fondamentale degli attacchi a cascata come processi di propagazione globali.

I punti chiave enfatizzati dagli autori:

• Riorganizzazione Strutturale: L'insorgenza della cascata è caratterizzata da una riorganizzazione strutturale dell'influenza inter-agente (amplificazione, sincronizzazione, diffusione cross-canale) piuttosto che da semplici anomalie isolate.
• Fattibilità Online: Il framework dimostra che il monitoraggio causale complesso può essere integrato nell'esecuzione online con latenza trascurabile, abilitando l'intervento in tempo reale.
• Oltre l'Ispezione dei Messaggi: Il monitoraggio dei canali di esecuzione, memoria e strumenti è critico; il monitoraggio basato solo sui messaggi non riesce a catturare i segnali di propagazione in sistemi con memoria persistente o accesso agli strumenti.
• Interpretabilità: Le capacità di attribuzione forniscono una decomposizione condizionata alla traccia del guasto, supportando l'audit di sicurezza e l'analisi delle dinamiche di coordinamento degli agenti.

Il lavoro conclude che il monitoraggio causale strutturale offre una base scalabile per la sicurezza e l'audit in ecosistemi complessi di agenti LLM, superando i limiti dell'ispezione semantica localizzata.