Sintesi Tecnica: Osservabilità per l'Esecuzione Delegata nei Sistemi di IA Agente

Definizione del Problema

Il documento identifica una lacuna critica nell'osservabilità dei sistemi agentici basati su Large Language Model (LLM): l'esecuzione limitata alla delega non è identificabile tramite gli osservabili standard (audit log e tracce di esecuzione).

Nei sistemi tradizionali, l'esecuzione segue un workflow prescritto. Nei sistemi agentici, l'esecuzione è delegata: un principale emette un contesto di autorizzazione duraturo a un agente, il quale poi seleziona dinamicamente gli strumenti, varia le sequenze di esecuzione, effettua backtrack e genera sub-agenti. Ciò crea un disallineamento strutturale:

1. Ortogonalità tra Autorità e Causalità: L'unità di responsabilità (la delega) è strutturalmente ortogonale all'unità di esecuzione (la traccia causale/span). Una singola delega può abbracciare chiamate a strumenti causalmente disconnesse (retry paralleli, fanout asincroni), mentre azioni causalmente connesse possono avvenire sotto deleghe distinte (ri-delega).
2. Non-Identificabilità: Il documento dimostra che l'appartenenza alla delega non può essere ricostruita dalle tracce di esecuzione e dagli attributi locali degli eventi da soli. Molteplici assegnazioni di delega incompatibili possono produrre una telemetria osservabile (audit log e grafi causali) identica.
3. Limiti degli Strumenti Attuali: I meccanismi esistenti (SIEM, OpenTelemetry, LangSmith) registrano singoli attori o catene causali, ma mancano della semantica per ricostruire "quali azioni sono avvenute sotto una determinata delega" attraverso sistemi eterogenei. Essi si affidano a correlazioni euristiche basate su finestre temporali o ID di sessione, che falliscono in contesti di composizione multi-agente, retry e deleghe sovrapposte.

Metodologia: Il Modello di Informazione Comune (CIM) Agent-Aware

Per affrontare questo problema, gli autori propongono CIM, un substrato di osservabilità leggero e consapevole dell'agente (agent-aware). CIM non è un motore di inferenza dell'intento, ma un modello strutturale che vincola il contesto di delega al momento dell'esecuzione.

Componenti Core

CIM introduce un modello a struttura duale per l'esecuzione delegata:

1. Grafo di Esecuzione ($G_{exec}$): Rappiresenta le relazioni causali (tracce, span, link padre-figlio).
2. Grafo di Autorità ($G_{auth}$): Rappresenta le relazioni di delega (principali, agenti, ri-delega, linea di discendenza).
3. Relazione di Autorizzazione ($R_{auth}$): Vincola esplicitamente gli eventi alle deleghe.

Requisiti Semantici

CIM impone quattro impegni semantici per rendere la ricostruzione limitata alla delega ben definita:

• R1 (Contesto di Delega Persistente): Ogni evento è vincolato a un delegation_id duraturo.
• R2 (Separazione Autorità–Causalità): Le partizioni di autorità non devono coincidere con le tracce; il modello supporta esplicitamente la divergenza.
• R3 (Chiusura della Delega): La ri-delega e la generazione di agenti sono rappresentate con chiusura della linea di discendenza, permettendo query su una delega e tutti i suoi discendenti.
• R4 (Normalizzazione Cross-System): Le azioni e le risorse sono normalizzate in un vocabolario stabile (es. read, write, share, invoke) per consentire query cross-tool senza ispezione del payload.

Implementazione: Il Gateway

Gli autori propongono un gateway leggero come confine di cattura. Questo componente (proxy, sidecar o libreria) intercetta le invocazioni degli strumenti dell'agente per:

• Coniare e Vincolare (Mint and Bind): Associare gli eventi ad autenticati principali ed emettere delegation_id.
• Propagare: Garantire che il contesto di delega viaggi attraverso le catene multi-agente.
• Normalizzare: Mappare le operazioni specifiche degli strumenti al vocabolario di azioni canonico.
• Imporre Invarianti: Assicurare che il delegation_id non sia una stringa libera, ma un vincolo validato, e marcare esplicitamente gli eventi come "non vincolati" se manca il contesto di delega.

