Brain-Prompt Injection: A Route-Safety Audit for BCI-LLM Agents

Riepilogo Tecnico: Audit di Brain-Prompt Injection e Route-Safety per Agenti BCI–LLM

1. Definizione del Problema

Il documento affronta una nuova vulnerabilità di sicurezza emergente dall'integrazione di Interfacce Cervello-Computer (BCI) con agenti basati su Large Language Model (LLM) dotati di capacità di utilizzo di strumenti (tool-using). In questa architettura, l'attività neurale decodificata (ad esempio, segnali EEG) funge da canale di autorizzazione affinché un agente esegua strumenti (ad esempio, muovere un cursore, inviare un messaggio). Gli autori identificano una nuova superficie di attacco denominata brain-prompt injection, in cui un avversario manipola il segnale neurale o il contesto circostante per costringere l'agente a eseguire azioni non autorizzate.

Il documento definisce tre modalità di fallimento specifiche che gli attuali meccanismi di sicurezza non riescono ad affrontare congiuntamente:

• C1 (Perturbazione lato segnale): Perturbazioni avversarie alla finestra EEG che alterano il comando decodificato, simili ai tradizionali esempi avversari.
• C2 (Iniezione solo contestuale): Analogamente all'indirect prompt injection negli LLM, dove un attaccante modifica il contesto esterno (ad esempio, documenti recuperati o prompt di sistema) per cambiare la rotta dell'agente. Fondamentalmente, il segnale EEG rimane "pulito", causando il fallimento dei monitor basati esclusivamente sull'EEG nel rilevare l'anomalia.
• C3 (Attacco Dual-Decoder Adattivo): Un attaccante applica una perturbazione condivisa all'input grezzo visto sia da un decoder primario ($f$) che da un decoder di verifica ($f_2$). Ciò soddisfa il predicato di sicurezza dell' "accordo" (entrambi i decoder producono lo stesso target) pur guidando entrambi verso un target scelto dall'attaccante anziché verso l'intento dell'utente.

Il problema centrale è che le attuali affermazioni di sicurezza (ad esempio, "l'accordo tra dual-decoder certifica l'intento") sono matematicamente insufficienti perché non tengono conto della attacked dependence lift (elevazione della dipendenza attaccata)—la probabilità congiunta che entrambi i decoder siano simultaneamente guidati verso lo stesso target malevolo da una perturbazione condivisa.

2. Metodologia e Framework Teorico

Il Contratto di Audit della Sicurezza della Rotta (Route-Safety Audit Contract)
Gli autori propongono un formale Route-Safety Audit Contract per definire le condizioni necessarie per certificare la sicurezza della rotta. Questo contratto consiste in:

• Schema di Log ($L_c$): Un set minimo di variabili che devono essere registrate per ogni caso, inclusi la provenienza del contesto, le decisioni secondarie attaccate, le policy di esecuzione e gli esiti della rotta.
• Gerarchia dei Denominatori ($D_c$): Specifici denominatori statistici (ad esempio, casi fonte-non-target, gerarchie a livello di seed) necessari per calcolare tassi validi.
• Specificazione del Punto Finale ($G_c$): Criteri definiti di superamento/fallimento (pass/fail).

Contributi Teorici

• Teorema della Separazione dello Schema di Audit: Il documento dimostra che senza la registrazione di variabili specifiche (come la provenzione del contesto per C2 o le decisioni secondarie attaccate per C3), due mondi di audit possono apparire identici nei loro log pur avendo valori di verità di sicurezza opposti. Pertanto, le metriche standard (come i tassi di accordo "clean") non sono identificanti per queste classi di attacco.
• Decomposizione della Dipendenza Attaccata C3: Gli autori decompongono il rischio di un attacco C3 in tre termini: la probabilità del target primario ($p_1$), il termine di accordo condizionato attaccato ($P(B|A)$) e il termine della policy di esecuzione ($\alpha$). Dimostrano che le statistiche di accordo "clean" non possono identificare il termine congiunto attaccato ($\Delta_D$), il che significa che un alto accordo "clean" non garantisce la sicurezza sotto attacco.
• Livello di Calibrazione Conforme (Conformal Calibration Layer): Per affrontare il C3, il documento applica la calibrazione split-conformal a un canale di conferma non-oracle (una finestra EEG indipendente decodificata da un modello separato). Ciò stabilisce un limite teorico sul Tasso di Accettazione Falsa (FAR) sotto un modello di minaccia specifico (B-strict) che richiede:
  1. Isolamento dell'Acquisizione: La finestra di conferma è acquisita da una sessione che l'attaccante non può influenzare.
  2. Non-Controllabilità del Canale di Conferma: L'attaccante non può perturbare la finestra di conferma.
     Il documento dimostra tramite un argomento di fattibilità PGD che se l'attaccante può perturbare la finestra di conferma, non esiste un limite uniforme al FAR.

3. Validazione Sperimentale

Gli autori istanziano il contratto di audit su dati di controllo comando sinistra/destra EEGMMI nativi, coinvolgendo 5.400 eventi su 60 soggetti, 10 seed casuali e stub di strumenti innocui (movimenti del cursore).

