AgentVisor: Defending LLM Agents Against Prompt Injection via Semantic Virtualization

1. Probleemstelling

Grote Taalmodellen (LLM) worden steeds vaker ingezet om complexe workflows te automatiseren door interactie met externe tools en data. Het integreren van onbetrouwbare externe data (bijvoorbeeld webpagina's, e-mails) met geprivilegieerde uitvoeringsmogelijkheden creëert echter ernstige beveiligingskwetsbaarheden.

De kernbeveiligingsrisico's zijn:

• Directe Prompt Injection: Kwaadwillende gebruikers overschrijven expliciet systeeminstructies om ongeautoriseerde acties af te dwingen.
• Indirecte Prompt Injection: Verborgen kwaadaardige commando's worden ingebed in externe content die door de agent wordt verwerkt, waardoor diens besluitvorming wordt gekaapt zonder medeweten van de gebruiker.

Beperkingen van bestaande verdedigingen:

• Prompt Hardening: Heuristisch en eenvoudig te omzeilen door adversariële instructies.
• Input/Output Filtering: Gevoelig voor ontduiking, hoge rates van vals-positieven en geen garanties over hoe content beslissingen omtrent tool-gebruik beïnvloedt.
• Tool Sandboxing: Vaak te grof, faalt in het bijhouden van informatiestromen in multi-stap workflows en mist gestructureerde herstelroutes zodra een overtreding heeft plaatsgevonden.
• Trade-off: Bestaande methoden worstelen met het vinden van een balans tussen beveiliging (aanvallen blokkeren) en bruikbaarheid (legitieme taken toestaan), wat vaak resulteert in "over-defensie" (alles blokkeren) of "onder-defensie" (subtiele aanvallen missen).

2. Methodologie: AgentVisor

De auteurs stellen AgentVisor voor, een verdedigingskader geïnspireerd door Operating System (OS) Virtualisatie. Het behandelt de doel-LLM-agent als een onbetrouwbare "Guest" en bemiddelt alle tool-aanroepen via een vertrouwde "Semantic Visor" (Hypervisor).

Kernarchitectuur

AgentVisor handhaaft een Trap–Audit–Recover controlelus:

1. Guest (Doel-Agent): Werkt op de volledige taakcontext (inclusief potentieel kwaadaardige externe data) en stelt een tool-aanroep voor ($T_{raw}$).
2. Visor (Semantische Hypervisor): Een vertrouwd component dat het voorstel van de Guest audit. Cruciaal is dat de Visor architectonisch blind is voor ruwe externe context. Het ziet alleen:
   • Vertrouwde systeeminstructies ($I_{sys}$).
   • Gebruikersvraag ($I_u$).
   • Een gesaneerde uitvoeringsgeschiedenis ($\tilde{H}_{t-1}$) die uitsluitend gestructureerde velden bevat (tool-namen, genormaliseerde argumenten, statussamenvattingen), strikt behandeld als data en niet als uitvoerbare code.
3. Besluit: De Visor laat de aanroep toe of injecteert een Semantische Uitzondering om zelfcorrectie te triggeren.

Het STI Audit Protocol

De Visor handhaaft een rigoureus drie-staps verificatieprotocol:

1. Geschiktheid (S): Controleert of de voorgestelde tool is toegestaan onder het systeembeleid en de rol van de agent. Dit fungeert als een grofkorrelige poort tegen directe injectiepogingen om privileges te escaleren.
2. Taint (T): Verifieert of het doel dat wordt geïmpliceerd door de tool-aanroep overeenkomt met de intentie van de gebruiker en legitieme tussenstappen. Het blokkeert acties die nieuwe, ongeautoriseerde doelen introduceren (bijvoorbeeld data-exfiltratie wanneer de gebruiker alleen om een samenvatting vroeg).
3. Integriteit (I): Zorgt ervoor dat tool-argumenten consistent zijn met door de gebruiker gespecificeerde entiteiten en beperkingen. Dit voorkomt subtiele omleidingen (bijvoorbeeld de tool "e-mail verzenden" behouden maar de ontvanger wijzigen naar een aanvaller).

Semantische Uitzonderingsinjectie & Zelfcorrectie

In plaats van een verzoek simpelweg te blokkeren (wat leidt tot taakfalen), maakt AgentVisor gebruik van Semantische Uitzonderingsinjectie.

