Riepilogo Tecnico: Operazionalizzazione dell'Autorità Ricostruttiva

Enunciato del Problema

I sistemi di agenti autonomi falliscono frequentemente non a causa di una logica di decisione errata, ma perché eseguono decisioni la cui autorità non è più valida al momento dell'esecuzione. In ambienti dinamici, le condizioni in cui una decisione viene presa (tempo di ammissione) spesso divergono dalle condizioni al momento dell'esecuzione. Gli approcci di validazione precedenti, che trattano l'autorità come una proprietà statica ereditata da uno stato iniziale, non possono prevenire l'esecuzione sotto "autorità obsoleta".

I modelli esistenti di applicazione delle policy (ad es. XACML, OPA) operano tipicamente su uno spazio decisionale binario: Ammettere o Negare. Questi modelli trattano spesso dati mancanti o incerti come un rifiuto predefinito o un rischio accettabile, non riuscendo a distinguere tra autorità invalida (dove le condizioni sono note come false) e autorità non definita (dove le condizioni non possono essere determinate a causa di un'osservabilità incompleta). Questo vuoto strutturale porta i sistemi a eseguire azioni in condizioni di incompletezza epistemica, violando le garanzie di sicurezza.

Metodologia

Questo documento operazionalizza il Modello di Autorità Ricostruttiva (RAM), precedentemente definito teoricamente nel Documento 5, in un protocollo concreto di esecuzione a runtime. La metodologia fondamentale sposta il paradigma dalla "validazione dell'autorità ereditata" alla "costruzione dell'autorità dallo stato corrente".

1. Fondamento Teorico

Il sistema definisce l'autorità $A(t)$ non come un flag statico, ma come una funzione $F$ dello stato osservabile corrente $O(t)$:
$$A(t) = F(O(t))$$
Poiché lo stato reale del sistema $S_r(t)$ non è pienamente osservabile, il sistema deve determinare se l'autorità è costruibile. L'autorità è costruibile solo se:

1. Osservabilità: Tutte le variabili di dipendenza richieste sono osservabili con un'incertezza inferiore a una soglia $\theta_{auth}$.
2. Chiusura: Il grafo delle dipendenze è completamente risolto (nessuna dipendenza a monte è mancante).
3. Coerenza: Non vengono rilevate violazioni di invarianti sulle dipendenze valutate.

2. Lo Stato di Esecuzione Ternario

Il documento introduce un'estensione fondamentale allo spazio degli stati di esecuzione, superando l'ammissione/negazione binaria per adottare un modello a tre stati:

• Esegui: L'autorità è costruibile e valuta a Vero.
• Negai: L'autorità è costruibile ma valuta a Falso (le condizioni sono note come violate).
• Arresta: L'autorità è non valutabile ($A(t) = \bot$). Ciò si verifica quando le condizioni di costruibilità falliscono (ad es. segnali mancanti, alta incertezza o grafi di dipendenza aperti). Crucialmente, Arresta è distinto da Negai; rappresenta una sospensione dell'esecuzione dovuta a incompletezza epistemica, non un rifiuto basato su violazioni note delle policy.

3. Protocollo di Applicazione a Runtime

L'operazionalizzazione è implementata tramite un Ciclo di Applicazione a Runtime che integra tre livelli:

• Acquisizione dello Stato: Raccoglie $O(t)$ senza assumere completezza.
• Motore di Costruzione dell'Autorità: Risolve dinamicamente le dipendenze $D(a)$ richieste per l'azione $a$ in base allo stato corrente. Valuta l'osservabilità e l'incertezza per ogni variabile.
• Cancello di Esecuzione: Applica la decisione ternaria. Se $A(t) = \bot$, il sistema entra in uno stato Arresta.

4. Il Ciclo di Recupero

Per affrontare lo stato Arresta, il documento definisce un Ciclo di Recupero. Invece di trattare Arresta come un fallimento terminale, il sistema:

1. Identifica le variabili irrisolte specifiche che causano l'arresto.
2. Attiva il Livello di Monitoraggio degli Invarianti (IML) per rilevare derive o acquisire segnali mancanti.
3. Arricchisce lo stato (ad es. acquisendo nuovi dati o riducendo la portata dell'azione).
4. Tenta di ricostruire l'autorità.
   L'esecuzione riprende solo quando l'autorità diventa nuovamente costruibile, garantendo la vitalità condizionata.

Contributi Chiave

1. Operazionalizzazione del RAM: Fornisce il primo modello di esecuzione a runtime che impone la ricostruzione dell'autorità al momento dell'azione, anziché affidarsi alla validazione al tempo di ammissione.
2. Lo Stato Arresta: Formalizza un terzo stato di esecuzione per gestire esplicitamente l'autorità non definita, impedendo al sistema di eseguire in condizioni di incertezza o di trattare i dati mancanti come un rifiuto predefinito.
3. Algoritmo di Risoluzione delle Dipendenze: Introduce un algoritmo dinamico in cui le variabili richieste non sono definite staticamente, ma emergono dallo stato a runtime e dalla funzione di costruzione $F$.
4. Integrazione con lo Stack di Governance: Dimostra come il RAM si inserisca nel più ampio Protocollo di Controllo degli Agenti (ACP) e nel Livello di Monitoraggio degli Invarianti (IML), agendo come criterio di autorizzazione al cancello di esecuzione (Fase 3 dell'ACP) rimanendo ortogonale ai livelli di allocazione e governance composizionale.
5. Garanzie Formali:
   • Sicurezza: Dimostrato che nessuna azione viene eseguita a meno che l'autorità non sia sia costruibile che valida (Teoremi 3 e 4).
   • Vitalità Condizionata: Dimostrato che l'esecuzione riprenderà se le variabili mancanti che definiscono l'autorità diventano infine osservabili (Teorema 2).

Risultati e Affermazioni

Il documento non presenta dati sperimentali empirici, ma fornisce un modello operativo formale e prove logiche. I risultati principali sono:

• Garanzia di Sicurezza: Il modello previene strutturalmente l'esecuzione sotto autorità obsoleta o non definita, un modo di fallimento intrinseco nei sistemi che non ricalcolano l'autorità a runtime.
• Gestione della Deriva: Accoppiando il RAM con l'IML, il sistema rileva la deriva comportamentale e invalida l'autorità immediatamente, forzando un arresto prima che l'esecuzione avvenga.
• Tracciabilità: Ogni tentativo di esecuzione genera un artefatto di audit che dettaglia il percorso di risoluzione delle dipendenze, i livelli di incertezza e la ragione specifica per Arresta, Negai o Esegui.

Significato

Il documento afferma di completare la "Serie di Governance degli Agenti" colmando il divario tra le condizioni di governance teoriche e l'applicazione a runtime. Mentre i Documenti 0–4 definiscono la correttezza strutturale della governance e il Documento 5 definisce la natura teorica dell'autorità ricostruttiva, il Documento 6 definisce come l'autorità viene applicata a runtime.

Il significato risiede nel riformulare il controllo dell'esecuzione da un problema di stima e validazione a uno di costruibilità e applicazione. Rifiutandosi di eseguire quando l'autorità non può essere costruita, il sistema dà priorità alla sicurezza rispetto alla disponibilità, assicurando che gli agenti autonomi agiscano solo quando la loro autorità è attivamente e verificabilmente derivata dallo stato corrente del mondo. Questo approccio fornisce le semantica di esecuzione necessarie per applicare l'autorità ricostruttiva in sistemi dinamici del mondo reale.