Resumo Técnico: CAESAR – Um Framework Multi-Agente Coordenado para Intrusões Cibernéticas Automatizadas

1. Declaração do Problema

Modelos de Linguagem de Grande Escala (LLMs) demonstraram capacidade em tarefas de segurança ofensiva, como triagem de vulnerabilidades e elaboração de exploits. No entanto, as abordagens atuais de agente único comprimem todo o fluxo de trabalho de intrusão — extração de evidências, planejamento, execução e validação — em um único contexto conversacional. Essa compressão leva a desvio de contexto, propagação de erros e alucinação, particularmente em campanhas complexas e multiestágio, como Ameaças Persistentes Avançadas (APTs).

Campanhas de intrusão do mundo real exigem fases interdependentes (reconhecimento, formação de hipóteses, construção de exploits, atividade pós-comprometimento) que excedem o orçamento prático de tokens e a coerência de memória de uma única chamada de LLM. Sistemas multi-agentes existentes frequentemente focam em colaboração geral ou debate, mas falham em modelar explicitamente os limites de função, a proveniência de artefatos e as restrições de custo estritas (token, tempo, risco) necessárias para o raciocínio adversarial e multiestágio. Consequentemente, pipelines de agente único frequentemente colapsam em sequências de tentativa e erro que falham em convergir em domínios heterogêneos, como análise de binários ou inferência algébrica.

2. Metodologia: O Framework CAESAR

O artigo apresenta o CAESAR (Execução Adversarial Coordenada e Raciocínio Estratégico), um framework multi-agente coordenado projetado para operacionalizar fluxos de trabalho estilo intrusão através de um protocolo estruturado baseado em rodadas.

A. Modelo Formal e Arquitetura

O CAESAR é formalizado como uma tupla $F = \langle R, E, K, W, \Pi, V \rangle$, operando sobre um ambiente alvo $E$ com um orçamento operacional limitado $\Gamma = \langle c_{tok}, c_{time}, c_{risk} \rangle$. O framework decompõe o fluxo de trabalho em cinco operadores de função tipados:

1. Detetive (D): Extrai características salientes e evidências do ambiente alvo.
2. Estrategista (S): Organiza evidências em grafos de hipóteses, construindo caminhos alternativos de solução.
3. General (G): Avalia hipóteses contra o vetor de orçamento e seleciona um plano executável, atribuindo ações a executores específicos.
4. Executor (E): Invoca ferramentas específicas de domínio (por exemplo, depuradores, desmontadores) para executar ações atômicas.
5. Validador (V): Inspeciona rastros de execução, valida resultados e controla a promoção de padrões confiáveis para uma base de conhecimento persistente.

B. O Protocolo de Rodada

O framework executa em rodadas discretas, cada uma procedendo através de seis estágios:

1. Inicialização: Um snapshot somente leitura da base de conhecimento persistente ($K$) é criado para a rodada.
2. Coleta de Evidências: O Detetive emite ações de observação limitadas, gerando artefatos de evidência estruturados.
3. Construção de Hipóteses: O Estrategista constrói um grafo de hipóteses usando evidências atuais e padrões reutilizáveis de $K$.
4. Formação de Plano: O General pontua hipóteses usando uma função de utilidade $U_G$ que equilibra a probabilidade de sucesso contra custos de token, tempo e risco. Um plano é negociado e atribuído aos executores.
5. Execução de Tarefas: Executores invocam ferramentas e emitem rastros estruturados.
6. Avaliação e Promoção: O Validador pontua todos os artefatos. Apenas aqueles que excedem um limiar de promoção $\tau_{prom}$ são comprometidos na base de conhecimento persistente $K$ como entradas tipadas (Padrões, Capacidades ou Feedback).

C. Mecanismos Chave

• Promoção de Conhecimento Controlada pelo Validador: Para evitar amplificação de erros, apenas artefatos validados e de alta confiança são promovidos a $K$. Isso garante que rodadas subsequentes construam sobre observações verificadas e não sobre estados alucinados.
• Artefatos Tipados e Proveniência: Cada artefato carrega um tipo, hash de conteúdo e link de proveniência, permitindo que o Validador audite produtos intermediários contra especificações.
• Planejamento Consciente de Orçamento: O General otimiza explicitamente para um vetor de trade-off, garantindo que os planos permaneçam dentro dos limites de token, tempo e risco.
• Isolamento de Escrita: As funções têm acesso de escrita isolado para suas partições específicas de espaço de trabalho, com o Validador atuando como o único escritor na base de conhecimento compartilhada.

