Technische Samenvatting: Wie is Eigenaar van deze Agent? AI-Agenten Terugtraceerbaar Maken naar hun Eigenaren

1. Probleemdefinitie: Agent-toeschrijving

Het artikel identificeert en formaliseert agent-toeschrijving als een kritieke, opkomende beveiligingskloof. Aangezien AI-agenten steeds vaker autonoom worden ingezet om berichten te sturen, websites te bezoeken, API's aan te roepen en scripts uit te voeren, bestaat er momenteel geen betrouwbare technische mechanisme om een schadelijke agent-interactie terug te traceren naar het specifieke operatoraccount dat deze heeft ingezet.

Deze verantwoordelijkheidskloof bestaat over het volledige spectrum van agent-gedrag:

• Onopzettelijke schade: Onschadelijke operators kunnen misconfigureerde agenten inzetten (bijvoorbeeld met defecte stopcondities of te brede doelstellingen) die spam, service-overbelasting of onbedoelde acties veroorzaken.
• Opzettelijke schade: Kwaadaardige operators kunnen agenten bewapenen voor fraude, intimidatie, cyber-inbraak of desinformatie.

In beide gevallen observeren getroffen partijen (slachtoffers) het schadelijke gedrag, en hebben leveranciers (LLM-aanbieders) de sessielogboeken, maar kan geen enkele partij het waargenomen externe gedrag koppelen aan het verantwoordelijke leveranciersaccount. Bestaande rechtsmiddelen falen omdat:

• IP-gebaseerde identificatie inefficiënt is aangezien agenten adressen rouleren en proxies gebruiken.
• Platformniveau-onderzoek alleen tijdelijke oppervlakte-accounts identificeert (bijvoorbeeld nep-persona's), niet het onderliggende leveranciersaccount.
• Gedragsvingerafdrukken de aanwezigheid van een agent detecteren, maar niet kunnen identificeren welk van de miljoenen leveranciersaccounts verantwoordelijk is.
• Juridische procedures een predicate vereisen (het identificeren van de specifieke sessie en het account) voordat ze openbaarmaking kunnen afdwingen, wat momenteel onmogelijk is zonder een technische brug.

De auteurs stellen dat dit probleem vooral hanteerbaar is in de setting van door leveranciers gehoste Groot Taalmodellen (LLM). Zelfs geavanceerde tegenstanders vertrouwen vaak op door leveranciers gehoste modellen (bijvoorbeeld OpenAI, Anthropic of gehoste open-source modellen) voor hun redeneercapaciteiten. Hoewel de operator de runtime en wrappers controleert, gaan de modeloproepen door de leverancier en worden ze gelogd tegen een account.

2. Methodologie: Het Kanaal-gebaseerde Protocol

De auteurs stellen een kanaal-gebaseerd toeschrijvingsprotocol voor dat de kloof overbrugt tussen de observatie van het slachtoffer en de logboeken van de leverancier. Het protocol omvat vijf hoofdpersonen: de Agent, de Operator, de Leverancier, het Slachtoffer en een Autoriteit (bijvoorbeeld politie of een commerciële entiteit).

Kernmechanisme

1. Injectie: Een geautoriseerde Autoriteit ($\mathcal{D}$) injecteert een kanaal in de contentstroom die de Agent ($\mathcal{A}$) waarschijnlijk zal consumeren.
   • Directe interactie: De Autoriteit engageert de agent direct (bijvoorbeeld via chat) en injecteert het kanaal.
   • Passieve interactie: De Autoriteit plaatst kanalen op locaties die de agent naar verwachting zal bezoeken (bijvoorbeeld specifieke webpagina's, bestanden) en instrumenteert deze met haken.
2. Propagatie: De agent verwerkt de content. Als de agent deze content doorstuurt naar zijn door leverancier gehoste LLM, verschijnt het kanaal in de sessielogboeken van de leverancier.
3. Zoeken: De Autoriteit start een toeschrijvingsverzoek bij de Leverancier ($\mathcal{V}$), waarbij het tijdstip van injectie ($\tau$) en de kanaalwaarden worden gespecificeerd.
4. Herstel: De Leverancier zoekt in een smal tijdvenster van actieve sessielogboeken naar de kanalen. Als deze worden gevonden, koppelt de leverancier de sessie aan het verantwoordelijke Operatoraccount ($\mathcal{O}$).

Constructie van Kanalen

Het artikel onderscheidt tussen twee settings, die verschillende kanaaltypes vereisen:

• Niet-adversariële setting: De operator probeert toeschrijving niet te ontlopen.

  • Lexicale kanalen: Eenvoudige, exacte tokenreeksen (bijvoorbeeld willekeurige strings, UUID's of taakgerelateerde identificatoren zoals projectcodes). Deze zijn voldoende omdat de agent inkomende content letterlijk doorgeeft aan het model.

• Adversariële setting: De operator zet een wrapper ($\mathcal{W}$) in om inkomende content te filteren, te parafraseren of te herschrijven om markers te onderdrukken.

  • Nuttige kanalen: Om ontlopen te counteren, introduceren de auteurs kanalen die ononderscheidbaar zijn van legitieme taakcontent. Het verwijderen ervan zou de capaciteit van de agent om zijn taak uit te voeren, verslechteren.
  • Lexicale nuttige kanalen: Taakkritieke identificatoren (bijvoorbeeld bestandsnamen in een directory-lijst, specifieke ID's in een databasequery) die de agent moet behouden om te slagen.
  • Semantische kanalen: Handtekeningen gedefinieerd door betekenis in plaats van oppervlaktevorm (bijvoorbeeld spraakstijlen, structurele patronen, urgentiesignalering of specifieke retorische gewoonten). Deze overleven parafraseren beter dan exacte strings.
  • Multi-kanaal strategie: De Autoriteit steekt een subset ($K$) uit een groot kanaaluniversum ($N$) en injecteert deze. Detectie vereist een drempel ($m$) van matches. Dit creëert een defensie-vriendelijke asymmetrie: de tegenstander moet content agressief filteren om kanalen te verwijderen, wat onvermijdelijk de bruikbaarheid van de agent verslechtert (bijvoorbeeld waardoor hij faalt in een cyberaanval of oplichting), terwijl de verdediger de toeschrijvingskans willekeurig dicht bij 1 kan brengen.

