Technische Samenvatting: Neural Cryptographic Services (NCS)

Probleemstelling

De snelle adoptie van AI-gestuurde agentische workflows transformeert enterprise- en overheidsystemen van statische, op regels gebaseerde pipelines naar dynamische, autonome infrastructuren. Hoewel dit de operationele efficiëntie verhoogt, doorbreekt het fundamenteel de beveiligingsaannames van deterministische executie. Traditionele cryptografische services (bijv. HSM's, KMS) fungeren als passieve executiemotoren die authenticeren wie handelt, maar blijven agnostisch voor welke specifieke workflowstappen op runtime worden geautoriseerd.

Deze kloof creëert een kritieke kwetsbaarheid: een geauthenticeerde agent kan worden gekaapte via directe of indirecte prompt injection. Een tegenstander kan kwaadaardige instructies injecteren in onbetrouwbare data of tool-outputs, waardoor de agent acties uitvoert die weliswaar voldoen aan identiteitscontroles, maar de gebruikersintentie schenden (bijv. het verzenden van gevoelige gegevens naar een aanvaller). Conventionele beveiligingsmaatregelen falen hier omdat de cryptografische identiteitscontrole slaagt en de permissies legitiem lijken, terwijl de onderliggende intentie is gesubverteerd. De kernuitdaging is het verenigen van de probabilistische aard van Large Language Model (LLM) redeneren met de deterministische exactheid die vereist is voor cryptografische operaties en privilegecontrole.

Methodologie: Neural Cryptographic Services (NCS)

De auteurs stellen Neural Cryptographic Services (NCS) voor, een actieve runtime security governance plane gebaseerd op een Neural-Symbolic design. NCS plaatst zich tussen onbetrouwbare LLM-agents en geprivilegieerde tools, waarbij autoriteit wordt gesplitst tussen probabilistische neurale generatie en deterministische symbolische executie.

Kernarchitectuur

NCS bestaat uit vijf modules:

1. Neural Planner: Een onbetrouwbare component die natuurlijke taalinstructies parseert en gestructureerde executieplannen opstelt. Deze bezit nul executie-autoriteit en kan geen geprivilegieerde tools direct aanroepen.
2. Symbolic Controller: De deterministische autoriteitscore. Deze valideert planner-ontwerpen tegen statische policies, plant de afhankelijkheidsgeordende executie en orkestreert de workflow.
3. Crypto Execution Engine: Interpreteert algoritme-agnostische Intermediate Representation (IR) opcodes en stuurt deze door naar vervangbare (pluggable) cryptografische backends (bijv. Ed25519, SHA-256).
4. Verifier: Handhaaft een fail-closed poort. Deze zorgt ervoor dat de voorgestelde tool-call argumenten van een agent exact overeenkomen met de momenteel vrijgegeven, cryptografisch geverifieerde instructie-payload voordat er zijeffecten optreden.
5. Runtime State Management: Houdt de autoritatieve sessiecontext bij, inclusief program counters, verificatie-transcripten en audit logs.

Twee-fasen Stateful Instructie-authenticatie

NCS handhaaft instructie-authenticiteit en executie-integriteit via een stateful, hash-geketende instructiestroom:

• Fase A (Worksheet Autorizatie): Een gebruiker ondertekent alleen de stream head (metadata die de hash van het eerste blok en de totale streamlengte bevat). De Symbolic Controller verifieert deze handtekening om de worksheet-niveau autorisatie vast te stellen. Er worden nog geen payload-blokken vrijgegeven.
• Fase B (Incrementele Executie): Het systeem verwerkt de instructiestroom blok voor blok.
  1. Verify: De Crypto Execution Engine verifieert de continuïteit van de hashketen ($H(B'_i) = A_{i-1}$) en de stream head anchor.
  2. Release: Na succesvolle verificatie wordt het plain instructieblok ($B_i$) vrijgegeven als de enige actieve payload.
  3. Bind: De Neural Planner compileert een stap-plan concept op basis van $B_i$. De Verifier bindt de voorgestelde tool-argumenten van de agent strikt aan de vrijgegeven $B_i$.
  4. Dispatch: Acties worden alleen uitgevoerd als de voorstel van de agent exact overeenkomt met de vrijgegeven payload. Elke mismatch of out-of-order call wordt onmiddellijk geweigeren.

Dit ontwerp zorgt ervoor dat zelfs als een LLM wordt gekapt om een kwaadaardige actie voor te stellen, de actie niet kan voortgaan tenzij deze overeenkomt met de cryptografisch ondertekende, hash-geketende instructiestroom.

