Brain-Prompt Injection: A Route-Safety Audit for BCI-LLM Agents

Technische Samenvatting: Brain-Prompt Injection en Route-Safety Audits voor BCI–LLM Agents

1. Probleemdefinitie

Het artikel behandelt een nieuw beveiligingslek dat voortvloeit uit de integratie van Brain-Computer Interfaces (BCI's) met Large Language Model (LLM) tool-gebruikende agents. In deze architectuur dient gedecodeerde neurale activiteit (bijv. EEG-signalen) als een autorisatiekanaal voor een agent om tools uit te voeren (bijv. een cursor bewegen, een bericht verzenden). De auteurs identificeren een nieuw aanvalsoppervlak, getermd brain-prompt injection, waarbij een tegenstander het neurale signaal of de omliggende context manipuleert om de agent te dwingen tot ongeautoriseerde acties uit te voeren.

Het artikel definieert drie specifieke faalmodi die huidige veiligheidsmechanismen niet gezamenlijk adresseren:

• C1 (Signal-Side Perturbation): Adversariële perturbaties aan het EEG-venster die het gedecodeerde commando wijzigen, vergelijkbaar met traditionele adversariële voorbeelden.
• C2 (Context-Only Injection): Analoog aan indirecte prompt injection in LLM's, waarbij een aanvaller de externe context (bijv. opgehaalde documenten of systeem-prompts) wijzigt om de route van de agent te veranderen. Cruciaal is dat het EEG-signaal hierbij "schoon" blijft, waardoor EEG-only monitors de anomalie niet detecteren.
• C3 (Adaptive Dual-Decoder Attack): Een aanvaller past een gedeelde perturbatie toe op de ruwe input die door zowel een primaire decoder ($f$) als een verificatie-decoder ($f_2$) wordt gezien. Dit voldoet aan het "overeenkomst"-veiligheidspredicaat (beide decoders geven hetzelfde doel uit), terwijl beide naar een door de aanvaller gekozen doel worden gedreven in plaats van naar de intentie van de gebruiker.

Het kernprobleem is dat bestaande veiligheidsclaims (bijv. "dual-decoder agreement certificeert intentie") wiskundig onvoldoende zijn omdat ze geen rekening houden met de attacked dependence lift—de gezamenlijke waarschijnlijkheid dat beide decoders simultaan door een gedeelde perturbatie naar hetzelfde kwaadaardige doel worden gedreven.

2. Methodologie en Theoretisch Kader

Het Route-Safety Audit Contract
De auteurs stellen een formeel Route-Safety Audit Contract voor om de noodzakelijke condities te definiëren voor het certificeren van route-veiligheid. Dit contract bestaat uit:

• Log Schema ($L_c$): Een minimale set variabelen die per geval gelogd moeten worden, inclusief context-provenance, aangevallen secundaire beslissingen, executie-policies en route-uitkomsten.
• Denominator Hierarchy ($D_c$): Specifieke statistische denominatoren (bijv. source-not-target gevallen, seed-level hiërarchieën) die vereist zijn voor het berekenen van geldige ratio's.
• Endpoint Specification ($G_c$): Gedefinieerde pass/fail criteria.

Theoretische Bijdragen

• Audit-Schema Separation Theorem: Het artikel bewijst dat zonder het loggen van specifieke variabelen (zoals context-provenance voor C2 of aangevallen secundaire beslissingen voor C3), twee audit-werelden identiek kunnen lijken in hun logs terwijl ze tegengestelde veiligheidswaarden hebben. Hiermee zijn standaard metrieken (zoals clean agreement rates) niet-identificerend voor deze aanvallingsklassen.
• C3 Attacked-Dependence Decomposition: De auteurs deconstrueren het risico van een C3-aanval in drie termen: de primaire doelwaarschijnlijkheid ($p_1$), de aangevallen conditionele overeenstemmingsterm ($P(B|A)$), en de executie-policy term ($\alpha$). Ze demonstreren dat "clean agreement" statistieken de aangevallen gezamenlijke term ($\Delta_D$) niet kunnen identificeren, wat betekent dat een hoge clean agreement niet veiligheid garandeert onder aanval.
• Conformal Calibration Layer: Om C3 aan te pakken, passen de auteurs split-conformal calibration toe op een non-oracle bevestigingskanaal (een onafhankelijk EEG-venster dat gedecodeerd wordt door een apart model). Dit vestigt een theoretische grens op de False Accept Rate (FAR) onder een specifiek dreigingsmodel (B-strict) dat vereist:
  1. Acquisition Isolation: Het bevestigingsvenster wordt verkregen uit een sessie die de aanvaller niet kan beïnvloeden.
  2. Confirmation-Channel Non-Controllability: De aanvaller kan het bevestigingsvenster niet verstoren.
     Het artikel bewijst via een PGD-haalbaarheid argument dat als de aanvaller het bevestigingsvenster kan verstoren, er geen uniforme FAR-grens bestaat.

3. Experimentele Validatie

De auteurs implementeren het audit-contract op EEGMMI native left/right command-control data bestaande uit 5.400 events over 60 subjecten, 10 willekeurige seeds en onschadelijke tool stubs (cursorbewegingen).