3. Belangrijkste Bijdragen

1. Probleemformalisering: Dit is het eerste werk dat "agent-toeschrijving" identificeert en definieert als een distinct beveiligingsprobleem en het volledige taxonomie van scenario's karakteriseert (onopzettelijk versus opzettelijk, diverse aanvalstargets).
2. Praktisch protocol: Een door leverancier bemiddeld toeschrijvingsprotocol dat werkt zonder universele voorregistratie of continue blootstelling van identiteit. Het vertrouwt op de structurele afhankelijkheid van agenten van door leveranciers gehoste modellen.
3. Robuuste kanaalconstructies:
   • Ontwikkeling van nuttige kanalen (zowel lexicaal als semantisch) die een trade-off creëren voor tegenstanders: het ontlopen van toeschrijving vereist het verslechteren van de agentprestaties.
   • Formalisering van de asymmetrie waarbij de verdediger de toeschrijvingskans kan controleren terwijl de tegenstander een kostenplaatje voor bruikbaarheid betaalt voor ontlopen.
4. Empirische evaluatie: Uitgebreide testen over drie domeinen:
   • Communicatie-agenten: Chat- en foruminteracties.
   • Web-agenten: Inname en scraping van HTML-documenten.
   • Cyber-agenten: Autonome, hulpmiddelen-gebruikende agenten in Capture-The-Flag (CTF)-omgevingen.

4. Experimentele Resultaten

De evaluatie toont aan dat het protocol betrouwbaar, robuust en schaalbaar is.

• Prestaties in niet-adversariële setting:

  • Lexicale kanalen bereiken bijna perfecte detectie (TPR $\approx$ 1,0) met bijna nul vals-positieven (FPR) wanneer content onveranderd wordt doorgegeven.
  • Semantische kanalen bereiken ook hoge detectierates (AUC $\approx$ 0,98–0,99) in chat- en forumsettings.

• Adversariële Robuustheid:

  • Parafrase-aanvallen: Wanneer een wrapper content parafraseert, falen exacte lexicale kanalen (TPR daalt tot $\approx$ 0,20). Echter, semantische kanalen blijven robuust. In chatsettings blijft de TPR boven 0,97, zelfs onder parafraseren, bij gebruik van een multi-kanaal drempel ($m$-van-$k$).
  • Web-agenten: Zichtbare lexicale kanalen (ingebouwd in gerenderde tekst) overleven voorverwerking en parafraseren met rates $>60\%$. Structurele kanalen (verborgen in DOM) zijn kwetsbaarder. Semantische lay-outkanalen bieden een robuust secundair kanaal.
  • Cyber-agenten (CTF): Dit is de sterkste test. Een kanaal-bewuste tegenstander die probeert kanalen uit hulpmiddel-outputs te verwijderen, veroorzaakte een instorting van de oplosrate van de agent van 51% naar 9%. Dit bevestigt de trade-off tussen bruikbaarheid en ontlopen: het onderdrukken van toeschrijvingsbewijs vernietigt de missie van de agent.
  • Toeschrijvingsnauwkeurigheid: In cybersettings bereikte toeschrijving op sessieniveau een TPR $\ge$ 98% met FPR bijna nul, zelfs onder adversariële omstandigheden.

• Schaalbaarheid:

  • Zoeken aan de kant van de leverancier blijkt operationeel praktisch. Door alleen een begrensd tijdvenster van gelijktijdige sessies te doorzoeken en token-niveau matching te gebruiken (gebruikmakend van bestaande getokeniseerde logboeken), schalen de zoekkosten lineair met het aantal actieve sessies, niet met de totale logboekgrootte. Token-niveau zoeken bleek ongeveer 2x sneller dan karakter-niveau matching.

5. Betekenis en Claims

Het artikel claimt het eerste werk te zijn dat agent-toeschrijving definieert en een praktische oplossing presenteert. De betekenis ligt in:

• Herstel van rechtsmiddelen: Het biedt een technische brug die slachtoffers, platformen en autoriteiten in staat stelt verantwoordelijke operators te identificeren, waardoor ingrijpen mogelijk wordt in onschadelijke gevallen en juridische verantwoordelijkheid in kwaadaardige gevallen.
• Haalbaarheid voor leveranciers: Het protocol maakt gebruik van bestaande leveranciersinfrastructuur (logboeken, API-serving) en vereist geen wijzigingen in de runtime-code van de agent of de infrastructuur van de operator.
• Asymmetrie in verdediging: Door kanalen te koppelen aan taakbruikbaarheid, dwingt het protocol tegenstanders in een dilemma waarbij het ontlopen van toeschrijving hun eigen doelen ondermijnt.

De auteurs blijven bescheiden over beperkingen, en merken op dat de evaluatie specifieke model-families en wrapper-configuraties gebruikt, en dat indirecte injectie (voorspellen van agenttrajecten) verdere real-world testen vereist. Echter, zij stellen dat de voorgestelde methode een inzetbare weg biedt naar verantwoordelijkheid voor steeds autonomere AI-agenten.