Execution-bound advisory automation for agentic AI: a reproducible AIBOM-driven CSAF-VEX framework

Sintesi Tecnica: Automazione degli Avvisi Vincolata all'Esecuzione per l'IA Agente

Definizione del Problema
La sicurezza della supply chain del software attuale si affida pesantemente a Software Bill of Materials (SBOM) statici e a framework di correlazione delle vulnerabilità come il Common Security Advisory Framework (CSAF) e il Vulnerability Exploitability eXchange (VEX). Sebbene questi meccanismi migliorino la visibilità delle dipendenze dei componenti, rimangono fondamentalmente statici. Essi enumerano i componenti dichiarati, ma mancano di un collegamento verificabile con gli stati di esecuzione a runtime, i vincoli di policy operativa o le caratteristiche comportamentali dei sistemi in cui i componenti sono distribuiti.

Questa limitazione è critica nel contesto dei sistemi di IA Agente (Agentic AI), che non sono artefatti software monolitici ma ambienti dinamici e multi-agente composti da modelli di fondazione, template di prompt, connettori di strumenti (tool), logica di orchestrazione e dipendenze containerizzate. In questi sistemi, il comportamento è modellato da input contestuali, memoria, comunicazione tra agenti e policy di esecuzione applicate. I flussi di lavoro tradizionali basati su SBOM non riescono a catturare la linea di discendenza del modello, le dipendenze dei prompt o le catene di invocazione degli strumenti. Di conseguenza, le valutazioni di exploitability derivate da inventari statici sovrastimano frequentemente il rischio operativo, generando sforzi di rimedio con un numero elevato di falsi positivi. Sebbene gli emergenti Artificial Intelligence Bills of Materials (AIBOM) estendano la trasparenza anche agli artefatti specifici dell'IA, essi attualmente mancano di un meccanismo riproducibile per vincolare la telemetria a runtime e il contesto di esecuzione alla generazione di avvisi.

Metodologia
Il documento propone un framework guidato da protocollo che trasforma l'automazione degli avvisi sulle vulnerabilità da un processo di enumerazione statica a un flusso di lavoro computazionale consapevole del contesto e vincolato all'esecuzione. La metodologia integra tre livelli coordinati per vincolare gli artefatti SBOM e AIBOM a una cattura deterministica dell'ambiente e a una telemetria strutturata a runtime:

1. Cattura Deterministica dell'Ambiente (Model Context Protocol - MCP): Questo livello cattura gli stati pre-esecuzione, inclusi i digest delle immagini container, gli hash degli artefatti del modello, gli identificatori di commit dei template di prompt, le definizioni degli endpoint degli strumenti e le policy di sicurezza applicate (ad esempio, controlli di egress di rete). Tutti gli artefatti sono sigillati crittograficamente per creare una busta di esecuzione riproducibile.
2. Osservazione e Coordinamento a Runtime (Protocollo Agent2Agent - A2A): Agenti sidecar sicuri o processi avvolti da init raccolgono telemetria strutturata a runtime. Questa include tracce di chiamate di sistema, caricamenti di librerie dinamiche, connessioni di rete in uscita, eventi di invocazione di strumenti ed elevazioni di privilegi. La telemetria è datata, hashata e firmata alla sorgente per garantirne l'integrità senza un'instrumentazione intrusiva.
3. Governance e Tracciabilità (AGNTCY): Questo livello di orchestrazione valida l'identità degli agenti, applica i vincoli di policy e gestisce la firma e la disseminazione degli avvisi CSAF-VEX. Collega gli avvisi a specifici UUID di job e DOI di dataset all'interno di uno strato di trasparenza federato.

Il motore di inferenza dell'exploitability opera su una logica a tre condizioni:

• Presenza: Il componente vulnerabile è dichiarato nell'SBOM/AIBOM?
• Attivazione: Il componente viene effettivamente invocato o è raggiungibile durante l'esecuzione (verificato tramite telemetria)?
• Fattibilità: I vincoli ambientali (ad esempio, policy di rete, restrizioni di privilegi) permettono l'exploit?

Una vulnerabilità è classificata come Interessata (Affected) solo se tutte e tre le condizioni sono soddisfatte. Altrimenti, è classificata come Non Interessata (Not Affected). Il framework genera avvisi CSAF-VEX firmati crittograficamente contenenti hash di evidenza a runtime e riferimenti di provenienza, che vengono poi validati tramite replay deterministico.

