Verifier-Bound Communication for LLM Agents: Certified Bounds on Covert Signaling

1. O Problema

Em sistemas multiagente baseados em Grandes Modelos de Linguagem (LLMs), a comunicação não serve apenas para coordenação de tarefas, mas também pode ser usada para sinalização encoberta (covert signaling). Agentes que coludem podem esconder informações coordenadas dentro de mensagens que parecem totalmente compliantes com as políticas de segurança na superfície.

A sinalização encoberta não requer texto malicioso óbvio; ela pode ser embutida em:

• Variação lexical e ordem de metadados.
• Argumentos de chamadas de ferramentas (tool-calls).
• Escolhas de serialização e comportamento de temporização.
• Planos de ação semanticamente equivalentes.

O problema central é que a alinhamento comportamental na superfície da mensagem não garante segurança na comunicação. Detectores offline e testes de "red-team" são insuficientes para ambientes de alta garantia, pois não fornecem uma fronteira online que impeça a passagem de mensagens não verificadas.

2. Metodologia: Protocolo CLBC

O artigo propõe o CLBC (Verifier-Bound Communication Protocol), um protocolo onde o estado da transcrição avança apenas quando um verificador compacto aceita um "envelope" de comunicação baseado em um predicado $\Pi$.

Princípios de Design

• Separação Geração/Admissão: A geração da mensagem e a sua admissão ao estado do sistema são separadas. Uma mensagem só é admitida se passar por verificações determinísticas.
• Predicado de Admissão ($\Pi_t$): O verificador valida um envelope estruturado $E_t$ contendo:
  • Hash da política (para evitar desvio silencioso).
  • Agenda de aleatoriedade pública (para impedir re-rolls ocultos).
  • Cadeia de transcrição (transcript chaining) para garantir continuidade.
  • Restrições de esquema latente e metadados canônicos.
  • Comprovações (proofs) ou atestações (ex: ZK-proofs, TEEs).
• Rejeição por Padrão (Fail-Closed): Qualquer mensagem que falhe em qualquer cláusula do predicado é rejeitada antes de influenciar o estado downstream.
• Contabilidade de Resíduos: O protocolo reconhece que canais residuais (tempo, ferramentas, ambiente) podem existir e quantifica explicitamente o "orçamento de vazamento" ($R_t$) associado a eles.

Formalização Teórica

O artigo estabelece limites formais para o vazamento de informação:

• Limite Superior (Teorema 4.2): O vazamento da transcrição admitida é limitado pela soma do vazamento latente (contido no esquema) e os canais residuais explicitamente declarados.
• Limite Inferior Semântico (Teorema 4.4): Se houver muitas alternativas semânticas válidas para uma tarefa, a capacidade de canal encoberto persiste a menos que regras de desempate determinísticas sejam aplicadas.
• Composição Adaptativa: O protocolo garante que o vazamento acumulado ao longo de múltiplas rodadas seja limitado, desde que cada rodada individual respeite o limite.

3. Contribuições Principais

1. Protocolo de Admissão Verificável: Introduz uma mudança de paradigma de "detecção pós-hoc" para "admissão prévia baseada em prova", tornando as alegações de segurança auditáveis.
2. Limites Certificados de Vazamento: Fornece uma fórmula matemática que conecta a segurança do sistema à qualidade das verificações de admissão e à contabilidade de canais residuais.
3. Análise de Trade-offs: Demonstra que a segurança não depende apenas de "gargalos" (bottlenecks), mas da semântica de admissão verificável, online e determinística.
4. Framework de Avaliação Robusto: Propõe uma metodologia de avaliação que inclui testes de estresse com coludores adaptativos, separação de baselines e verificação de consistência entre evidências online e offline.

4. Resultados Experimentais

Os autores avaliaram o protocolo em duas modalidades: "Strict Lane" (controles determinísticos estritos) e "Empirical Lane" (modelos abertos e tarefas variadas).

• Segurança (Strict Lane):
  • Vantagem do Decodificador Máxima: 0.0000 (indicando incapacidade de recuperar o estado oculto).
  • Proxy de Informação Mútua (MI): 0.0636 bits.
  • Utilidade Mínima: 0.8860 (mantendo alta utilidade da tarefa).
• Segurança (Empirical Lane):
  • Em tarefas complexas (planejamento, uso de ferramentas), a recuperação de dados aumentou, mas permaneceu abaixo dos limites de ataque, com uma clara separação em relação a baselines fracas (como mensagens "raw" ou apenas com auditoria).
  • Baselines sem prova (apenas esquema ou overseer) mostraram vantagens de decodificador significativamente maiores (até 0.315) comparado ao CLBC completo.
• Desempenho e Latência:
  • Modo de Prova Completa: Latência mediana de 27.53s (adequado para workflows assíncronos de alta garantia).
  • Modo de Amostragem (Sampled Proving): Reduz a latência de rodadas não provadas para 0.327ms, permitindo uso em sistemas interativos, mantendo a verificação online obrigatória.
• Ataques Adaptativos: Testes de estresse com coludores que otimizam estratégias de sinalização (busca e treino) falharam em superar os limites de segurança definidos, especialmente quando os canais sintáticos foram fechados e a semântica foi forçada a ser determinística.

5. Significância e Conclusão

O trabalho demonstra que a segurança da comunicação para agentes LLM pode ser operacionalizada como um protocolo de admissão limitado por verificador, em vez de uma camada de detecção posterior.

• Mudança de Paradigma: A segurança não é garantida apenas pelo conteúdo do texto, mas pela estrutura do envelope e pela verificação determinística de sua conformidade com a política.
• Implicações Práticas: Para implantações de alta garantia, é necessário manter um verificador determinístico sem bypass no caminho crítico. As alegações de segurança devem ser vinculadas a predicados de admissão verificáveis e contabilidade explícita de resíduos.
• Ciclo de Vida: Atualizações de política, troca de modelos ou mudanças de ferramentas devem disparar reavaliações de segurança, pois alteram o "orçamento de vazamento" certificado.

Em suma, o CLBC oferece um framework onde a segurança da comunicação é auditável, composicional e baseada em evidências, preenchendo a lacuna entre a teoria de canais encobertos e a prática de sistemas multiagente modernos.