Resumo Técnico: Quando Agentes Lidam com Segredos: Uma Pesquisa sobre Computação Confidencial para IA Agêntica

1. Declaração do Problema

A implantação de agentes impulsionados por Modelos de Linguagem de Grande Escala (LLM) introduz uma superfície de ameaça distinta da inferência de modelos autônomos. Diferentemente de sistemas de consulta-resposta sem estado, os sistemas de IA agêntica planejam autonomamente, invocam ferramentas externas, mantêm memória persistente e coordenam-se com agentes pares por meio de protocolos como o Protocolo de Contexto de Modelo (MCP) e Agente-a-Agente (A2A). Essa abrangência operacional expandida cria vulnerabilidades que defesas em camadas de software (por exemplo, guardas de prompt, classificadores de saída) não conseguem abordar totalmente, particularmente contra adversários de infraestrutura privilegiados (por exemplo, operadores de nuvem comprometidos ou hipervisores) que podem inspecionar pesos do modelo, exfiltrar histórico de conversas ou manipular saídas de ferramentas em trânsito.

Embora abordagens criptográficas como a Criptografia Homomórfica Total (FHE) ofereçam garantias rigorosas, sua sobrecarga computacional as torna impraticáveis para cargas de trabalho interativas com bilhões de parâmetros. O artigo identifica uma lacuna crítica: pesquisas existentes abordam a segurança agêntica ou a computação confidencial (CC) para inferência autônoma separadamente, mas carecem de um foco sustentado sobre como a confiança enraizada em hardware (Ambientes de Execução Confiáveis, ou TEEs) se aplica à pilha agêntica completa e multietapa. Especificamente, sistemas agênticos exigem proteções para isolamento de chamadas de ferramentas, confidencialidade de memória persistente e proveniência de mensagens entre agentes que vão além da inferência de chamada única.

2. Metodologia

O artigo emprega uma metodologia de pesquisa estruturada para sintetizar o espaço de design da Computação Confidencial para IA Agêntica.

• Construção do Corpus: A literatura foi assembleada por meio de conjuntos de sementes de estudos de inferência confidencial de LLM e segurança de agentes, expandidos por bola de neve retroativa/progressiva e buscas direcionadas por palavras-chave (por exemplo, TEE, enclave, atestação, MCP, A2A).
• Protocolo de Classificação: Os artigos principais retidos foram codificados por substrato TEE, classe operacional (inferência autônoma, agentes únicos que usam ferramentas, agentes de fluxo de trabalho, sistemas multiagente), camadas de agente protegidas, classe de adversário e objetivos de segurança. Os sistemas foram rotulados como "diretamente agênticos" apenas se protegessem o uso de ferramentas, a execução de fluxo de trabalho, a memória persistente ou a coordenação entre agentes.
• Lente Analítica: A análise está organizada em três dimensões:
  1. Camadas Funcionais do Agente: Percepção, Planejamento, Memória, Ação e Coordenação.
  2. Privilégio do Adversário: Variando de atacantes externos (A1) a co-inquilinos comprometidos (A2), operadores de infraestrutura maliciosos (A3) e agentes pares comprometidos (A4).
  3. Limites de Implantação: Enclaves de processo, Máquinas Virtuais Confidenciais (CVMs), isolamento de mundo seguro/realm e execução confidencial de CPU para GPU.

3. Contribuições Principais

A. Taxonomia Unificada de Plataformas TEE

O artigo apresenta uma taxonomia comparativa de seis plataformas TEE relevantes para implantações agênticas: Intel SGX, Intel TDX, AMD SEV-SNP, ARM TrustZone, ARM CCA e NVIDIA H100 CC. A análise avalia-as em seis eixos:

• Granularidade de Isolamento: Nível de processo (SGX) vs. nível de VM (TDX, SEV-SNP) vs. nível de realm (CCA).
• Tamanho da TCB: O tamanho da Base de Computação Confiável.
• Confidencialidade do Acelerador: Se a plataforma estende a confiança para a memória da GPU (por exemplo, NVIDIA H100 CC) ou permanece centrada na CPU.
• Implantabilidade na Borda: Adequação para dispositivos móveis/borda vs. datacenters em nuvem.
• Custo de Comunicação Inter-enclave: Sobrecarga para comunicação entre componentes isolados.
• Modelo de Atestação: Mecanismos para verificação remota.

B. Modelo de Ameaça Centrado no Agente

Os autores formalizam um modelo de ameaça de cinco camadas mapeando capacidades adversariais para objetivos de segurança específicos:

1. Percepção: Ingestão de prompts de usuário e documentos recuperados.
2. Planejamento/Raciocínio: Processamento central do LLM e seleção de ferramentas.
3. Memória: Contexto de curto prazo, armazenamentos vetoriais de longo prazo e caches KV.
4. Ação/Execução de Ferramentas: Invocação de APIs externas e ferramentas do mundo real.
5. Coordenação: Delegação e comunicação entre agentes.

Este modelo mapeia para nove objetivos de segurança: confidencialidade de entrada, confidencialidade do modelo, integridade de execução, confidencialidade de memória, integridade de chamada de ferramenta, autenticidade de mensagem, proveniência, frescor e resistência a canais laterais.

