💻 computer science

From Neural Intent to Cryptographic Authorization: Governing Agentic Workflows

Questo articolo introduce i Neural Cryptographic Services (NCS), un'architettura di sicurezza che protegge gli agenti IA autonomi disaccoppiando la pianificazione neurale dall'esecuzione e imponendo una rigorosa autorizzazione crittografica delle chiamate agli strumenti attraverso un controllore simbolico deterministico, prevenendo così gli attacchi di prompt injection pur mantenendo l'utilità del flusso di lavoro.

Autori originali: Jiasi Weng, Jian Weng, Minrong Chen, Ming Li, Jia-Nan Liu, Zhi Li, Yue Zhang

Pubblicato 2026-07-20

📖 5 min di lettura🧠 Approfondimento

CC BY 4.0

Autori originali: Jiasi Weng, Jian Weng, Minrong Chen, Ming Li, Jia-Nan Liu, Zhi Li, Yue Zhang

Articolo originale sotto licenza CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Questa è una spiegazione generata dall'IA dell'articolo qui sotto. Non è stata scritta né approvata dagli autori. Per precisione tecnica, consulta l'articolo originale. Leggi il disclaimer completo

Immaginate un mondo in cui il vostro computer non si limita a seguire una rigida lista di comandi scritti da un essere umano, ma agisce invece come un assistente brillante e loquace capace di capire da solo come fare le cose. Questa è l'era degli "agenti IA". Pensateli come dei tirocinanti digitali che possono leggere email, controllare conti bancari e inviare documenti, tutto comprendendo le vostre richieste in linguaggio naturale. Ma ecco il problema: questi tirocinanti sono incredibilmente intelligenti ma anche incredibilmente suggestionabili. Se gli sussurrate un'istruzione segreta, o se un estraneo subdolo nasconde un appunto all'interno di un documento che stanno leggendo, il tirocinante potrebbe improvvisamente decidere di ignorare la vostra richiesta originale e fare qualcosa di pericoloso, come inviare tutti i vostri soldi a uno sconosciuto. Questo è un problema perché, in passato, i computer erano come robot rigidi che facevano esattamente ciò per cui erano stati programmati. Ora, sono come artisti creativi che possono essere raggirati nel dipingere sopra la propria opera.

Per capire il pericolo, dobbiamo guardare a due diversi modi in cui i computer "pensano". Il primo è Neurale, che è il modo in cui funziona l'IA: è come una vasta, sfumata rete di connessioni che indovina la risposta migliore basandosi su schemi. È bravissima a comprendere il linguaggio, ma può essere un po' instabile e soggetta ad allucinazioni. Il secondo è Simbolico, che è il modo in cui funziona la sicurezza tradizionale: è come un libro di regole rigido e infrangibile o un'equazione matematica dove $2+2$ fa sempre $4$, e non c'è spazio per il "forse". La grande domanda che gli scienziati si pongono è: come possiamo permettere ai nostri agenti IA di essere creativi e utili senza lasciare che vengano raggirati nel violare le regole? Abbiamo bisogno di un modo per lasciare che l'IA sogni il piano, ma che abbia un guardiano severo e immutabile che controlli ogni singolo passaggio prima che questo avvenga effettivamente.

Questo è esattamente ciò che i ricercatori dietro il documento "From Neural Intent to Cryptographic Authorization" stanno risolvendo. Hanno costruito un nuovo sistema di sicurezza chiamato Neural Cryptographic Services (NCS). Immaginate di spedire un pacco molto importante a una banca. Nei vecchi tempi, avreste potuto semplicemente fidarvi del corriere (l'IA) affinché seguisse le istruzioni sulla scatola. Ma cosa succederebbe se qualcuno scrivesse "Consegna il pacco al ladro" sul lato della scatola mentre il corriere non guardava? Il corriere potrebbe leggerlo e obbedire. L'NCS cambia le regole del gioco applicando un lucchetto matematicamente certificato alle istruzioni.

