Sintesi Tecnica: Il Problema del Quorum Onesto e la Tolleranza ai Guasti Bizantini Epistemici

1. Enunciato del Problema: Il Problema del Quorum Onesto

Il documento identifica un modo di guasto critico nei sistemi distribuiti in cui i validatori "agentici" — partecipanti che utilizzano un ragionamento stocastico, appreso o generativo per compiere giudizi semantici — operano all'interno di un protocollo di consenso deterministico.

Nella BFT (Byzantine Fault Tolerance) classica, il sistema assume che qualsiasi partecipante al di fuori di un insieme limitato di nodi "Bizantini" (arbitrariamente difettosi) sia "onesto", ovvero che implementi correttamente la semantica della transizione o della validazione del protocollo. Il Problema del Quorum Onesto indebolisce questa partizione. Esso ipotizza uno scenario in cui un quorum di validatori è:

• Conforme al protocollo: autentica correttamente, risponde entro i timeout, segue il protocollo di voto e non equivoca (non firma messaggi contrastanti).
• Semanticamente errato: nonostante la conformità al protocollo, essi approvano collettivamente una transizione di stato che viola un invariante a livello di applicazione (ad esempio, concedendo l'accesso alla scrittura non autorizzato).

Questo guasto è definito un guasto epistemico. A differenza dei guasti bizantini tradizionali, i guasti epistemici derivano dalla natura stocastica dei processi di ragionamento dei validatori. Molti validatori conformi al protocollo possono fallire in modo coerente perché condividono dipendenze sottostanti quali la linea di modelli, le distribuzioni di addestramento, i pattern di prompt, le fonti di recupero, le catene di strumenti o l'infrastruttura del provider. Di conseguenza, la diversità nominale dell'identità non garantisce l'indipendenza epistemica.

Il documento stabilisce che l'accordo sul protocollo non implica la validità semantica, e che la validità semantica non implica la sicurezza dell'esecuzione. Un sistema può raggiungere un certificato ben formato per una transizione invalida se la concentrazione di validatori conformi al protocollo che approvano quella specifica classe di invalidità supera la soglia del quorum.

2. Metodologia: Tolleranza ai Guasti Bizantini Epistemici (EBFT)

Per affrontare questo problema, il documento definisce la Tolleranza ai Guasti Bizantini Epistemici (EBFT), un modello di tolleranza ai guasti per i "Sistemi Distribuiti Post-Deterministici" (PDDS) — sistemi in cui la coordinazione deterministica circonda il giudizio semantico stocastico.

Definizioni Core

L'EBFT aumenta il convenzionale limite dei guasti bizantini ($f$) con due quantità indicizzate per confidenza che limitano il comportamento dei validatori conformi al protocollo ($H$):

1. $e_\delta$ (Budget di Sicurezza Semantica): un limite sul peso dell'approvazione errata coerente da parte dei validatori conformi al protocollo al di fuori dell'insieme bizantino. Quantifica il rischio che un numero sufficiente di validatori onesti approvi erroneamente una transizione invalida.
2. $u_\epsilon$ (Budget di Liveness): un limite sul supporto inutilizzabile proveniente dai validatori conformi al protocollo. Questo include rifiuti falsi, astensioni, timeout, output divergenti o fallimenti di canonicalizzazione che impediscono a un candidato valido di formare un certificato.

Questi budget sono definiti su un dominio di carico di lavoro specifico $D$ e sono condizionati dagli eventi $E_\delta$ e $U_\epsilon$, che si verificano con probabilità $1-\delta$ e $1-\epsilon$, rispettivamente.

Derivazione della Soglia

Il documento deriva le condizioni di soglia del certificato ($q$) che separano i requisiti di sicurezza, accordo e liveness:

• Validità del Certificato Semantico: Per impedire che un candidato invalido formi un certificato, la soglia deve soddisfare $q > f + e_\delta$. Ciò assicura che anche se tutti i nodi bizantini ($f$) e il massimo numero consentito di approvazioni errate coerenti ($e_\delta$) votano per una transizione invalida, non possano raggiungere il quorum.
• Accordo: Per prevenire certificati conflittuali, la soglia deve soddisfare $2q - N > f$ (o $q > (N+f)/2$). Fondamentalmente, questa condizione dipende solo dal limite bizantino $f$. Poiché i validatori conformi al protocollo nell'EBFT non equivocano, essi non minacciano l'accordo, anche se sono epistemicamente difettosi.
• Liveness: Per garantire che un candidato valido possa ottenere un certificato, la soglia deve soddisfare $q \le N - f - u_\epsilon$. Ciò assicura che il supporto utilizzabile disponibile dai validatori onesti sia sufficiente a soddisfare la soglia.

Il documento dimostra che un valore intero fattibile per la soglia $q$ esiste solo se la dimensione del sistema $N$ soddisfa specifiche disuguaglianze di popolazione (ad esempio, $N > 2f + e_\delta + u_\epsilon$).

