BlindGuard: Safeguarding LLM-based Multi-Agent Systems under Unknown Attacks

1. Declaração do Problema

Sistemas Multi-Agentes (MAS) baseados em Modelos de Linguagem de Grande Escala (LLM) estão cada vez mais vulneráveis a vulnerabilidades de propagação, onde alguns agentes maliciosos podem distorcer a tomada de decisão coletiva por meio de interações entre agentes. Os vetores de ataque comuns incluem:

• Injeção de Prompt (PI): Manipulação de prompts do sistema ou entradas do usuário.
• Envenenamento de Memória (MA): Corrupção de dados históricos de interação ou bases de conhecimento.
• Exploração de Ferramentas (TA): Aproveitamento de vulnerabilidades em plugins externos.

Limitações das Soluções Existentes:
Mecanismos de defesa atuais, como o G-Safeguard, dependem de Detecção de Anomalias em Grafos Supervisionada (GAD). Esses métodos exigem dados rotulados de agentes maliciosos para treinar modelos de detecção. Isso cria dois gargalos críticos:

1. Escassez de Dados: Ataques adversariais no mundo real são esparsos e camuflados, tornando difícil obter amostras maliciosas bem anotadas.
2. Falta de Generalização: Modelos supervisionados treinados em tipos específicos de ataque frequentemente falham em detectar padrões de ataque novos, não vistos ou em evolução.

A questão central de pesquisa é: Podemos projetar um framework de defesa para MAS que opere sem dados de ataque rotulados ou conhecimento prévio de padrões de ataque?

2. Metodologia: BlindGuard

O BlindGuard é um framework de defesa não supervisionado projetado para detectar e mitigar agentes maliciosos usando apenas dados de interação normais. Ele consiste em três componentes principais:

A. Codificador Hierárquico de Agentes

Para abordar a lacuna na "consciência contextual de múltiplos níveis", o BlindGuard constrói representações abrangentes de agentes, fundindo informações de três níveis distintos:

1. Nível do Agente (Ego): Captura características semânticas individuais derivadas da resposta textual do agente (codificada via SentenceBERT).
2. Nível do Vizinho: Agrega informações contextuais de agentes diretamente conectados para modelar interações locais.
3. Nível do Sistema: Integra informações globais em todo o grafo do MAS para capturar dependências de longo alcance e padrões de comportamento coletivo.

O codificador utiliza uma arquitetura de "resumo-transformação" para combinar essas características ($h^s_i, h^n_i, h^g_i$) em uma representação unificada $z_i$, permitindo que o modelo detecte tanto atacantes isolados (via divergência de vizinhança) quanto grupos de ataque coordenados (via divergência comportamental global).

B. Detector de Ataque Guiado por Corrupção

Como não existem dados maliciosos rotulados para treinamento, o BlindGuard emprega uma estratégia baseada em corrupção para simular ataques:

1. Corrupção Semântica: Em vez de manipular texto bruto (o que é complexo), o modelo injeta ruído direcional no espaço de incorporação das características normais dos agentes. Isso simula o desvio semântico causado por ataques adversariais.
   • Fórmula: $\tilde{x}_i = x_i + \alpha \|x_i\|_2 \cdot \frac{\epsilon_i}{\|\epsilon_i\|_2}$, onde $\epsilon_i$ é ruído aleatório e $\alpha$ controla a intensidade.
2. Aprendizado Contrastivo Supervisionado: O modelo é treinado usando esses agentes "corrompidos" sintéticos como amostras negativas e agentes normais como amostras positivas. O objetivo é maximizar a similaridade entre agentes normais enquanto minimiza a similaridade entre agentes normais e corrompidos. Isso cria uma fronteira de decisão robusta no espaço de incorporação sem a necessidade de rótulos reais de ataque.

C. Remediação Baseada em Poda

Durante a inferência, o sistema calcula uma pontuação de anomalia para cada agente com base em sua similaridade contextual com a representação global.

• Detecção: Agentes com altas pontuações de anomalia (baixa similaridade com o cluster normal) são sinalizados.
• Remediação: O sistema realiza poda de arestas bidirecional, cortando todos os links de comunicação para e dos agentes maliciosos detectados. Isso isola a ameaça e impede a propagação adversarial, preservando as interações legítimas entre agentes normais.

3. Contribuições Principais

1. Inovação de Cenário: Propõe um paradigma de defesa prático para MAS que funciona sem dados de ataque rotulados ou conhecimento prévio de padrões de ataque específicos, abordando uma lacuna crítica na implantação no mundo real.
2. Avanço Metodológico: Introduz o BlindGuard, o primeiro método de GAD não supervisionado especificamente adaptado para MAS baseados em LLM. Combina de forma única codificação hierárquica (contexto local + global) com aprendizado contrastivo guiado por corrupção para lidar com anomalias semânticas que os métodos tradicionais de GAD estrutural perdem.
3. Avaliação Abrangente: Valida extensivamente o método em 4 topologias diferentes de MAS (Cadeia, Árvore, Estrela, Aleatória), 3 tipos de ataque (PI, MA, TA) e múltiplos backbones de LLM (GPT-4o-mini, DeepSeek-V3, Qwen3).

4. Resultados Experimentais

O BlindGuard foi avaliado contra baselines de última geração, incluindo métodos supervisionados (G-Safeguard) e métodos de GAD não supervisionados (DOMINANT, PREM, TAM).

• Desempenho vs. Baselines Não Supervisionadas: O BlindGuard supera significativamente outros métodos não supervisionados, alcançando pontuações AUC > 80% na maioria dos cenários. Reduz consistentemente a Taxa de Sucesso do Ataque (ASR) por uma grande margem em comparação com "Sem Defesa" e outras abordagens não supervisionadas.
• Desempenho vs. Limite Superior Supervisionado: Apesar da falta de dados de treinamento rotulados, o BlindGuard alcança desempenho comparável ao G-Safeguard supervisionado (que tem acesso a rótulos de ataque verdadeiros).
• Generalização:
  • Ataques Invisíveis: O BlindGuard demonstra superior generalização contra tipos de ataque não vistos (por exemplo, treinado em Injeção de Prompt, testado em Envenenamento de Memória), enquanto modelos supervisionados sofrem quedas significativas de desempenho.
  • Agnóstico a Topologia e LLM: O método mantém desempenho robusto em diferentes topologias de comunicação e vários backbones de LLM, indicando que aprende padrões adversariais universais em vez de superajustar a estruturas ou modelos específicos.
• Escalabilidade: O método escala efetivamente para MAS maiores (até 50 agentes) sem degradação de desempenho.

5. Significado e Impacto

• Praticidade: Ao remover a dependência de dados maliciosos rotulados, o BlindGuard torna a segurança robusta viável para implantações de MAS no mundo real onde dados de ataque estão indisponíveis ou classificados.
• Agnosticismo a Ataques: A capacidade de detectar ataques "desconhecidos" torna-o uma ferramenta crítica para defender contra ameaças emergentes em ambientes dinâmicos.
• Contribuição Teórica: O artigo destaca a necessidade de contexto global do sistema na segurança de MAS. Demonstra que confiar apenas em características de vizinhança local é insuficiente para detectar ataques coordenados ou semânticos sutis, estabelecendo um novo padrão para detecção de anomalias baseada em grafos em sistemas centrados em linguagem.

Em conclusão, o BlindGuard representa um passo significativo na segurança de sistemas multi-agentes baseados em LLM, oferecendo uma solução escalável, generalizável e prática para a crescente ameaça da propagação adversarial.