Capability Gates Are Not Authorization: Confused-Deputy Failures in LLM Agent Frameworks

Sintesi Tecnica: I Capability Gate non sono Autorizzazione

Enunciato del Problema
Il documento identifica una lacuna di sicurezza critica negli attuali framework di agenti basati su Large Language Model (LLM): la confusione tra capability gating (limitazione delle capacità) e autorizzazione per singola chiamata (per-call authorization). Mentre i framework come LangChain, LlamaIndex e lo Stripe Agent Toolkit riescono a restringere l'accesso dell'agente a quali strumenti può utilizzare (capability gating), essi falliscono di default nel validare se una specifica chiamata a uno strumento con specifici valori di argomenti sia autorizzata prima dell'esecuzione.

Ciò crea una vulnerabilità di tipo confused-deputy (delegato confuso). In questo schema, un componente privilegiato (il runtime dell'agente) viene indotto da un input controllato dall'attaccante (tramite prompt injection indiretta) a misuse della propria autorità. Se il runtime accetta una chiamata a uno strumento emessa dal modello basandosi esclusivamente sull'esistenza dello strumento e sulla validità dello schema — senza controllare i valori concreti degli argomenti (ad es. account=acct_ATTACKER_999) rispetto a una policy esterna (out-of-band) — il modello non fidato fornisce effettivamente sia l'azione che il fatto dell'autorizzazione. Il documento sostiene che i modelli di livello "deployment-tier" (ottimizzati per i costi) sono significativamente più inclini a emettere queste chiamate non autorizzate (tasso medio di Tentativi di Azione Non Autorizzata, ASR, di 0,603) rispetto ai modelli flagship (0,189), esacerbando il rischio.

Metodologia
Gli autori hanno impiegato una metodologia a tre pilini:

1. Audit Cross-Framework: Un'analisi statica di commit pubblici vincolati (pinned) di LangChain/LangGraph, LlamaIndex e Stripe Agent Toolkit. L'audit ha cercato specificamente un controllo di autorizzazione deterministico e "fail-closed" (chiusura sicura in caso di errore) su valori di argomenti concreti dopo l'emissione del modello ma prima dell'esecuzione degli effetti collaterali.
2. Misurazione delle Minacce: Un benchmark complementare che misura l'ASR di 27 modelli (inclusi varianti deployment-tier e flagship) sotto scenari di prompt injection allineati al compito. L'harness ha utilizzato fixture sandbox, sink non routabili e canary deterministici per misurare il tasso di tentativi di chiamate a strumenti non autorizzati senza eseguire reali effetti collaterali.
3. Valutazione del Controllo: La progettazione e il test di SCOPEGATE, un controllo PDP/PEP (Policy Decision Point/Policy Enforcement Point). Gli autori hanno valutato SCOPEGATE contro:
   • Un Proof of Concept (PoC) riproducibile utilizzando LangChain e LlamaIndex per dimostrare il gap di default.
   • Una suite di bypass statici di 48 vettori avversari (inclusi spazi bianchi, homoglyph, confusione di tipo e iniezione di NaN).
   • Una simulazione di attaccante adattivo (40 iterazioni) utilizzando un modello GLM-5.2.
   • Test di controllo benigni per misurare i tassi di falso rifiuto.
   • Una vignette di contenimento specifica utilizzando il modello sovrano Latam-GPT.

Contributi Chiave

• Misurazione delle Minacce: Il documento fornisce prove empiriche che i modelli deployment-tier tentano azioni non autorizzate circa 3,2 volte più spesso dei modelli flagship sotto l'inquadramento di prompt injection allineata al compito.
• Audit dei Framework: Stabilisce che i principali framework agentici distribuiscono capability gating ma mancano di un'autorizzazione predefinita, deterministica e fail-closed per i valori degli argomenti; ciò lascia la decisione di autorizzazione all'integratore piuttosto che al framework.
• Controllo SCOPEGATE: Gli autori introducono SCOPEGATE, un PDP/PEP a cinque stadi che impone:
  1. Scope (Ambito): Nega strumenti non elencati.
  2. Authorization (Autorizzazione): Nega argomenti non presenti in allowlist verificate (ad es. specifici ID di account).
  3. Money Ceiling (Limite di Spesa): Nega numeri non finiti, NaN o importi che superano un tetto massimo per gli strumenti di pagamento.
  • Idempotency (Idempotenza): Nega chiamate con effetti collaterali prive di una chiave di idempotenza affidabile.
  4. Default Deny (Rifiuto di Default): Tutti gli errori o le mancanze di policy risultano in un diniego.
• Riproducibilità: Il documento fornisce un artefatto completo (scopegate-runtime) che consente ad altri di riprodurre il gap del framework e la mitigazione SCOPEGATE.

Risultati

• Risultati dell'Audit: Tutti e tre i framework esaminati (LangChain, LlamaIndex, Stripe Agent Toolkit) sono risultati privi di un gate di autorizzazione fail-closed predefinito per i valori degli argomenti forniti dal modello.
• Esecuzione del PoC: Nel PoC LangChain/LlamaIndex, la richiesta di un modello compromesso di aggiornare un account di pagamento a un ID controllato dall'attaccante è stata eseguita dal dispatch predefinito del framework. Quando instradata attraverso SCOPEGATE, la stessa richiesta è stata negata nella fase di autorizzazione.
• Resistenza al Bypass: SCOPEGATE ha negato con successo 48/48 vettori avversari statici e 29/29 tenti non autorizzati in una corsa adattiva di 40 iterazioni.
• Controlli Benigni: Il sistema ha riportato 0/10 falsi rifiuti per chiamate benigne e autorizzate su modelli di function-calling nativi.
• Contenimento: Nella vignette di pagamento Latam-GPT, il modello ha tentato pagamenti non autorizzati in 10/10 trial; SCOPEGATE ha negato tutti i 10 tentativi nella fase di autorizzazione.

Significatività e Rivendicazioni
Il documento rivendica modestamente l'identificazione di un particolare "gap di default" nelle attuali architetture di agenti, piuttosto che la scoperta di nuove tecniche di prompt injection o l'affermazione di aver risolto interamente il problema dell'iniezione.

• Non una Cura: Gli autori dichiarano esplicitamente che SCOPEGATE non previene la prompt injection, non rileva il poisoning dei pesi del modello e non garantisce output sicuri in linguaggio naturale. È un meccanismo di contenimento che limita le conseguenze di un modello compromesso.
• Distinzione Operativa: La significatività principale è la distinzione operativa tra "esporre uno strumento" e "autorizzare una chiamata". Il documento sostiene che fare affidamento sugli argomenti ben tipizzati del modello come autorità eseguibile sia un difetto di progettazione fondamentale negli attuali standard predefiniti.
• Nessun CVE: Il documento afferma l'assenza di specifici CVE contro i framework esaminati, inquadrando le scoperte come "evidenze di hardening e standard" dove l'integratore è attualmente responsabile della mediazione completa.
• Ambito di Inferenza: Le scoperte riguardanti il rischio dei modelli deployment-tier si basano su una scansione misurata di modelli ottimizzati per i costi adatti a traffico ad alto volume, non su una rivendicazione riguardante flotte di produzione di specifici vendor.

In conclusione, il documento sostiene che affinché gli agenti LLM possano essere distribuiti in sicurezza con strumenti che producono effetti collaterali, i framework devono andare oltre il capability gating per implementare controlli di autorizzazione deterministici, fail-closed e per singola chiamata rispetto a policy esterne. SCOPEGATE funge da implementazione di riferimento per questo confine.