Belangrijkste Experimentele Bevindingen:

• C2 Kwetsbaarheid: Context-only injection slaagt erin de doelactie te routeren met een ratio van 1.000 wanneer provenance afwezig is. Wanneer context-provenance wordt afgedwongen, wordt de route geblokkeerd (0.000), terwijl EEG-zijde monitors blind blijven voor de aanval.
• C3 Kwetsbaarheid: Onder gedeelde raw-input perturbaties faalt dual-decoder agreement om ongeautoriseerde routing te voorkomen. De succesratio van de aanval voor C3 is 1.000, zelfs wanneer overeenkomst en provenance aanwezig zijn.
• Bevestigings-effectiviteit: Het introduceren van een onafhankelijk EEG-bevestigingsvenster (non-oracle proxy) vermindert C3-routing aanzienlijk.
  • Bij een doelstelling voor de False Accept Rate ($\alpha$) van 0,05, daalt de C3-routingrate naar 0,178 (95% CI [0,153, 0,206]) met een clean utility van 0,573.
  • Bij $\alpha = 0,01$, daalt de C3-routingrate naar 0,091 (95% CI [0,073, 0,113]) met een clean utility van 0,458.
• Noodzaak van Threat-Archetype: De experimenten valideren de noodzaak van het B-strict dreigingsmodel. Wanneer de aanvaller het bevestigingsvenster mag verstoren (Archetypes C en C'), explodeert de FAR naar ~1.000, wat de theoretische grens bevestigt.
• Preprocessing en Stress Tests: Het artikel test de robuustheid van de agreement bypass tegen preprocessing-restricties (smoothing, band-limiting, temporele verschuivingen). Hoewel gecombineerde restricties (smooth + band-limit) de agreement rates verlagen naar 0,156, blijft de aanval haalbaar onder veel realistische restricties, en wordt temporele alignment sensitiviteit geïdentificeerd als een fragiel punt.
• Capaciteitsverzadiging: Experimenten die de capaciteit van het confirmer-model variëren (TinyEEGNet vs. EEGNetV4) tonen aan dat de FAR/utility frontier dataset-gelimiteerd is in plaats van model-gelimiteerd binnen het geteste regime; het verhogen van de modelcapaciteit boven enkele honderden parameters levert afnemende meeropbrengsten op.

4. Belangrijkste Bijdragen

1. Definitie van Brain-Prompt Injection: Het formaliseren van het aanvalsoppervlak waar neurale signalen en LLM-contexten interageren, specifiek door identificatie van de C1, C2 en C3 faalmodi.
2. Route-Safety Audit Contract: Een theoretisch kader dat bewijst dat veiligheidsclaims specifieke log-schema's en denominatoren vereisen. Het stelt vast dat clean agreement geen intent-certificaat is onder adaptieve aanvallen.
3. Conformal Calibration voor BCI: Het aanpassen van split-conformal voorspelling aan BCI-bevestigingskanalen, wat een rigoureuze, falsifieerbare grens biedt op ongeautoriseerde bevestigde routes onder strikte acquisitie-isolatie.
4. Empirische Implementatie: Een uitgebreid auditprotocol op echte EEG-data (EEGMMI) dat aantoont dat:
   • Provenance C2 blokkeert.
   • Alleen overeenkomst faalt tegen C3.
   • Onafhankelijke bevestiging (met strikte isolatie) het C3-risico vermindert maar niet elimineert, wat een meetbare risico-utility frontier creëert.

5. Betekenis en Claims

Het artikel positioneert zijn bijdrage als een smalle, testbare audit-protocol in plaats van een algemene deployment-garantie of een fysieke aanvaldemonstratie.

• Bescheiden Claims: De auteurs geven expliciet aan dat zij niet de prevalentie van gedeplyoide BCI's, de fysieke haalbaarheid van injectie of menselijke toestemming schatten. De experimenten zijn offline autorisatie-audits.
• Kernbetekenis: De primaire bijdrage is de demonstratie dat route-safety claims klasse-specifiek moeten zijn. Een veiligheidscertificaat dat geldig is voor C1 (signaal-perturbatie) is onvoldoende voor C2 (context-injectie) of C3 (adaptieve overeenkomst).
• Praktische Implicatie: Het artikel pleit tegen het behandelen van dual-decoder agreement als een voldoende veiligheidspredicaat. In plaats daarvan pleit het voor een veiligheidsstack die provenance logging, onafhankelijke bevestigingskanalen (met strikte isolatie) en klasse-specifieke denominatoren bevat om veiligheidsclaims te falsifiëren.
• Beperkingen: Het werk erkent dat cross-day non-stationariteit, headset-herpositionering en impedantie-drift openstaande aannames zijn die niet door de huidige dataset worden gedekt. De "live router" bridge is een transcript-check, geen real-time agent validatie.

Samenvattend biedt het artikel een rigoureus wiskundig en empirisch kader dat aantoont dat huidige BCI-LLM veiligheidsmechanismen blind zijn voor specifieke gezamenlijke aanvalsvectoren, en stelt het een minimaal audit-schema en een conformal calibration-laag voor om deze risico's meetbaar en falsifieerbaar te maken.