Resumo Técnico: Infraestrutura Agente Verificável – Autorização Derivada de Prova para Sistemas de IA Soberana

1. Declaração do Problema

Sistemas modernos de nuvem e corporativos dependem de modelos de autorização centrados em identidade, assumindo que chamadores com credenciais válidas são seguros para executar comandos. Essa suposição falha no contexto de agentes de IA autônomos, que podem gerar ações sintaticamente válidas, mas semanticamente inseguras. Conceder aos agentes permissões amplas e permanentes cria riscos operacionais significativos, particularmente em sistemas de IA soberana, onde os agentes interagem com infraestrutura crítica, dados regulamentados e fluxos de trabalho financeiros.

Embora substratos "governados por intenção" (como o OpenKedge) mitiguem isso ao interpor-se nas ações do agente — exigindo que os agentes submetam propostas para avaliação em vez de mutar o estado diretamente —, eles deixam uma lacuna crítica: a própria decisão de autorização é frequentemente inaudível e representa um ponto único de falha. O problema central abordado é como tornar a decisão de autorizar uma intenção verificável, distribuída e reprodutível. Especificamente, o artigo pergunta: qual é o objeto estável que os avaliadores aprovam? Como a autoridade temporária é derivada de um registro de aprovação em vez de um papel permanente do chamador? E o que deve ser persistido para reconstruir por que a autoridade de execução existiu?

2. Metodologia: O Framework de Confiança Distribuída (DTF)

Os autores propõem o Framework de Confiança Distribuída (DTF), uma camada de verificação projetada para substratos de mutação governada. O DTF desloca o locus da confiança do principal (o agente) para o ciclo de vida da decisão. Ele impõe um invariante de autorização compacto: nenhuma execução de alto risco sem um objeto de prova, nenhuma autoridade derivada sem consenso e nenhuma mutação válida desconectada de evidências.

O framework opera através de quatro construções primárias:

2.1 Provas de Justificativa (JP)

Em vez de explicações em linguagem natural ou registros de auditoria post-hoc, o DTF utiliza artefatos estruturados e inspecionáveis por máquina chamados Provas de Justificativa. Uma JP codifica a base de admissibilidade de uma ação antes que a autoridade seja emitida. Ela contém:

• Especificação de Mutação ($M_t$): A ação proposta.
• Estado Limitado e Contexto ($S_t$): O instantâneo do contexto relevante para autorização no momento da decisão.
• Base de Política ($\Pi_t$): As políticas e restrições específicas aplicadas.
• Avaliação de Risco ($R_t$): Classificação de risco e força de aprovação necessária.
• Limite de Execução ($B_t$): O escopo máximo permitido (ação, recurso, tempo e obrigações) se aprovado.

2.2 Validação por Consenso

O DTF distribui a confiança sobre a autorização exigindo que avaliadores independentes atestem o mesmo Objeto de Prova.

• Enxame de Avaliadores: Um conjunto heterogêneo de avaliadores (por exemplo, política, estado, risco, simulação e supervisionado por humanos) processa a mesma JP.
• Atestações: Cada avaliador emite uma atestação assinada ($a_i$) indicando aprovação, rejeição ou abstenção, juntamente com objeções estruturadas.
• Regra de Consenso ($q$): Uma regra de governança computa a decisão final com base em limiares de quórum, diversidade de avaliadores e direitos de veto. A autoridade é concedida apenas se o consenso aprovar explicitamente a prova.

2.3 Identidade de Execução (EI)

Após a aprovação por consenso, o sistema deriva uma Identidade de Execução.

• Autoridade Efêmera: Diferentemente de papéis permanentes, uma EI é um token temporário e não transferível.
• Derivação de Escopo: O escopo da EI é estritamente limitado pelo limite derivado da prova ($B_t$). O sistema impõe que o escopo efetivo da identidade não possa exceder o limite da prova.
• Implementação: Em ambientes de nuvem, as EIs são implementadas como credenciais de curta duração (por exemplo, sessões AWS STS) com políticas de sessão restritivas.

2.4 Cadeias de Evidência (EC)

Para garantir a reprodutibilidade, o DTF mantém uma Cadeia de Evidência apenas de adição para cada tentativa de mutação.

