Resumo Técnico: CASPIAN – Detecção Online e Atribuição de Ataques em Cascata em Sistemas Multiagente de LLM

1. Declaração do Problema

Sistemas Multiagente de Modelos de Linguagem de Grande Escala (LLM-MAS) estão cada vez mais suscetíveis a ataques em cascata, um modo de falha distinto de injeções de prompt isoladas ou alucinações. Nestes ataques, uma influência adversária ou errônea injetada em um único agente propaga-se, amplifica-se e auto-reforça-se através de múltiplos agentes e turnos de interação. Essas cascatas exploram a estrutura de interação do sistema, potencialmente corrompendo memória compartilhada, redirecionando saídas de ferramentas e sincronizando agentes em direção a uma trajetória coletivamente falha.

O desafio central na detecção desses ataques reside na natureza distribuída e acoplada da evidência:

• Propagação Multicanal: A influência se espalha simultaneamente através de comunicação, memória compartilhada, APIs de ferramentas e metadados de execução. Monitorar um único canal fornece uma visão incompleta.
• Acumulação Temporal: A influência acumula-se gradualmente através da reutilização de contexto. Um agente pode parecer localmente benigno enquanto o sistema coletivamente transita para uma falha coordenada.
• Limitações das Defesas Existentes: Abordagens atuais (guardrails semânticos, juízes baseados em LLM, detectores baseados em grafos) operam majoritariamente em mensagens isoladas, grafos estáticos ou rastros post-hoc. Elas falham em capturar a dinâmica online, multicanal e temporalmente coordenada da propagação em cascata, frequentemente perdendo falhas em estágios iniciais ou exigindo análise offline que exclui intervenção em tempo real.

2. Metodologia: O Framework CASPIAN

O CASPIAN (Cascade Attack Spectral Propagation and Influence Attribution Network) é um framework unificado projetado para detecção online e atribuição de ataques em cascata. Ele desloca o paradigma da inspeção semântica localizada para o monitoramento da estrutura evolutiva da influência causal através do sistema.

2.1 Modelagem Causal Unificada Multicanal

O CASPIAN modela o LLM-MAS como um tensor de influência causal multicanal evolutivo $A_t \in \mathbb{R}^{N \times N \times |C|}$, onde $N$ é o número de agentes e $C = \{comm, mem, tool, exec\}$ representa os canais de interação.

• Estimativa de Influência: Em vez de uma análise de estado completo computacionalmente dispendiosa, o CASPIAN emprega uma formulação de Entropia de Transferência Condicional de Interação Tardia (LI-CTE). Isso estima a influência direcionada $a_{ij}^{(c)}(t)$ do agente $i$ para o $j$ no canal $c$, medindo o quanto a atividade da fonte explica o comportamento atual do alvo, condicionado ao estado histórico próprio do alvo.
• Eficiência: Inspirado na decomposição estilo ColBERT, a LI-CTE constrói projeções compactas de fonte e alvo, introduzindo apenas sobrecarga na escala de milissegundos enquanto captura dependências direcionadas e conscientes do histórico.
• Agregação Tensorial: Matrizes de influência específicas de canal são normalizadas e agregadas em uma matriz de influência unificada $\tilde{A}_t$ para análise espectral, preservando a estrutura tensorial para atribuição em nível de canal.

2.2 Detecção Espectral Online de Cascata

O CASPIAN detecta cascatas monitorando transições espectrais na topologia de influência evolutiva. Ele distingue atividade colaborativa transitória de cascatas de auto-reforço através de quatro dinâmicas-chave:

1. Amplificação: Crescimento na energia espectral dominante ($E_t = \lambda_1(t) + \lambda_2(t)$).
2. Sincronização: Apertamento da lacuna espectral ($g_t = 1 - \lambda_2(t)/\lambda_1(t)$), indicando modos de propagação acoplados.
3. Disseminação Multicanal: Distribuição da energia de influência através de múltiplos canais, medida via entropia de Shannon normalizada ($H_t^{norm}$).
4. Persistência: Reforço sustentado dessas dinâmicas ao longo do tempo.

