Riepilogo Tecnico: CAGE (Certified Authorization under Typed-Return Uncertainty)

1. Definizione del Problema

Il documento affronta una vulnerabilità critica nei Agenti LLM (Large Language Model) che utilizzano strumenti (Tool-Using). Sebbene gli harness di deployment per agenti impieghino sempre più gate di autorizzazione a runtime per autorizzare le chiamate ai tool, questi gate valutano tipicamente il ritorno del tool osservato e l'azione proposta in un singolo punto temporale. Essi non tengono conto dell'incertezza di binding residua: la possibilità che il record validato osservato dall'agente ($\tilde{z}$) differisca dal ritorno "correttamente legato" ($z^\star$) a causa di lievi guasti di assemblaggio (ad es., tag di provenienza obsoleti, discrepanze di schema o race condition) e deriva numerica limitata.

Il problema centrale è che un'azione può apparire sicura sotto il record osservato e anche sotto controlli separati per perturbazioni discrete (categoriali) e continue (numeriche), ma può diventare insicura quando queste perturbazioni si verificano congiuntamente. Gli autori definiscono questo fenomeno come attacco al gap congiunto (joint-gap attack). Le difese esistenti, che spesso si concentrano sulla sanificazione del testo non attendibile o sulla valutazione di azioni puntuali, lasciano il confine decisionale non protetto contro queste specifiche incertezze semantiche.

2. Metodologia: CAGE

Gli autori propongono CAGE (Certified Authorization Gate for Execution), un monitor a runtime che sposta l'oggetto dell'autorizzazione dal punto osservato $(\tilde{z}, a)$ a un intorno congiunto $B_{d,\epsilon}(\tilde{z})$. Un'azione $a$ è autorizzata solo se rimane sicura per ogni plausibile ritorno correttamente legato all'interno di questo intorno.

L'Intorno Congiunto

L'intorno è definito da due budget:

• Budget Discreto ($d$): Permette fino a $d$ guasti di binding ammissibili (ad es., uno scambio di provenienza o una confusione di pacchetti di policy).
• Budget Continuo ($\epsilon$): Permette una deriva $\ell_2$ limitata nei campi numerici (ad es., punteggi di rischio, importi) dopo la validazione standard.

Il Teorema della Non-Composizione

Un contributo teorico centrale è la prova che la certificazione separata dei canali non compone.

• Teorema 1: Un predicato di sicurezza può essere sicuro sotto tutte le perturbazioni continue dello stato discreto originale e sicuro sotto tutti gli scambi discreti del valore continuo originale, eppure insicuro sotto una combinazione di scambio discreto e spostamento continuo.
• Implicazione: Le certificazioni marginali (controllare separatamente testo e numeri) sono unsound (non corrette). La difesa deve certificare il prodotto cartesiano delle perturbazioni discrete e continue.

L'Algoritmo CAGE

CAGE opera tramite l'enumerazione esatta dell'intorno discreto seguita da una certificazione sonora del ramo continuo:

1. Enumerazione: Calcola l'insieme finito degli intorni discreti $N_d(s) = \{s' : D_{disc}(s, s') \le d\}$.
2. Certificazione dei Rami: Per ogni vicino discreto $s'$, certifica che l'azione sia sicura per tutte le perturbazioni continue $x'$ all'interno della palla $\epsilon$.
3. Decisione: Permette l'azione solo se ogni ramo supera il proprio test di certificazione continua.

La Scala delle Assunzioni (Backend)

CAGE supporta diversi backend a seconda della natura della policy (eseguibile vs appresa):

• CAGE-Exact (Rung 1): Utilizzato quando la policy è un predicato eseguibile (ad es., vincoli affini in Rego o tabelle decisionali). Esegue la verifica matematica esatta dei vincoli sull' $\epsilon$-ball. Questo è policy-certified.
• CAGE-Lip (Rung 2): Utilizzato per gate appresi (policy implicite). Impiega un'architettura di rete neurale 1-Lipschitz. Certifica la decisione del gate basandosi sul margine Lipschitz ($h_\theta > L_{cert}\epsilon$). Questo è gate-certified e suono sotto un'assunzione misurata di fedeltà del gate-policy.
• CAGE-RS (Rung 3): Utilizzato per gate black-box. Applica il Randomized Smoothing per fornire garanzie probabilistiche sull' $\epsilon$-ball. Anche questo è gate-certified.

