Resumo Técnico: Canais Adormecidos e Portões de Procedência

Definição do Problema: Canais Adormecidos

O artigo identifica uma nova classe de ameaça em agentes de IA autônomos "sempre ativos" (por exemplo, OpenClaw, Hermes Agent) denominados Canais Adormecidos. Diferentemente da injeção de prompt tradicional, que tipicamente ocorre dentro de uma única interação ou sessão, um ataque de canal adormecido desacopla a entrada ($T_0$) do efeito ($T_1$) ao longo do tempo, substratos de armazenamento e superfícies de comunicação.

Neste cenário, uma entrada não confiável (por exemplo, de um chat de grupo ou e-mail) é ingerida pelo agente e persiste como uma nota de memória, uma habilidade auto-criada, uma tarefa agendada ou um patch de sistema de arquivos. Este artefato sobrevive dentro do limite de autoridade do agente até que um gatilho benigno (como uma solicitação posterior do proprietário ou um loop autônomo) o recupere e o execute. O ataque dispara através de uma superfície diferente da entrada, frequentemente explorando a condição de "deputado confuso", onde o agente executa um comando em nome do proprietário, sem saber que os parâmetros do comando originaram-se de uma fonte não confiável.

Os autores definem a classe usando dois eixos:

1. Substrato de Persistência: Onde a instrução maliciosa sobrevive (Memória, Habilidade Auto-criada, Sistema de Arquivos, Gatilho Agendado/Externo).
2. Separação de Disparo: O grau de desacoplamento entre entrada e execução (Mesma sessão, Entre canais, Entre atores, Entre contextos de execução).

O artigo argumenta que a literatura existente trata essas capacidades de forma isolada (por exemplo, injeção de única interação ou envenenamento de memória) e falha em abordar a ameaça unificada de persistência multi-substrato combinada com disparo atrasado e entre superfícies.

Metodologia e Modelo de Ameaça

Os autores adotam um modelo de ameaça onde o atacante é "não confiável, mas admitido", o que significa que seu conteúdo chega ao agente através de canais habilitados, mas de baixa confiança (chats de grupo, e-mails, URLs buscadas). O defensor é o proprietário do agente. A análise está ancorada em um commit fixo específico do runtime OpenClaw (commit 3120401f...1829b1b6), com todas as afirmações verificadas contra o código-fonte fornecido.

O artigo apresenta uma taxonomia (Tabela I) mapeando substratos de persistência ($M_1$–$M_5$) contra separações de disparo ($C_0$–$C_4$). Destaca quatro cenários ilustrativos que trabalhos anteriores especificam insuficientemente:

• A4 (Exemplo em Andamento): Um ataque "Cron via deputado confuso" ($M_5 \times C_4$). Um atacante incorpora uma URL de webhook maliciosa em um e-mail. O agente resume isso na memória. Dias depois, o proprietário pede ao agente para "configurar aquela verificação de saúde diária". O agente recupera a nota, sintetiza uma tarefa cron com a URL do atacante e a executa. A persistência é a entrada do cron; o disparo ocorre no daemon do sistema cron, fora do processo do agente.
• A2: Um trojan de habilidade via chat de grupo ($M_3 \times C_2$).
• A3: Exfiltração entre canais via memória ($M_2 \times C_2$).
• A5: Patch de arquivo oculto (dotfile) ($M_4 \times C_4$).

Contribuições Principais: A Defesa de Procedência (D2)

O artigo propõe uma estratégia de defesa em camadas, sendo D2 a contribuição central. D2 move o limite de aplicação para fora do loop do modelo, dependendo do rastreamento de procedência e da atestação de instância de ação.