• Completude: A cadeia registra todo o ciclo de vida: Intenção, Contexto, Política, Prova de Justificativa, Atestações, Metadados de Governança, Decisão, Identidade de Execução, Tentativa de Mutação e Resultado.
• Reprodutibilidade: Essa estrutura permite que auditores reconstruam a base de autorização sem precisar re-simular o raciocínio interno do agente.

3. Invariantes do Sistema

O artigo define quatro invariantes principais de ciclo de vida impostos pelo DTF:

1. Execução Limitada por Prova: Nenhuma mutação de alto risco é executada sem uma Prova de Justificativa válida correspondente.
2. Autoridade Controlada por Consenso: Nenhuma Identidade de Execução é emitida a menos que a regra de consenso aprove explicitamente a prova.
3. Não Escalonamento: O escopo de autoridade efetivo de uma Identidade de Execução deve estar contido dentro do limite derivado da prova.
4. Completude de Evidência: Cada proposta de intenção, independentemente do resultado, mapeia para exatamente uma Cadeia de Evidência estruturalmente completa.

4. Implementação e Avaliação

Os autores instanciaram o DTF sobre um substrato de mutação governada baseado em OpenKedge e o implantaram como um conjunto de microsserviços (aproximadamente 4.500 linhas de Go) na AWS.

• Arquitetura: O sistema inclui um Gateway de Intenção, Motor de Justificativa, Enxame de Avaliação (usando funções AWS Lambda sem estado), Corretor de Execução e Armazenamento de Evidências (usando Amazon QLDB).
• Carga de Trabalho: A avaliação testou 10.000 mutações de agente sintéticas em três cenários: terminação destrutiva de recursos, mutação de configuração de produção e execução de emergência de "quebra de vidro".
• Baselines: O sistema foi comparado contra (B1) credenciais IAM permanentes com registros de auditoria padrão e (B2) uma pré-verificação apenas de política.

Resultados Chave

• Segurança: O DTF alcançou uma taxa de bloqueio ou escalonamento de 100% para todas as 2.400 variantes inseguras (incluindo estado desatualizado, dependências ausentes e direcionamento de recursos protegidos). Em contraste, a baseline apenas de política (B2) permitiu que 14% das mutações inseguras passassem.
• Contenção de Autoridade: O DTF reduziu o escopo médio de execução efetivo de 450 recursos (credenciais permanentes) para exatamente 1 recurso aprovado por solicitação, representando uma redução de 99,7% na exposição de autoridade.
• Auditoria: A Cadeia de Evidências alcançou 100% de completude. Auditores puderam reconstruir o ciclo de vida de autorização para 99,9% dos eventos sem correlação manual de logs, comparado a 23,0% para registros de auditoria padrão.
• Latência: A latência de decisão ponta a ponta média foi de 58,3 ms (mediana de 52,6 ms), com percentil 99 de 171,3 ms. Os autores observam que essa sobrecarga é aceitável para operações de alto risco dominadas pela latência do substrato e tempos de revisão humana.

5. Significado e Alegações

O artigo alega que o DTF fornece uma infraestrutura fundamental para tornar a execução agente governável, auditable e limitada em implantações de IA soberana.

• Mudança na Confiança: A contribuição primária é deslocar o objeto de autorização de um principal durável para um ciclo de vida de decisão registrado. O sistema não precisa confiar no raciocínio interno do agente; ele apenas exige que a autoridade de execução seja derivada de prova explícita, aprovação independente e emissão limitada.
• Verificabilidade: Ao estruturar a autorização como um ciclo de vida reprodutível de artefatos (Prova, Consenso, Identidade, Evidência), o DTF aborda a "lacuna de decisão inaudível" inerente aos motores de política tradicionais.
• Escopo Moderado: Os autores afirmam explicitamente que o DTF não sintetiza políticas corretas, não garante decisões globalmente ótimas e não resolve injeção de prompt dentro do próprio agente. Seu valor é arquitetônico: ele garante que autoridade de alto risco não possa ser legitimamente materializada sem prova registrada, aprovação registrada, emissão limitada e evidência durável. Os resultados são validados em cenários controlados, com arquitetura controlada e classes de mutação conhecidas, não como benchmarks de escala de internet sem restrições.

O artigo conclui que, ao impor o invariante "nenhuma execução de alto risco sem prova, nenhuma autoridade sem consenso e nenhuma mutação válida desconectada de evidências", o DTF transforma a autorização de uma aspiração de auditoria em um ciclo de vida executável e verificável.