Risultati Sperimentali Chiave:

• Vulnerabilità C2: L'iniezione solo contestuale instrada l'azione target con un tasso di 1.000 in assenza di provenienza. Quando la provenienza del contesto è imposta, la rotta viene bloccata (0.000), mentre i monitor lato EEG rimangono ciechi all'attacco.
• Vulnerabilità C3: Sotto perturbazioni dell'input grezzo condiviso, l'accordo tra dual-decoder non riesce a prevenire l'instradamento non autorizzato. Il tasso di successo dell'attacco per C3 è 1.000 anche in presenza di accordo e provenienza.
• Efficacia della Conferma: L'introduzione di una finestra di conferma EEG indipendente (proxy non-oracle) riduce significativamente il routing C3.
  • Con un target di Tasso di Accettazione Falsa ($\alpha$) di 0.05, il tasso di routing C3 scende a 0.178 (95% CI [0.153, 0.206]) con una utilità pulita di 0.573.
  • Con $\alpha = 0.01$, il tasso di routing C3 scende a 0.091 (95% CI [0.073, 0.113]) con una utilità pulita di 0.458.
• Necessità dell'Archetipo di Minaccia: Gli esperimenti validano la necessità del modello di minaccia B-strict. Quando l'attaccante è autorizzato a perturbare la finestra di conferma (Archetipi C e C'), il FAR esplode a ~1.000, confermando il limite teorico.
• Pre-processing e Stress Test: Il documento testa la robustezza del bypass dell'accordo contro i vincoli di pre-processing (smoothing, band-limiting, spostamenti temporali). Sebbene i vincoli combinati (smooth + band-limit) riducano i tassi di accordo a 0.156, l'attacco rimane fattibile sotto molti vincoli realistici, e la sensibilità all'allineamento temporale è identificata come un punto fragile.
• Saturazione della Capacità: Gli esperimenti che variano la capacità del modello di conferma (TinyEEGNet vs. EEGNetV4) mostrano che la frontiera FAR/utilità è limitata dal dataset piuttosto che dal modello; aumentare la capacità del modello oltre qualche centinaio di parametri produce rendimenti decrescenti.

4. Contributi Chiave

1. Definizione di Brain-Prompt Injection: Formalizzazione della superficie di attacco in cui i segnali neurali e i contesti LLM interagiscono, identificando specificamente le modalità di fallimento C1, C2 e C3.
2. Contratto di Audit della Sicurezza della Rotta: Un framework teorico che dimostra come le affermazioni di sicurezza richiedano schemi di log e denominatori specifici. Stabilisce che l'accordo "clean" non è un certificato di intento sotto attacchi adattivi.
3. Calibrazione Conforme per BCI: Adattamento della predizione split-conformal ai canali di conferma BCI, fornendo un limite rigoroso e falsificabile sul routing confermato non autorizzato sotto isolamento rigoroso dell'acquisizione.
4. Istanziazione Empirica: Un protocollo di audit completo su dati EEG reali (EEGMMI) che dimostra come:
   • La provenienza blocchi C2.
   • L'accordo da solo fallisca contro C3.
   • La conferma indipendente (con isolamento rigoroso) riduca il rischio C3 ma non lo elimini, creando una misurabile frontiera rischio-utilità.

5. Significato e Affermazioni

Il documento pone il proprio contributo come un protocollo di audit stretto e testabile piuttosto che come una garanzia generale di deployment o una dimostrazione di attacco fisico.

• Affermazioni Modeste: Gli autori dichiarano esplicitamente di non stimare la prevalenza delle BCI distribuite, la fattibilità dell'iniezione fisica o il consenso umano. Gli esperimenti sono audit di autorizzazione offline.
• Significato Centrale: Il contributo primario è la dimostrazione che le affermazioni sulla sicurezza della rotta devono essere specifiche per classe. Un certificato di sicurezza valido per C1 (perturbazione del segnale) è insufficiente per C2 (iniezione di contesto) o C3 (accordo adattivo).
• Implicazione Pratica: Il documento si oppone al trattamento dell'accordo tra dual-decoder come un predicato di sicurezza sufficiente. Al contrario, propone uno stack di sicurezza che includa logging della provenienza, canali di conferma indipendenti (con isolamento rigoroso) e denominatori specifici per classe per falsificare le affermazioni di sicurezza.
• Limitazioni: Il lavoro riconosce che la non-stazionarietà inter-giornaliera, il riposizionamento della cuffia e la deriva dell'impedenza sono assunzioni aperte non coperte dall'attuale dataset. Il "live router bridge" è un controllo di trascrizione, non una validazione di un agente in tempo reale.

In sintamente, il documento fornisce un quadro matematico ed empirico rigoroso che mostra come gli attuali meccanismi di sicurezza BCI-LLM siano ciechi rispetto a specifici vettori di attacco congiunti, e propone uno schema di audit minimo e un livello di calibrazione conforme per rendere questi rischi misurabili e falsificabili.