Contributi Chiave

• Generazione di Avvisi Vincolata all'Esecuzione: Il documento inquadra la generazione di avvisi come un processo deterministico basato sul comportamento osservato del sistema piuttosto che sulla semplice enumerazione delle dipendenze statiche.
• Integrazione AIBOM: Estende il concetto di SBOM per includere artefatti specifici dell'IA (modelli, prompt, strumenti) e li vincola alla telemetria a runtime, creando una pipeline unificata guidata da AIBOM.
• Riproducibilità tramite Replay Deterministico: Il framework garantisce che gli avvisi CSAF-VEX siano riproducibili in condizioni di esecuzione identiche sigillando le buste di esecuzione e verificando gli output tramite confronto di hash durante i replay di audit.
• Filtraggio Consapevole del Contesto: Integrando la telemetria a runtime e i vincoli di policy, il sistema filtra le vulnerabilità che sono presenti ma non attivabili, riducendo significativamente i falsi positivi.

Risultati
Il framework è stato valutato utilizzando circa 10.000 voci di componenti attraverso carichi di lavoro sintetici di IA Agente (varianti da 50 a 5.000 componenti) e dati reali di container, incorporando l'intelligence sulle minacce da OSV, GitHub Advisory, CISA KEV e FIRST EPSS.

• Metriche di Performance: In condizioni sperimentali controllate, il framework ha raggiunto un F1-score di 0,93 (precisione 0,96, recall 0,92). Ciò rappresenta un miglioramento significativo rispetto al matching statico SBOM–CVE, che ha ottenuto un F1-score di 0,78.
• Riduzione dei Falsi Positivi: L'approccio vincolato all'esecuzione ha ridotto i falsi positivi del 37% - 42% rispetto ai baseline statici, principalmente escludendo vulnerabilità che richiedevano egress di rete, escalation di privilegi o percorsi di esecuzione dinamica che non sono stati osservati durante l'esecuzione.
• Impatto AIBOM: L'integrazione degli artefatti AIBOM ha alterato gli esiti di exploitability nel 31% dei casi di artefatti specifici dell'IA. Nello specifico, il 54% delle istanze di vulnerabilità specifiche dell'IA sono stati riclassificati come non attivabili a causa dell'isolamento di rete o dell'instradamento irraggiungibile dei prompt.
• Riproducibilità: Il replay deterministico delle buste di esecuzione sigillate ha prodotto una coerenza di hash del 100% su 100 cicli di generazione di avvisi, confermando che gli esiti di exploitability sono stabili in condizioni identiche.
• Scalabilità: Il sistema ha dimostrato caratteristiche di elaborazione quasi lineari, gestendo 1.000 voci SBOM in meno di quattro minuti su istanze ottimizzate per il calcolo, con la telemetria a runtime che introduce un overhead medio dell'8,4%.

Significatività e Rivendicazioni
Il documento posiziona questo lavoro come un contributo sistemico e di framework con una validazione empirica strutturata basata su simulazioni, piuttosto che come uno studio di modellazione predittiva puramente basato sui dati. Gli autori sostengono che la loro metodologia affronti una lacuna metodologica critica nella sicurezza della supply chain dell'IA, passando dalla "trasparenza descrittiva" all' "intelligenza di sicurezza operativamente fondata e consapevole del contesto".

La significatività risiede nel dimostrare che l'exploitability nei sistemi di IA Agente non può essere inferita esclusivamente dai grafi di dipendenza statici. Vincolando gli artefatti AIBOM alla telemetria a runtime, il framework trasforma la generazione di CSAF-VEX dalla semplice divulgazione statica alla valutazione dell'exploitability fondata sull'esecuzione. Ciò consente alle organizzazioni di distinguere tra vulnerabilità che sono semplicemente presenti e quelle che sono effettivamente sfruttabili sotto specifici vincoli di policy. Gli autori sottolineano che, sebbene i risultati dimostrino fattibilità e validità interna in condizioni controllate, non rivendicano una generalizzazione predittiva universale su tutte le eterogenee implementazioni reali, riconoscendo i limiti relativi alla parziale osservabilità e all'uso di dati sintetici per i test di scalabilità.