Mecanismos Principais

1. Etiquetagem e Propagação de Artefatos: O runtime mantém um estado de procedência ($\Pi$) para cada artefato (memória, habilidades, arquivos, chamadas de ferramenta). Etiquetas ($\tau$) registram a origem (Canal, Principal, Dispositivo). Entradas não confiáveis estritamente ampliam o conjunto de procedência.
2. Resumo de Instância de Ação: Toda ação consequente $\alpha$ é hashada em um resumo canônico $\delta(\alpha)$ usando uma função hash resistente a colisões (SHA-256) sobre os bytes de ação normalizados (incluindo argumentos e destino). Isso derrota a "lavagem de paráfrase", onde um modelo reescreve uma instrução do atacante para esconder sua origem.
3. Ganchos de Mediação: A defesa requer mediação completa através de dez ganchos de runtime (H1–H10).
   • Ganchos de Atualização (H1–H5): Povoam etiquetas e propagam procedência durante a entrada e criação.
   • Ganchos de Portão (H6–H10): Pontos de decisão antes de despachos com efeitos colaterais (por exemplo, execução de shell, gravação de arquivos, agendamento).
4. Atestação Única do Proprietário: Para ações com procedência não confiável, o portão exige uma concessão $g$ de um principal confiável. Esta concessão deve corresponder ao resumo da ação $\delta(\alpha)$, conter um nonce único (para prevenir replay) e chegar através de um canal companheiro atestado por hardware ($\Sigma$) que o modelo não pode emitir.

Teorema de Correção

Os autores fornecem um teorema de correção para D2, assumindo sete invariantes de runtime (Mediação, Etiqueta, Causal, Canal, Autenticação de Concessão, Nonce, Hash). O teorema afirma que um despacho é permitido apenas se:

• Todos os artefatos contribuintes no conjunto causal tiverem procedência confiável ($\Pi_\alpha \subseteq T$), OU
• Uma atestação válida, fresca e confiável pelo proprietário existir para a instância exata da ação.

Este design garante que, mesmo que o modelo seja enganado a gerar um comando malicioso, o portão o negará, a menos que o proprietário ateste explicitamente aquela instância de ação específica através de um canal seguro.

Resultados e Avaliação

O artigo não afirma um sistema de produção implantado, mas fornece um argumento de viabilidade ancorado no código-fonte e uma implementação de referência executável.

• Sonda Empírica (A4): Em uma "sonda de fumaça" de 20 tentativas de única interação, um modelo de raciocínio de ponta recebeu o aviso de segurança do OpenClaw e o contexto malicioso. 19/20 modelos emitiram uma chamada de ferramenta cron.add válida apontando para a URL do atacante, demonstrando que avisos em contexto (D1) são insuficientes para prevenir o ataque.
• Implementação de Referência: Um artefato companheiro em github.com/maloyan/sleeper-channels inclui:
  • Uma implementação em TypeScript da função de decisão do portão D2.
  • Uma suíte de auditoria estática (13 casos) verificando que as linhas de código citadas no OpenClaw existem e correspondem ao modelo de ameaça.
  • Um adaptador de runtime implementando os ganchos H1, H2, H3, H6 e H9 ao redor do caminho do cron.
  • Uma suíte de testes de 42 casos cobrindo regras de decisão, lavagem de múltiplas entradas e replay de concessão.
• Verificação: O adaptador de runtime demonstrou com sucesso que a chamada do atacante A4 é negada devido à procedência não confiável, enquanto tarefas cron benignas apenas do proprietário são admitidas.

Significado e Afirmações

O artigo posiciona-se como um artigo de posição e design que corrige a classe de ameaça dos canais adormecidos e fornece uma especificação formal para defesa.

• Novidade: É o primeiro trabalho a tratar a combinação de persistência multi-substrato e disparo atrasado, entre superfícies, como uma classe de ameaça unificada em agentes vivos do sistema operacional.
• Posicionamento da Defesa: Argumenta que sinais de procedência devem ser aplicados fora do loop do modelo. Confiar no modelo para recusar entradas não confiáveis (D1) é frágil contra ataques adaptativos.
• Formalismo: Introduz um teorema de correção e um resumo canônico de instância de ação para derrotar lavagem de paráfrase e ataques de replay, abordando lacunas em propostas anteriores da comunidade (por exemplo, issue upstream [10]) que careciam de fundamentação empírica e especificações formais de aplicação.
• Modéstia: Os autores afirmam explicitamente que taxas de sucesso de ataque empírico, eficácia de implantação total e compensações custo-utilidade são adiadas para um estudo subsequente pré-registrado. O trabalho atual estabelece a taxonomia, a defesa formal e a viabilidade do ataque e da defesa em um commit específico de runtime.