Technische Samenvatting: CAGE (Certified Authorization under Typed-Return Uncertainty)

1. Probleemstelling

Het artikel behandelt een kritieke kwetsbaarheid in Tool-gebruikende Large Language Model (LLM) Agents. Terwijl de ingezette agent-harnesses steeds vaker runtime-permissiegaten gebruiken om tool-aanroepen te autoriseren, evalueren deze gates het geobserveerde tool-resultaat en de voorgestelde actie doorgaans op één enkel tijdstip. Ze houden geen rekening met residuele bindingsonzekerheid: de mogelijkheid dat het gevalideerde record dat de agent observeert ($\tilde{z}$), verschilt van het "correct gebonden" resultaat ($z^\star$) als gevolg van kleine assemblagefouten (bijv. verouderde provenance-tags, schema-mismatches of racecondities) en begrensde numerieke drift.

Het kernprobleen is dat een actie veilig kan lijken onder het geobserveerde record en zelfs onder afzonderlijke controles voor discrete (categorische) en continue (numerieke) perturbaties, maar toch onveilig kan worden wanneer deze perturbaties gezamenlijk optreden. De auteurs noemen dit de joint-gap attack. Bestaande verdedigingen, die zich vaak richten op het saneren van onbetrouwbare tekst of het evalueren van pointwise acties, laten de beslissingsgrens onbeschermd tegen deze specifieke semantische onzekerheden.

2. Methodologie: CAGE

De auteurs stellen CAGE (Certified Authorization Gate for Execution) voor, een runtime-monitor die het object van autorisatie verschuift van het geobserveerde punt $(\tilde{z}, a)$ naar een gezamenlijke buurt $B_{d,\epsilon}(\tilde{z})$. Een actie $a$ wordt alleen geautoriseerd als deze veilig blijft voor elk plausibel correct gebonden resultaat binnen deze buurt.

De Gezamenlijke Buurt (Joint Neighborhood)

De buurt wordt gedefinieerd door twee budgetten:

• Discreet Budget ($d$): Staat tot $d$ toelaatbare bindingsfouten toe (bijv. een enkele provenance-swap of policy-pack verwarring).
• Continu Budget ($\epsilon$): Staat begrensde $\ell_2$-drift toe in numerieke velden (bijv. risicoscores, bedragen) na standaard validatie.

De Niet-Compositie Stelling

Een centrale theoretische bijdrage is het bewijs dat afzonderlijke certificering van kanalen niet componeert.

• Stelling 1: Een veiligheidspredicaat kan veilig zijn onder alle continue perturbaties van de oorspronkelijke discrete staat én veilig onder alle discrete swaps van de oorspronkelijke continue waarde, maar toch onveilig onder een gecombineerde discrete swap en continue verschuiving.
• Implicatie: Marginale certificaten (het apart controleren van tekst en getallen) zijn onsound. De verdediging moet de Cartesiaanse product van de discrete en continue perturbaties certificeren.

Het CAGE Algoritme

CAGE werkt door middel van exacte enumeratie van de discrete buurt, gevolgd door sound certificering van de continue tak:

1. Enumereren: Bereken de eindige verzameling van discrete buren $N_d(s) = \{s' : D_{disc}(s, s') \le d\}$.
2. Takken Certificeren: Certificeer voor elke discrete buur $s'$ dat de actie veilig is voor alle continue perturbaties $x'$ binnen de $\epsilon$-bal.
3. Besluit: Sta de actie alleen toe als elke tak een continue certificeringstest doorstaat.

De Assumption Ladder (Backends)

CAGE ondersteunt verschillende backends afhankelijk van de aard van het beleid (uitvoerbaar versus geleerd):

• CAGE-Exact (Rung 1): Wordt gebruikt wanneer het beleid een uitvoerbaar predicaat is (bijv. affine constraints in Rego of beslissingstabellen). Het voert een exacte wiskundige verificatie van constraints uit over de $\epsilon$-bal. Dit is policy-gecertificeerd.
• CAGE-Lip (Rung 2): Wordt gebruikt voor geleerde gates (impliciete beleid). Het maakt gebruik van een 1-Lipschitz neuraal netwerkarchitectuur. Het certificeert de beslissing van de gate op basis van de Lipschitz-marge ($h_\theta > L_{cert}\epsilon$). Dit is gate-gecertificeerd en sound onder een gemeten gate-policy fideliteitsaanname.
• CAGE-RS (Rung 3): Wordt gebruikt voor black-box gates. Het past Randomized Smoothing toe om probabilistische garanties te bieden over de continue bal. Dit is eveneens gate-gecertificeerd.