Contributi Principali

Il documento apporta tre contributi primari:

1. Formalizzazione della Osservabilità della Delega: Definizione di una proprietà di sistema in cui l'insieme delle azioni sotto una delega può essere ricostruito senza correlazione euristica di finestre temporali, anche in presenza di concorrenza e composizione multi-agente.
2. Dimostrazione della Non-Identificabilità: Dimostrare che i log di audit e il tracing causale da soli sono insufficienti per recuperare l'esecuzione limitata alla delega perché l'autorità delegata è ortogonale al flusso di controllo causale.
3. Introduzione di CIM: Un Modello di Informazione Comune che modella l'esecuzione delegata come strutture duali (grafi di autorità ed esecuzione), consentendo una ricostruzione post-hoc affidabile e query forensi dirette.

Risultati Sperimentali

Gli autori hanno valutato CIM utilizzando due ambienti: un generatore sintetico ad alto volume (100k agenti, 10k utenti) e un micro-deployment con invocazioni di strumenti reali.

Accuratezza della Ricostruzione

• Ambiguità: Sotto i metodi baseline (solo traccia, finestra temporale o ibrido di correlazione), l'ambiguità (il numero di raggruppamenti di delega validi) aumentava drasticamente con la concorrenza. Ad esempio, nei workflow multi-agente, l'ambiguità baseline raggiungeva una mediana di 10.856. CIM ha raggiunto un'ambiguità di 1 per gli eventi coperti per costruzione.
• Recall: I metodi baseline hanno sofferto di un basso recall (p05 fino a 0,03) quando i confini delle tracce non allineavano con i confini delle deleghe. CIM ha raggiunto il 100% di recall per gli eventi coperti.
• Divergenza: Gli esperimenti hanno confermato che la divergenza autorità-causalità è prevalente (es. singole deleghe che abbracciano oltre 35 componenti causali in alcuni workflow), validando la necessità di un modello che tratti autorità e causalità come indipendenti.

Overhead Operativo

• Dimensione dell'Evento: CIM aggiunge circa 247 byte per evento (contesto di delega, linea di discendenza, predicati normalizzati).
• Latenza: L'elaborazione del Gateway aggiunge una latenza trascurabile (mediana 0,01 ms, p95 0,29 ms).
• Sforzo di Query: Il beneficio più significativo è la riduzione del carico di costruzione delle query. Le query baseline richiedono da 6 a 14 operazioni (join, windowing, normalizzazione) per classe. CIM riduce questo a 1–3 predicati diretti su campi stabili. Le prestazioni di runtime delle query sono state comparabili tra CIM e i baseline alla scala testata.

Significato e Rivendicazioni

Il documento sostiene che i sistemi agentici richiedono un'osservabilità consapevole della delega perché l'autorità delegata non può essere ricostruita in modo affidabile a posteriori dai soli trace.

• Responsabilità Strutturale: CIM consente la ricostruzione dei workflow come oggetti strutturati piuttosto che flussi di eventi piatti, permettendo risposte dirette a domande forensi come "Qual è il raggio d'azione (blast radius) della delega $d$?" o "Quali sub-agenti hanno agito sotto questa autorità?".
• Agnostico rispetto all'Intento: Il sistema separa esplicitamente l'attribuzione dall'intento. CIM attribuisce le azioni alla delega sotto la quale sono state eseguite, indipendentemente dal fatto che l'azione fosse intenzionale, il risultato di un prompt injection o di un errore. Ciò rende l'impronta di "accesso/condivisione" verificabile senza dover inferire il ragionamento interno dell'agente o rilevare il prompt injection.
• Complementarità: CIM è presentato come un'infrastruttura che integra gli sforzi di sicurezza e auditing esistenti. Non impedisce l'uso improprio né inferisce l'intento, ma fornisce i dati strutturali necessari per investigare esiti composti, comportamenti emergenti e deriva dell'esecuzione nei sistemi multi-agente.

Gli autori concludono che, senza tale substrato, il problema della "ricostruzione limitata alla delega" rimane strutturalmente sottodeterminato nell'IA agentica, portando a un'analisi forense inaffidabile man mano che questi sistemi scalano.