• Als het STI-protocol faalt, genereert de Visor een gestructureerde uitzondering ($E_t$) met het type overtreding, de onderbouwing, beperkingen en het toegestane doel.
• De Guest ontvangt deze uitzondering en voert een eenmalige zelfcorrectie uit om een veilige tool-aanroep te regenereren.
• Deze aanpak transformeert beveiligingsovertredingen in constructieve feedback, waardoor bruikbaarheid behouden blijft.

3. Belangrijkste Bijdragen

1. AgentVisor Framework: Een nieuw virtualisatie-gebaseerd verdedigingskader dat semantische privilege-scheiding afdwingt, waarbij de agent wordt behandeld als een onbetrouwbare gast en de beveiligingslaag als een vertrouwde hypervisor.
2. STI Protocol: Een gestructureerd semantisch auditmechanisme (Geschiktheid, Taint, Integriteit) dat klassieke OS-beveiligingsprimitieven (Privilege Separation, Policy Enforcement, Exception Handling) aanpast aan het LLM-domein.
3. Eenmalige Zelfcorrectie: Een mechanisme dat audit-falen omzet in herstelbare gebeurtenissen, waardoor agents zich kunnen herstellen van aanvallen zonder de workflow te beëindigen.
4. Empirische Validatie: Uitgebreide experimenten die superieure prestaties tonen ten opzichte van bestaande baselines in zowel directe als indirecte injectiescenario's.

4. Experimentele Resultaten

Het kader werd geëvalueerd op GPT-4o en GLM-4.7 backbones tegen 7 representatieve aanvalsstrategieën over 4.900 directe injectiegevallen en 629 indirecte injectiegevallen.

• Attack Success Rate (ASR): AgentVisor verlaagde de ASR gemiddeld tot 0,65% (0,00% voor directe injectie, <1,7% voor indirecte injectie), wat significant beter presteert dan alle baselines.
• Behoud van Bruikbaarheid:
  • Benign Utility (BU): Hield hoge voltooiingspercentages van taken vast in niet-aanvalsscenario's.
  • Utility under Attack (UA): Bereikte 83,14% (Direct) en 73,21% (Indirect) bruikbaarheid onder aanval, vergeleken met bijna nul bruikbaarheid voor strikte detectie-gebaseerde methoden (bijvoorbeeld DataSentinel) of hoge faalpercentages voor alleen mitigatie-methoden.
• Overhead:
  • Latentie: Introduceerde een gematigde overhead (~1,4x onder normale omstandigheden). Bij een aanval nam de latentie toe door zelfcorrectie (tot 2,32x voor directe injectie), maar deze "pay-for-safety" trade-off werd gerechtvaardigd geacht om kritieke inbraken te voorkomen.
  • Correctierondes: Ablatiestudies toonden aan dat eenmalige correctie (N=1) optimaal is; extra rondes leverden verwaarloosbare winst in bruikbaarheid op (<1,3%) terwijl ze de latentie onevenredig verhoogden.
• Robuustheid:
  • Model Onafhankelijk: Effectief over verschillende LLM-backbones (van lichtgewicht tot frontier-modellen).
  • Adaptieve Aanvallen: Neutraliseerde succesvol recursieve adaptieve aanvallen (bijvoorbeeld "Negeer Beveiligingscontrole") waarbij naïeve verdedigingen faalden, met behoud van 86,85% bruikbaarheid.

5. Betekenis

AgentVisor vertegenwoordigt een paradigma-verschuiving in LLM-agentbeveiliging door te bewegen van heuristisch filteren naar structurele isolatie.

• Gestandaardiseerde Beveiliging: Het biedt een formele beveiligingsarchitectuur gebaseerd op OS-principes (minimale privileges, informatiestroomcontrole) in plaats van ad-hoc prompt engineering.
• Gebalanceerde Verdediging: Het lost succesvol de trade-off tussen beveiliging en bruikbaarheid op, en bewijst dat rigoureuze bescherming niet vereist dat functionaliteit van de agent wordt opgeofferd.
• Schaalbaarheid: Het kader is lichtgewicht genoeg om te worden ingezet met kosteneffectieve modellen (bijvoorbeeld Gemini-2.5-Flash) terwijl hoge beveiligingsstandaarden worden gehandhaafd.

Beperkingen: Het paper erkent computatie-overhead, potentiële schaalbaarheidsproblemen bij extreem lange contextvensters, en de huidige focus op tekstuele in plaats van multimodale (visuele/auditorische) injecties.