Ecco come funziona nel mondo reale descritto dal documento: l'agente IA (il "Neural Planner") è autorizzato a leggere la vostra richiesta e a scrivere una bozza di ciò che pensa di dover fare. È come uno studente che scrive un compito per casa. Ma questo studente non ha il potere di consegnare effettivamente il lavoro o di spendere denaro. Quel potere appartiene a un personaggio diverso: il Symbolic Controller. Questo controllore è come un robot guardia che non si cura delle idee creative dello studente; si preoccupa solo di una lista di controllo speciale, pre-approvata e firmata criptograficamente.

Il processo è un po' come una cassaforte ad alta sicurezza. Prima che l'agente IA possa fare qualsiasi cosa, l'umano responsabile firma una "scheda di lavoro" (una lista di passaggi) con una chiave digitale speciale. Questa scheda viene poi trasformata in una catena di blocchi, dove ogni blocco è matematicamente incollato al successivo. Quando l'agente IA vuole eseguire un passaggio, il Symbolic Controller controlla la catena. Verifica che il passaggio corrisponda esattamente alla lista di controllo firmata. Se l'agente IA prova a dire: "Ehi, mandiamo $5.000 al mio amico invece dei $50 previsti", la guardia controlla la matematica, vede che i numeri non corrispondono alla catena firmata e chiude immediatamente la porta. L'agente non può ingannare la guardia perché la guardia non ascolta le parole dell'agente; ascolta solo la matematica infrangibile della firma.

Il documento dimostra che questo sistema è incredibilmente efficace. Nei loro test, hanno cercato di ingannare gli agenti IA con ogni tipo di trucco subdolo, come nascondere istruzioni malevole dentro dati dall'aspetto normale o cercare di sostituire numeri in un bonifico bancario. Senza questo nuovo sistema, gli agenti IA venivano ingannati quasi ogni volta, con tassi di successo per gli attaccanti che raggiungevano il 100% in alcuni casi. Ma quando hanno aggiunto l'NCS, il tasso di successo degli attaccanti è sceso quasi a zero. Gli agenti erano ancora in grado di svolgere i loro compiti nei giorni normali (mantenendo alta la loro "utilità"), ma sono diventati completamente immuni al dirottamento.

I ricercatori hanno anche scoperto che questo sistema è sorprendentemente veloce. I controlli matematici che eseguono richiedono meno di un millisecondo — così velocemente che è quasi invisibile rispetto al tempo che l'IA impiega per pensare. Ciò significa che non dobbiamo sacrificare la velocità per la sicurezza. Il documento sostiene che non dovremmo solo sperare che l'IA "capisca" che non deve fare cose cattive; abbiamo bisogno di un sistema in cui l'IA possa proporre idee, ma un lucchetto crittografico assicuri che avvengano solo i passaggi approvati e firmati. È un modo per dare all'IA la libertà di essere intelligente, mantenendo però un guinzaglio stretto e infrangibile su ciò che può effettivamente fare.

Sintesi Tecnica: Neural Cryptographic Services (NCS)

Problematica

La rapida adozione di workflow agentici basati su IA sta trasformando i sistemi enterprise e governativi da pipeline statiche basate su regole in infrastrutture dinamiche e autonome. Sebbene ciò aumenti l'efficienza operativa, rompe fondamentalmente le assunzioni di sicurezza dell'esecuzione deterministica. I servizi crittografici tradizionali (ad es., HSM, KMS) agiscono come motori di esecuzione passivi che autenticano chi sta agendo, ma rimangono agnostici rispetto a quali specifici passaggi del workflow siano autorizzati durante il runtime.