Calibrazione e Diversità

Il documento sottolinea che la "diversità" (diversi modelli, provider o prompt) non è una prova di sicurezza. Inve instead, la diversità è un meccanismo per ridurre la concentrazione della coda superiore degli errori. La metodologia richiede una calibrazione offline per stimare empiricamente $e_\delta$ e $u_\epsilon$ per una specifica configurazione di comitato.

• Profili di Rischio: Durante la calibrazione viene generato un profilo di rischio firmato, che specifica il dominio, il comitato, le soglie e la provenienza (versioni dei modelli, prompt, strumenti).
• Ammissione al Runtime: Al momento dell'esecuzione, il sistema verifica se la richiesta rientra nel dominio calibrato e se il profilo di rischio è valido. Se la richiesta è valida, il sistema distribuisce pacchetti di validazione isolati. Un certificato viene formato solo se il numero di approvazioni soddisfa la soglia $q$ pre-calibrata.
• Ricalibrazione: I profili devono scadere o essere revocati in seguito ad aggiornamenti dei modelli, cambiamenti nel carico di lavoro o rilevamento di nuovi guasti a modalità comune.

3. Contributi Chiave

1. Formalizzazione del Problema del Quorum Onesto: Il documento definisce un modo di guasto in cui i validatori conformi al protocollo e non equivocanti approvano collettivamente una transizione semanticamente invalida a causa di errori epistemici correlati.
2. Definizione di EBFT: Introduce un modello di guasto che separa il comportamento bizantino arbitrario dai budget semantici indicizzati per confidenza ($e_\delta$ e $u_\epsilon$) per i validatori conformi al protocollo.
3. Teoremi di Soglia: Deriva le condizioni necessarie e sufficienti per la validità del certificato semantico, l'accordo e la liveness nei PDDS. In particolare, dimostra che l'accordo dipende esclusivamente dal limite bizantino, mentre la sicurezza e la liveness dipendono dai budget epistemici.
4. Assicurazione Consapevole della Diversità: Inquadra la diversità non come una garanzia di indipendenza, ma come una variabile che deve essere misurata per ridurre la concentrazione della coda superiore delle approvazioni errate. Descrive una metodologia per stimare questi budget tramite calibrazione e test avversari.

4. Risultati e Limiti Teorici

• Risultati di Impossibilità: Il documento dimostra che senza un'ulteriore base semantica (ad esempio, un oracle di validità, un verificatore fidato o un limite di concentrazione calibrato), nessun protocollo basato esclusivamente su segnali di accordo può garantire la validità del certificato semantico. Se la distribuzione degli errori semantici è illimitata, un candidato invalido può soddisfare qualsiasi regola di certificato basata sul conteggio con probabilità pari a uno.
• Pavimento del Guasto a Modalità Comune: Se un sottoinsieme di validatori condivide un guasto a modalità comune latente (ad esempio, pesi del modello identici), la probabilità di un certificato non sicuro è almeno la probabilità di quell'evento a modalità comune, indipendentemente dal numero di validatori.
• Fattibilità della Soglia: Il documento fornisce formule intere esatte per selezionare $q$ in modo che la validità semantica, l'accordo e la liveness siano simultaneamente soddisfatti sotto gli eventi probabilistici definiti. Dimostra che il semplice ripesaggio della formula classica $3f+1$ è insufficiente; il sistema deve esplicitamente tenere conto di $e_\delta$ e $u_\epsilon$.

5. Significato e Rivendicazioni

Il documento posiziona l'EBFT come un quadro teorico per l'infrastruttura agentica, dove agenti autonomi (LLM, sistemi di ragionamento) partecipano a piani di controllo distribuiti. Il suo significato primario risiede nel:

• Decoupling tra Accordo e Semantica: Modella esplicitamente il divario tra "accordo sul protocollo" (decidere lo stesso log entry) e "validità semantica" (l'entry è sicuro/corretto).
• Quantificazione del Rischio Epistemico: Va oltre le affermazioni qualitative sulla "diversità" per arrivare a limiti quantitativi sui guasti semantici correlati.
• Operazionalizzazione della Sicurezza: Propone un processo di ammissione a due fasi (calibrazione offline + ammissione al runtime) che consente ai sistemi di utilizzare validatori stocastici mantenendo rigorose garanzie di sicurezza probabilistiche.

Gli autori dichiarano con modestia che questo lavoro è un "posizionamento" all'interno del programma di ricerca OpenKedge, non una descrizione di un prodotto. Non pretendono di risolvere la correttezza semantica in modo deterministico, quanto piuttosto di fornire un modello di guasto e una teoria delle soglie per sistemi in cui il giudizio semantico è intrinsecamente stocastico. Le garanzie sono condizionate dalla validità della calibrazione, dalla stabilità del dominio di carico di lavoro e dall'accuratezza dei budget stimati.