Sintesi Tecnica: Firewall Linguistico: La Geometria come Difesa nei Sistemi Multi-Agente di Routing

Definizione del Problema

L'integrazione rapida dei Large Language Models (LLM) nei sistemi Multi-Agente (MAS) ha reso necessari meccanismi di routing robusti per allocare i compiti ad agenti specializzati. Le attuali architetture di routing allo stato dell'arte si affidano pesantemente ai metadati testuali (ad esempio, descrizioni in linguaggio naturale, documentazione degli strumenti o riassunti del system prompt) per determinare la competenza dell'agente. Questa dipendenza crea una vulnerabilità critica di sicurezza nota come Router Hijacking (dirottamento del router).

In questo modello di minaccia, un avversario può manipolare le decisioni di routing inserendo istruzioni avversarie (prompt injection) o "jailbreak" direttamente nella descrizione testuale di un agente. Poiché i router standard devono ingerire e ragionare su questi testi non verificati per funzionare, attivano involontariamente il payload dell'attacco. Ciò consente agli avversari di indirizzare il router verso agenti malevoli senza compromettere i pesi o l'infrastruttura del router stesso. Inoltre, i router esistenti spesso non riescono a distinguere tra il profilo proiettato di un agente e le sue reali capacità operative, lasciandosi vulnerabili a Sleeper Agents Semantici (agenti che si comportano normalmente finché non vengono attivati da specifici segnali semantici) e Adaptive Embedding Attacks (attacchi di embedding adattivi).

Metodologia: ANTAP

Per affrontare queste vulnerabilità, gli autori introducono ANTAP (Automatic Non-Textual Agent Picker), un'architettura di routing che sostituisce l'interpretazione testuale con la proiezione geometrica. ANTAP opera sulla premessa che il comportamento dell'agente possa essere modellato come operatori lineari all'interno di uno spazio semantico condiviso, disaccoppiando le decisioni di routing dall'interpretazione del testo non verificato.

Meccanismo Core

ANTAP funziona in due fasi distinte:

1. Fase Offline (Costruzione dell'Operatore Comportamentale):

   • Inveve di leggere le descrizioni degli agenti, il sistema valuta gli agenti rispetto a un insieme di benchmark di query fidate ($B$).
   • Le prestazioni vengono codificate in una Matrice delle Prestazioni ($Y$) utilizzando un segnale bipolare: $+1$ per il successo (risposta corretta + nessuna chiamata a strumenti non autorizzata) e $-1$ per il fallimento.
   • Per ogni agente, viene appreso un Operatore Comportamentale ($W$). Si tratta di una trasformazione lineare derivata tramite minimi quadrati con regolarizzazione di Tikhonov, che mappa gli embedding delle query nelle firme di prestazione previste.
   • Crucialmente, questa fase include un "addestramento alla sicurezza implicito". Se un agente sleeper attiva una backdoor durante la calibrazione (ad esempio, effettuando chiamate a strumenti non autorizzate su query triggerate), viene etichettato come $-1$, causando l'encoding di una correlazione negativa con lo spazio sottostante dell'embedding rilevante nel suo operatore appreso.

2. Fase Online (Il Firewall Linguistico):

   • Al momento dell'inferenza, il router non ingera né elabora mai descrizioni testuali.
   • Data una query utente $q$, il sistema calcola il suo embedding $z = E(q)$.
   • Il routing viene eseguito tramite una singola moltiplicazione matrice-vettore: $s = W^* z$, dove $s$ è il vettore di utilità previsto.
   • Viene selezionato l'agente con il punteggio più alto.
   • Poiché la funzione decisionale si basa esclusivamente su operatori numerici fissi ed embedding di query, le istruzioni avversarie incorporate nelle descrizioni degli agenti sono matematicamente inespressibili all'interno della logica di routing.