Questa lacuna crea una vulnerabilità critica: un agente autenticato può essere dirottato tramite prompt injection diretta o indiretta. Un avversario può iniettare istruzioni malevole in dati non attendibili o output di strumenti, causando l'esecuzione da parte dell'agente di azioni che soddisfano i controlli di identità ma violano l'intento dell'utente (ad es., l'invio di dati sensibili a un attaccante). Le misure di sicurezza convenzionali falliscono in questo caso perché il controllo dell'identità crittografica passa, e i permessi appaiono legittimi, eppure l'intento sottostante è stato sovvertito. La sfida centrale consiste nel riconciliare la natura probabilistica del ragionamento dei Large Language Models (LLM) con l'esattezza deterministica richiesta per le operazioni crittografiche e il controllo dei privilegi.

Metodologia: Neural Cryptographic Services (NCS)

Gli autori propongono i Neural Cryptographic Services (NCS), un piano di governance della sicurezza attivo durante il runtime, basato su un design Neural-Symbolic. NCS si interpone tra gli agenti LLM non attendibili e gli strumenti privilegiati, dividendo l'autorità tra la generazione neurale probabilistica e l'esecuzione simbolica deterministica.

Architettura Core

NCS comprende cinque moduli:

Neural Planner: Un componente non attendibile che analizza le istruzioni in linguaggio naturale e redige piani di esecuzione strutturati. Detiene zero autorità di esecuzione e non può attivare direttamente strumenti privilegiati.
Symbolic Controller: Il nucleo di autorità deterministica. Valida le bozze del planner rispetto a policy statiche, pianifica l'esecuzione ordinata per dipendenze e orchestra il workflow.
Crypto Execution Engine: Interpreta gli opcode di una Rappresentazione Intermedia (IR) agnostica rispetto all'algoritmo e li smista a backend crittografici pluggable (ad es., Ed25519, SHA-256).
Verifier: Impone un gate fail-closed. Garantisce che gli argomenti della chiamata allo strumento proposti dall'agente corrispondano esattamente al payload di istruzioni attualmente rilasciato e verificato crittograficamente prima che avvengano qualsiasi effetto collaterale.
Runtime State Management: Mantiene il contesto di sessione autorevole, inclusi program counter, trascrizioni di verifica e log di audit.

Autenticazione delle Istruzioni Stateful in Due Fasi

NCS impone l'autenticità delle istruzioni e l'integrità dell'esecuzione attraverso uno stream di istruzioni stateful e hash-chained:

Fase A (Autorizzazione del Worksheet): L'utente firma solo la testata dello stream (metadati contenenti l'hash del primo blocco e la lunghezza totale dello stream). Il Symbolic Controller verifica questa firma per stabilire l'autorizzazione a livello di worksheet. Nessun blocco di payload viene rilasciato in questa fase.
Fase B (Esecuzione Incrementale): Il sistema elabora lo stream di istruzioni blocco per blocco.
1. Verifica: Il Crypto Execution Engine verifica la continuità della catena di hash ( $H(B'_i) = A_{i-1}$ ) e l'ancora della testata dello stream.
2. Rilascio: Dopo la verifica riuscita, il blocco di istruzioni in chiaro ( $B_i$ ) viene rilasciato come unico payload attivo.
3. Binding: Il Neural Planner compila una bozza di piano di esecuzione basata su $B_i$ . Il Verifier vincola strettamente gli argomenti degli strumenti proposti dall'agente al payload rilasciato $B_i$ .
4. Dispatch: Le azioni vengono eseguite solo se la proposta dell'agente corrisponde esattamente al payload rilasciato. Qualsiasi mismatch o chiamata fuori ordine viene rifiutata immediatamente.

Questo design garantisce che anche se un LLM viene dirottato per proporre un'azione malevola, l'azione non può procedere a meno che non corrisponda allo stream di istruzioni firmato crittograficamente e concatenato tramite hash.