3. Contribuições Principais

1. Proposta de Framework: A introdução do CAESAR, que operacionaliza especialização de função, memória controlada por validador e planejamento consciente de orçamento sob um protocolo formal de rodada tipada.
2. Avaliação Sistemática: Uma avaliação abrangente em 25 desafios CTF do mundo real (Reverse, Pwn, Crypto, Misc, Web) através de quatro backends de LLM contemporâneos (GPT-5, Gemini 2.5, Grok-4, DeepSeek-R1).
3. Estudo de Generalização: Um estudo secundário demonstrando que o padrão de coordenação transfere para cenários de infiltração por engenharia social, alcançando maior sucesso de extração e menor risco de detecção do que baselines de agente único.
4. Insights Defensivos: Evidência empírica sugerindo que a estrutura de coordenação, e não a capacidade bruta do modelo, impulsiona a força de ataque emergente, implicando a necessidade de monitoramento estrutural das dinâmicas de função.

4. Resultados e Análise

A avaliação comparou o CAESAR contra baselines de agente único sob acesso a ferramentas e restrições de orçamento idênticos.

• Taxas de Sucesso e Eficiência: O CAESAR consistentemente melhorou as taxas de sucesso das tarefas e reduziu o tempo de resolução em todas as cinco categorias CTF. Por exemplo, na categoria Reverse com GPT-5, a taxa de sucesso melhorou em +0,36, e o tempo de resolução caiu de ~54 minutos (agente único) para ~24 minutos (multi-agente).
• Comportamento Adaptativo: O framework demonstrou aprendizado adaptativo. O desempenho estabilizou após um pequeno número de rodadas bem-sucedidas, com a memória controlada pelo Validador suprimindo a amplificação de erros. As pontuações de função (atribuídas pelo Validador) mostraram reconfiguração perto de execuções bem-sucedidas, indicando que o sistema aprendeu com feedback validado.
• Agnosticismo de Backend: Os benefícios da coordenação foram consistentes em todos os quatro backends de LLM. Embora o desempenho bruto variasse por modelo (por exemplo, Grok-4 mostrou pontuações de raciocínio mais altas em tarefas de Crypto), o ganho relativo fornecido pela estrutura multi-agente foi estável. Isso sugere que a melhoria decorre do protocolo de coordenação e não de capacidades específicas do modelo.
• Transferência de Engenharia Social: No estudo de engenharia social, a equipe multi-agente alcançou 3/3 segredos obtidos sem detecção até a Rodada 10, enquanto a baseline de agente único alcançou apenas 1/3. A abordagem multi-agente mudou com sucesso de sondagem direta (que acionou detecção) para estratégias de elicitação indireta.

5. Significado e Alegações

O artigo alega que a coordenação, e não a inteligência bruta do modelo, é o fator dominante na eficácia de ataque observada.

• Vulnerabilidade Estrutural: As descobertas sugerem que futuros adversários impulsionados por IA provavelmente se manifestarão como ensembles distribuídos trocando informações parciais e refinando estratégias através de rodadas, em vez de instâncias únicas "superinteligentes".
• Implicações Defensivas: Salvaguardas atuais ao nível de conteúdo (filtros de entrada/saída, camadas de alinhamento) são insuficientes porque avaliam mensagens isoladamente. Um atacante coordenado distribui a intenção através de funções e rodadas, fazendo com que o sinal prejudicial emerja apenas quando as mensagens são correlacionadas.
• Mudança na Defesa: Os autores argumentam que a defesa deve mudar do filtragem baseada em conteúdo para o monitoramento estrutural das dinâmicas de função, proveniência de artefatos e formação de estratégia cruzada de mensagens. Os sinais no nível de protocolo externalizados pelo CAESAR (por exemplo, referências repetidas a entidades protegidas através de agentes, especialização gradual de função) são propostos como as quantidades necessárias para defesa estrutural.

Limitações Reconhecidas

Os autores notam explicitamente que:

• Desafios CTF são proxies simplificados para intrusões reais, carecendo de defensores ativos e restrições persistentes.
• O framework não foi testado contra sistemas de produção vivos e endurecidos.
• O estudo de engenharia social usou personas baseadas em LLM, não humanos reais, limitando alegações sobre eficácia operacional contra cognição humana real.
• O protocolo assume agentes cooperativos; funções bizantinas ou enganosas estão fora do escopo.