Belangrijkste Bijdragen

1. Strikte Autoriteitsverdeling: Het artikel formaliseert een scheiding waarbij neurale componenten intentie interpreteren en plannen opstellen, terwijl deterministische symbolische componenten authenticeren, plannen, verifiëren en uitvoeren. Geen enkele neurale output kan key-toegang of geprivilegieerde tool-dispatch triggeren zonder langs symbolische gates te gaan.
2. Stateful Instructie-authenticatie: Een nieuwe aanpak waarbij gebruikers alleen een worksheet header ondertekenen, terwijl hash-geketende blokken de stapvolgorde en parameters binden. Fase B dwingt exacte gelijkheid af tussen de tool-calls van de agent en het vrijgegeven instructieblok voordat dispatch plaatsvindt.
3. Compatibele Prototype: De auteurs hebben een prototype geïmplementeerd dat interfaceert met standaard PKCS#11-stijl backends.
4. Empirische Evaluatie: NCS werd geëvalueerd op AgentDojo, een aangepaste Argument-Hijacking benchmark (InjecAgent-ArgHijack), en de OpenPromptInjection dataset.

Resultaten

De evaluatie toont aan dat NCS de beveiligingsrisico's effectief mitigeert terwijl de bruikbaarheid behouden blijft:

• Attack Success Rate (ASR): NCS reduceert de ASR voor ongeautoriseerde tool-executie tot bijna nul (0,0% op de meeste modellen en tools) onder zowel directe als indirecte prompt injection, evenals argument hijacking attacks.
• Argument Hijacking: In de aangepaste benchmark vertoonden baseline modellen een hoge kwetsbaarheid (bijv. 100% ASR op GPT-4o-mini). NCS-Full reduceerde de ASR naar 0,0% over alle geteste modellen en controle-tools (BankManagerPayBill, TransferFunds, etc.).
• Behoud van Utility: NCS behoudt "Partial Utility" ($U^\partial$), waardoor legitieme stappen kunnen worden voltooid, zelfs onder een aanval. Bijvoorbeeld, op DeepSeek-Chat bereikte $U^\partial$ 94,4% onder NCS-Full.
• Overhead: De cryptografische overhead is verwaarloosbaar. Volledige stream-verificatie (signatuur + hashketen) duurt ongeveer 1,2 ms (p50), wat ordes van grootte kleiner is dan een enkele LLM inference turn.
• Vergelijking met Baselines: In tegenstelling tot statistische defensies (zoals FATH, Spotlighting) die utility opofferen voor security of kwetsbaar blijven voor format-compliance coercie, biedt NCS deterministische garanties zonder de benigne taakvoltooiingspercentages significant op te offeren.

Betekenis en Claims

Het artikel claimt dat NCS de beveiliging van agents herdefinieert van "voldoet de intentie van het model aan de regels?" naar "komt de voorgestelde dispatch overeen met een cryptografisch geautoriseerde stap?".

• Actieve Governance: NCS evolueert cryptografische services van passieve executiemotoren naar actieve runtime governance planes die beheren wanneer en onder welke voorwaarden gevoelige operaties worden vrijgegeven.
• Deterministische Garanties: Door executie te verankeren aan offline-ondertekende, hash-geketende stromen, biedt NCS deterministische, fail-closed beveiliging die robuust is tegen de probabilistische aard van LLM-redeneren en adversariële prompt injection.
• Complementariteit: De auteurs benadrukken dat NCS complementair is aan, en geen vervanging voor, bestaande Information Flow Control (IFC) en privilege control frameworks. Terwijl IFC algemene data-flow grenzen beperkt, handhaaft NCS de integriteit van cryptografische en stap-gebonden parameters.
• Beperkingen: De huidige implementatie richt zich op signatuurverificatie en hashing; ondersteuning voor encryptie of threshold signatures wordt vermeld als toekomstig werk. Daarnaast filtert NCS geen lekken van natuurlijke taal-output (bijv. tekstgeneratie) als dit geen control-tool call betreft, een beperking die zichtbaar is bij specifieke aanvalsklassen op zwakkere backbone modellen.

Samenvattend biedt NCS een praktisch pad voor het beveiligen van agentische workflows door de interpretatie van intentie te ontkoppelen van de executie-autoriteit, waardoor wordt gegarandeerd dat zelfs als het redeneren van een agent wordt gekapt, de executie gebonden blijft aan cryptografisch geverifieerde, geautoriseerde stappen.