Contributi Chiave

Separazione Rigida dell'Autorità: Il documento formalizza una separazione in cui i componenti neurali interpretano l'intento e redigono piani, mentre i componenti simbolici deterministici autenticano, pianificano, verificano ed eseguono. Nessun output neurale può attivare l'accesso alle chiavi o il dispatch di strumenti privilegiati senza passare attraverso i gate simbolici.
Autenticazione delle Istruzioni Stateful: Un approccio innovativo in cui l'utente firma solo l'header del worksheet, mentre i blocchi concatenati tramite hash vincolano l'ordine dei passaggi e i parametri. La Fase B impone l'uguaglianza esatta tra le chiamate agli strumenti dell'agente e il blocco di istruzioni rilasciato.
Prototipo Backward-Compatible: Gli autori hanno implementato un prototipo che interfaccia con backend standard di tipo PKCS#11.
Valutazione Empirica: NCS è stato valutato su AgentDojo, un benchmark personalizzato di Argument-Hijacking (InjecAgent-ArgHijack), e sul dataset OpenPromptInjection.

Risultati

La valutazione dimostra che NCS mitiga efficacemente i rischi di sicurezza mantenendo l'utilità:

Attack Success Rate (ASR): NCS riduce il tasso di successo degli attacchi per l'esecuzione di strumenti non autorizzati a quasi zero (0.0% sulla maggior parte dei modelli e degli strumenti) sotto prompt injection dirette e indirette, nonché attacchi di argument hijacking.
Argument Hijacking: Nel benchmark personalizzato, i modelli di base hanno mostrato un'alta vulnerabilità (ad es., 100% ASR su GPT-4o-mini). NCS-Full ha ridotto l'ASR allo 0.0% in tutti i modelli e gli strumenti di controllo testati (BankManagerPayBill, TransferFunds, ecc.).
Preservazione dell'Utilità: NCS preserva l' "Utilità Parziale" ( $U^\partial$ ), permettendo ai passaggi benigni di completarsi anche sotto attacco. Ad esempio, su DeepSeek-Chat, $U^\partial$ ha raggiunto il 94.4% con NCS-Full.
Overhead: L'overhead crittografico è trascurabile. La verifica dell'intero stream (firma + catena di hash) richiede circa 1.2 ms (p50), ordini di grandezza inferiori a un singolo turno di inferenza LLM.
Confronto con i Baseline: A differenza delle difese statistiche (ad es., FATH, Spotlighting) che scambiano l'utilità con la sicurezza o rimangono vulnerabili alla coercizione della conformità del formato, NCS fornisce garanzie deterministiche senza sacrificare significativamente i tassi di completamento dei task benigni.

Significato e Claim

Il documento sostiene che NCS ridefinisce la sicurezza degli agenti passando dalla domanda "l'intento del modello è conforme?" alla domanda "il dispatch proposto corrisponde a un passaggio autorizzato crittograficamente?".

Governance Attiva: NCS evolve i servizi crittografici da motori di esecuzione passivi in piani di governance attiva durante il runtime che governano quando e sotto quali condizioni vengono rilasciate le operazioni sensibili.
Garanzie Deterministiche: Ancorando l'esecuzione a stream di istruzioni firmati offline e concatenati tramite hash, NCS fornisce una sicurezza deterministica e fail-closed, robusta contro la natura probabilistica del ragionamento degli LLM e la prompt injection avversaria.
Complementarità: Gli autori sottolineano che NCS è complementare, piuttosto che un sostituto, agli esistenti framework di Information Flow Control (IFC) e controllo dei privilegi. Mentre l'IFC vincola i confini generali del flusso di dati, NCS impone l'integrità dei parametri del controllo dei passi e della firma crittografica.
Limitazioni: L'implementazione attuale si concentra sulla verifica della firma e sull'hashing; il supporto per la crittografia o le firme threshold è indicato come lavoro futuro. Inoltre, NCS non filtra la fuga di output in linguaggio naturale (ad es., generazione di testo) se questo non comporta una chiamata a un tool di controllo, una limitazione visibile in specifiche classi di attacco su modelli di base più deboli.

In sintesi, NCS offre una via pratica per mettere in sicurezza i workflow agentici, disaccoppiando l'interpretazione dell'intento dall'autorità di esecuzione, garantendo che anche se il ragionamento di un agente viene dirottato, l'esecuzione rimanga vincolata a passaggi autorizzati e verificati crittograficamente.