C. Pesquisa Comparativa de Defesas CC

A pesquisa analisa sistemas representativos (por exemplo, TEESlice, CMIF, TEECHAT, Omega, AttestMCP, CAEC, BlockA2A) contra o modelo de ameaça. As principais descobertas incluem:

• Inferência vs. Agêntico: A maioria das evidências atuais suporta confidencialidade de entrada e modelo para inferência autônoma (camadas de Percepção/Planejamento).
• Lacunas: A proteção para memória persistente, integridade de chamadas de ferramentas e coordenação multiagente permanece parcial.
• Sistemas Diretamente Agênticos: Sistemas como Omega (SEV-SNP + NVIDIA H100 CC) demonstram tempos de execução confidenciais ponta a ponta com acesso a ferramentas controlado por atestação, enquanto CAEC (ARM CCA) permite memória compartilhada confidencial para cooperação multiagente.

D. Desafios de Pesquisa em Aberto

O artigo sintetiza seis desafios críticos em aberto:

1. Atestação Composta: Estabelecer confiança transitiva em cadeias de agentes multissalto (Usuário → Orquestrador → Especialista → Ferramenta).
2. RAG Sustentado por TEE: Criar armazenamentos vetoriais atestados onde operações de recuperação são controladas por atestação.
3. Protocolos Conscientes de CC: Redesenhar MCP e A2A para suportar nativamente atestação, proveniência e frescor.
4. Vazamento por Canal Lateral: Abordar vazamentos microarquiteturais específicos de padrões de inferência autoregressiva (por exemplo, acesso ao cache KV).
5. Desempenho GPU-TEE: Caracterizar sobrecargas em escala de LLM (405B+ parâmetros) e sob cargas de trabalho multiagente concorrentes.
6. Alinhamento Regulatório: Preencher a lacuna entre evidências técnicas de atestação e requisitos de conformidade (por exemplo, Lei de IA da UE, DORA).

4. Resultados e Descobertas

• Maturidade de Hardware: Primitivas de confiança de hardware (SGX, TDX, SEV-SNP, CCA, H100 CC) são maduras o suficiente para implantações direcionadas, mas nenhuma plataforma única domina o espaço de design agêntico.
• Proteção Seletiva: Designs práticos alinham o limite de confiança com a camada de maior valor (por exemplo, protegendo prompts de sistema e credenciais) em vez de tentar encerrar toda a pilha do agente, o que é frequentemente inviável devido a restrições de memória e E/S.
• Limitações da CC:
  • A CC protege dados em uso contra operadores de infraestrutura privilegiados, mas não impede injeção de prompt semântica (A1) nem garante a veracidade de entradas externas.
  • A atestação estabelece o que código está sendo executado, não se os objetivos do código estão alinhados com a intenção humana.
  • Ataques de canal lateral (temporização, cache, contenção de barramento) permanecem um risco significativo, particularmente para adversários co-inquilinos.
  • A disponibilidade não é garantida; TEEs introduzem novas fragilidades operacionais (por exemplo, limites de capacidade de memória, dependências de serviços de atestação).
• Especificidades de Plataforma:
  • Intel SGX: Melhor para isolamento granular de componentes sensíveis, mas limitado pela capacidade EPC e falta de extensão de confiança nativa para GPU.
  • Intel TDX/AMD SEV-SNP: Adequados para "levantar e mover" de serviços de agentes em escala de nuvem, mas enfrentam desafios com memória compartilhada confidencial entre VMs.
  • ARM CCA: Promissor para coordenação multi-realm e implantações híbridas borda/nuvem, mas depende de protótipos de pesquisa mais recentes.
  • NVIDIA H100 CC: Crítico para confidencialidade de inferência de modelos grandes, mas requer uma raiz confiável no lado da CPU (por exemplo, TDX) para integridade do sistema ponta a ponta.

5. Significado e Alegações

O artigo alega que a Computação Confidencial oferece um substrato de defesa necessário e enraizado em hardware para IA Agêntica contra adversários de infraestrutura privilegiados, preenchendo uma lacuna deixada por defesas puramente de software. No entanto, os autores mantêm uma postura modesta:

• Solução Parcial: A CC não é uma solução geral para segurança de agentes, robustez de modelos ou confiabilidade do sistema ponta a ponta. Ela aborda objetivos de segurança específicos (confidencialidade, integridade de execução), mas não pode resolver desalinhamento semântico ou confiabilidade de entrada.
• Futuro Composicional: O caminho a seguir reside em avanços composicionais — combinando serviços de memória atestada, mecanismos de proveniência nativos de protocolo e caracterização de desempenho consciente de GPU — em vez de apenas avanços arquitetônicos puros.
• Estado Atual: Embora várias primitivas de hardware estejam maduras, "nenhum framework ponta a ponta amplamente estabelecido ainda as une em um substrato de segurança coerente para IA agêntica de produção". A pesquisa serve para definir o espaço de design, destacar a transferibilidade (e a falta dela) de sistemas de apenas inferência e enquadrar os desafios específicos necessários para avançar de implantações piloto para sistemas agênticos de produção regulamentados.