Contributi Principali

Il documento delinea quattro contributi primari:

1. Formalizzazione della Minaccia: Gli autori formalizzano l'iniezione di prompt basata sui metadati come una distinta superficie di attacco nei MAS, dimostrando che gli avversari possono manipolare decisioni di routing privilegiate senza compromettere l'infrastruttura del router.
2. Routing Non-Testuale: Introducono ANTAP, che rappresenta gli agenti come operatori lineari fissi derivati da valutazioni empiriche, eliminando la necessità di interpretare le descrizioni degli agenti al momento dell'inferenza.
3. Difesa Strutturale (Firewall Linguistico): L'architettura funge da "firewall linguistico" rimuovendo strutturalmente le descrizioni testuali dall'interfaccia di routing, rendendo impossibili da eseguire gli attacchi di prompt injection basati sulla descrizione.
4. Validazione Empirica: Approfondi test di benchmarking contro i baseline basati su descrizione ed embedding dimostrano la capacità di ANTAP di raggiungere un tasso di successo dell'attacco (ASR) vicino allo zero, mantenendo l'accuratezza del routing e riducendo la latenza.

Risultati Sperimentali

Gli autori hanno valutato ANTAP contro i baseline, inclusi AutoGen (router basato sul testo) ed EmbedLLM (router basato su embedding), attraverso molteplici dataset (MMLU, Big-Bench Hard, AgentHarm) e vettori di attacco.

• Iniezione Basata sulla Descrizione: Contro attacchi di prompt injection in cui agenti malevoli utilizzano metadati avversari, ANTAP ha ottenuto un ASR dello 0,2% su MMLU. Al contrario, il baseline AutoGen ha subito un ASR del 75,3%, mentre EmbedLLM ha raggiunto il 5,8%.
• Sleeper Agents (Avvelenamento dei Dati): Per attacchi latenti di backdoor (ad esempio, BadNet, Sleeper, VPI), ANTAP ha mantenuto un ASR compreso tra lo 0,3% e l'1,9%, superando significativamente i baseline che variavano dal 12,2% al 78,8%.
• Attacchi Adattivi: Sotto attacchi adattivi white-box in cui gli avversari ottimizzano i token della query per violare il confine geometrico, ANTAP ha mostrato una straordinaria rigidità. Il suo ASR è rimasto stabile (fluttuando solo di circa 8 punti percentuali rispetto al baseline pulito) indipendentemente dalla lunghezza del trigger, mentre l'ASR di EmbedLLM è aumentato drasticamente con l'aggiunta di minimi trigger.
• Scalabilità e Robustezza: Gli studi di ablazione hanno confermato che le prestazioni di ANTAP sono invarianti rispetto alla verbosità del prompt (system prompt fino a 1.000 token) e alla dimensione del pool di agenti (scalando da 2 a 19 agenti), mentre i baseline hanno subito picchi di latenza e degradazione dell'accuratezza all'aumentare delle finestre di contesto.

Significato e Rivendicazioni

Il paper sostiene che ANTAP rappresenti un cambiamento fondamentale nella sicurezza degli ecosistemi di agenti, spostando la "radice della fiducia" dalle auto-descrizioni non verificate degli agenti a una pipeline di valutazione empirica controllata dalla piattaforma.

• Sicurezza Strutturale: Eliminando l'ingestione di testo al momento dell'inferenza, ANTAP non si limita a mitigare gli attacchi, ma rende certe classi di attacchi (dirottamento basato sulla descrizione) strutturalmente impossibili.
• Riallineamento degli Incentivi: L'approccio scoraggia il "keyword stuffing" e l'ingegneria dei prompt descrittiva, riallineando gli incentivi degli agenti verso le prestazioni empiriche.
• Efficienza: Sostituire l'inferenza complessa di un LLM per il routing con operazioni geometriche a costo fisso riduce drasticamente la latenza (ad esempio, 27ms per ANTAP contro i 428ms di AutoGen nei test baseline).

Gli autori concludono che, sebbene ANTAP assuma un ambiente di calibrazione offline fidato, esso fornisce un passo architettonico promettente verso sistemi multi-agente sicuri, scalabili e affidabili, sfruttando le proprietà geometriche dello spazio semantico come meccanismo di difesa.