3. Belangrijkste Bijdragen

1. Formalisering van Robuuste Autorisatie: Het artikel formaliseert post-tool-return autorisatie als een beslissing onder begrensde semantische onzekerheid, waarbij bewezen wordt dat return-afhankelijke veiligheid het inspecteren van het gerealiseerde resultaat vereist (Propositie 1).
2. Niet-Compositie Bewijs: De auteurs bewijzen dat marginale certificaten voor categorische en numerieke kanalen niet impliceren dat ze veilig zijn over hun gezamenlijke product, waarmee zij het bestaan van "joint-gap witnesses" identificeren (Stelling 1).
3. Gecertificeerde Monitor met Assumption Ladder: CAGE biedt een verenigd framework dat de discrete ruimte exact enumereert en de continue ruimte certificeert met behulp van een hiërarchie van backends (Exact, Lipschitz, Smoothing), waardoor een soundness-vloer wordt gegarandeerd, zelfs voor geleerde gates.
4. Gemeten Veiligheidscasus: Het werk levert een rigoureuze veiligheidscasus gekalibreerd op geïnjecteerde fouten, waarbij wordt aangetoond dat CAGE "in-budget" false allows verwijdert terwijl het nuttige autonomie behoudt.

of. Experimentele Resultaten

De evaluatie bestrijkt synthetische instellingen, policy-as-code (Open Policy Agent, GoRules), regelgevende kaders (PSD2/AML) en echte transactiegegevens (IEEE-CIS).

• Bestaan van Joint-Gap Witnesses: De studie bevestigt dat joint-gap witnesses bestaan in elke setting, met een natuurlijke frequentie van 3,5% tot 12%.
• Soundness: In alle settings bereikt CAGE een Certified False Allow (CFA) rate van 0. In tegen tegenstelling hiertoe laten pointwise gates en marginale compositie-baselines deze onveilige witnesses toe met hoge frequenties (vaak 100% van de witness-set).
• Autonomie: Ondanks de strikte veiligheidsgaranties behoudt CAGE aanzienlijke autonomie:
  • CAGE-Exact keurt autonoom 22–34% van de robuust-veilige beslissingen goed in policy-as-code settings en 57% in natuurlijk verkeer.
  • Geleerde backends (Lip/RS) behouden 6,5–37% autonomie, afhankelijk van de striktheid van het werkpunt.
• End-to-End Validatie: In live systeemtests (Kubernetes, MCP write paths, AML engines) blokkeerde CAGE succesvol onveilige bijwerkingen (bijv. ongeautoriseerde deployments, over-quota writes) die werden toegelaten door agents zonder of met slechts pointwise-gates.
• Adaptieve Aanvallen: CAGE blijft sound tegen adaptieve tegenstanders die het beleid en budget kennen, terwijl geleerde point-gates hoge false-allow rates vertonen (tot 98% in sommige synthetische aanvallen).

5. Betekenis en Claims

Het artikel claimt dat CAGE een gekalibreerd autorisatiemechanisme biedt voor beslissingen waarbij veiligheid afhangt van onzekere getypeerde returns. De betekenis ligt in:

• Het Sluiten van de Logische Kloof: Het is het eerste systeem dat de gezamenlijke buurt van getypeerde returns formeel certificeert, waarmee een kwetsbaarheid wordt aangepakt die pointwise en marginale verdedigingen missen.
• Praktische Inzetbaarheid: Door een "assumption ladder" aan te bieden, overbrugt het de kloof tussen theoretisch perfecte uitvoerbare policies en praktische geleerde gates, waarbij het zelfs in dat laatste geval formele garanties biedt onder expliciete fideliteitscondities.
• Operationele Realiteit: Het werk scheidt expliciet de formele garantie van operationele preconditions (bijv. versheid van data, integriteit van de constructor). Het kwantificeert het "residuele risico" wanneer deze preconditions falen (bijv. als data-staleness de gedeclareerde budget overschrijdt), in plaats van absolute immuniteit te claimen.

De auteurs zijn bescheiden over de externe validiteitsclaims: zij demonstreren de existentie, realiseerbaarheid en het mechanisme van joint-gap aanvallen in deployed-style pipelines, maar beweren niet de prevalentie van deze specifieke fouten in alle real-world agentic systemen te hebben gemeten. Zij concluderen dat CAGE een noodzakelijke runtime-controle is overal waar typed-return onzekerheid gemeten en afgedwongen kan worden.