3. Contributi Chiave

1. Formalizzazione dell'Autorizzazione Robusta: Il documento formalizza l'autorizzazione post-ritorno del tool come una decisione sotto incertezza semantica limitata, provando che la sicurezza dipendente dal ritorno richiede l'ispezione del ritorno realizzato (Proposizione 1).
2. Prova di Non-Composizione: Gli autori dimostrano che le certificazioni marginali per i canali categorici e numerici non implicano la sicurezza sul loro prodotto congiunto, identificando l'esistenza di "witness del gap congiunto" (Theorem 1).
3. Monitor Certificato con Scala di Assunzioni: CAGE fornisce un framework unificato che enumera lo spazio discreto esattamente e certifica lo spazio continuo utilizzando diversi backend (Exact, Lipschitz, Smoothing), garantendo un livello minimo di soundness anche per i gate appresi.
4. Caso di Sicurezza Misurato: Il lavoro fornisce un caso di sicurezza rigoroso calibrato su guasti iniettati, dimostrando che CAGE elimina i "false allow" entro il budget mantenendo un'utilizzabile autonomia.

4. Risultati Sperimentali

La valutazione spazia in setting sintetici, policy-as-code (Open Policy Agent, GoRules), framework normativi (PSD2/AML) e dati reali di transazioni (IEEE-CIS).

• Esistenza di Witness del Gap Congiunto: Lo studio conferma che i witness del gap congiunto esistono in ogni setting, occorrendo con frequenze naturali del 3,5% - 12%.
• Soundness: In tutti i setting, CAGE raggiunge un tasso di Certified False Allow (CFA) pari a 0. Al contrario, i gate puntuali e i baseline di composizione marginale ammettono questi witness insicuri ad alti tassi (spesso il 100% del set di witness).
• Autonomia: Nonostante i rigorosi vincoli di sicurezza, CAGE mantiene una significativa autonomia:
  • CAGE-Exact autorizza autonomamente il 22–34% delle decisioni robuste-sicure nelle impostazioni policy-as-code e il 57% nel traffico naturale.
  • I backend appresi (Lip/RS) mantengono il 6,5–37% di autonomia a seconda della severità del punto operativo.
• Validazione End-to-End: Nei test di sistema live (Kubernetes, percorsi di scrittura MCP, motori AML), CAGE ha bloccato con successo effetti collaterali insicuri (ad es., deployment non autorizzati, scritture oltre la quota) che erano stati ammessi da agenti non protetti o protetti da gate puntuali.
• Attacchi Adattivi: CAGE rimane sound contro avversari adattivi che conoscono la policy e il budget, mentre i gate puntuali appresi soffrono di alti tassi di false-allow (fino al 98% in alcuni attacchi sintetici).

5. Significato e Rivendicazioni

Il documento afferma che CAGE fornisce un meccanismo di autorizzazione calibrato per decisioni dove la sicurezza dipende da ritorni tipizzati incerti. La sua importanza risiede nel:

• Chiusura del Gap Logico: È il primo sistema che certifica formalmente l'intorno congiunto dei ritorni tipizzati, affrontando una vulnerabilità che le difese puntuali e marginali trascurano.
• Implementabilità Pratica: Offrendo una "scala di assunzioni", colma il divario tra le policy eseguibili teoricamente perfette e i pratici gate appresi, fornendo garanzie formali anche per questi ultimi sotto esplicite condizioni di fedeltà.
• Realismo Operativo: Il lavoro separa esplicitamente la garanzia formale dalle precondizioni operative (ad es., freschezza dei dati, integrità del costruttore). Quantifica il "rischio residuo" quando queste precondizioni falliscono (ad es., se la stanchezza dei dati supera il budget dichiarato), invece di rivendicare un'immunità assoluta.

Gli autori sono modesti riguardo alle rivendicazioni di validità esterna: dimostrano l'esistenza, la realizzabilità e il meccanismo degli attacchi al gap congiunto nelle pipeline di tipo deployato, ma non pretendono di aver misurato la prevalenza di questi specifici guasti in tutti i sistemi agentici del mondo reale. Concludono che CAGE è un controllo runtime necessario ovunque l'incertezza del ritorno tipizzato possa essere misurata ed eseguita.