Lógica de Detecção:

• Condição WATCH: Ativa-se quando o crescimento da amplificação coincide com o apertamento do acoplamento espectral ($\Delta g_t > 0$) impulsionado pelo modo dominante.
• Classificação:
  • Cascatas de Turno Único: Detectadas imediatamente se o WATCH coincidir com uma Mudança de Fase (alteração estrutural abrupta) ou Disseminação Multicanal, desde que exista um caminho de propagação viável (verificação de Elo Fraco).
  • Cascatas de Múltiplos Turnos: Detectadas se o WATCH persistir sobre uma janela adaptativa $W_{tw}$ (governada pela inversa da lacuna espectral) e contiver pelo menos um evento de transição estrutural.

2.3 Atribuição Causal Online

Após a detecção, o CASPIAN realiza atribuição online usando dinâmicas de influência em cache, não exigindo replay ou recomputação. Ele identifica:

• Origem: O agente com a influência de saída mais forte no início.
• Amplificador: O agente que mais fortemente reforça a propagação (alta razão de saída para entrada).
• Ponte: O agente que recebe e redistribui influência através da rede.
• Colunas de Propagação: Os top-$K$ caminhos dominantes, classificados pela força de seu elo mais fraco, juntamente com o canal de interação dominante para cada coluna.

3. Contribuições Principais

1. Modelagem Causal Unificada Multicanal: O primeiro framework a modelar conjuntamente a influência interagente direcionada através de canais de comunicação, memória, ferramentas e execução em LLM-MAS usando uma formulação eficiente de LI-CTE.
2. Detecção Espectral Online: Um mecanismo de detecção que identifica tanto cascatas abruptas de turno único quanto cascatas graduais de múltiplos turnos a partir de dinâmicas de influência evolutivas, sem exigir templates de ataque, rastros de calibração benignos ou treinamento offline.
3. Atribuição em Tempo Real: Um esquema de atribuição que recupera origens de cascata, amplificadores, pontes e caminhos de propagação diretamente das dinâmicas de influência em cache no momento da detecção, permitindo intervenção imediata.

4. Resultados Experimentais

O CASPIAN foi avaliado em dois benchmarks (TAMAS e ACIArena) através de quatro frameworks LLM-MAS (AutoGen, CrewAI, MetaGPT, LLM Debate), envolvendo 727 cenários e 2.908 rastros de execução.

• Desempenho de Detecção: O CASPIAN superou consistentemente guardrails semânticos (e.g., PromptGuard), juízes baseados em LLM e detectores baseados em grafos (e.g., G-Safeguard).
  • AUROC: Excedeu 0,90 na maioria das configurações (e.g., 0,942 no AutoGen).
  • Detecção Precoce (EDR@5): Alcançou detecção dentro de 5 turnos após a injeção em ~79% dos casos no AutoGen, superando significativamente as linhas de base (e.g., 0,792 vs. 0,482 para a melhor linha de base baseada em grafos).
  • Robustez: O desempenho manteve-se forte através de diferentes tipos de ataque (Manipulação de Intenção, Ataques de Execução, Ataques de Coordenação) e topologias de framework.
• Precisão de Atribuição:
  • Localização de Origem: Alta precisão (Acc@1 $\approx$ 0,86 no TAMAS AutoGen).
  • Ponte/Amplificador: Recuperação estável, embora a identificação de pontes seja mais desafiadora em topologias distribuídas.
  • Recuperação de Caminhos: Pontuações Jaccard@3 de coluna permaneceram acima de 0,62 em todas as configurações.
• Eficiência: O CASPIAN opera com latência de sobrecarga relativa sub-1% (e.g., ~0,66% em rastros benignos), tornando-o adequado para implantação online.

5. Significado e Alegações

O artigo alega que a modelagem causal unificada multicanal é essencial para detectar e compreender de forma confiável falhas em cascata em sistemas multiagente de LLM. Diferentemente de métodos anteriores que raciocinam localmente sobre prompts ou grafos estáticos, o CASPIAN aborda a natureza fundamental dos ataques em cascata como processos de propagação global.

Principais conclusões enfatizadas pelos autores:

• Reorganização Estrutural: O início da cascata é caracterizado por uma reorganização estrutural da influência interagente (amplificação, sincronização, disseminação multicanal) e não apenas por anomalias isoladas.
• Viabilidade Online: O framework demonstra que o monitoramento causal complexo pode ser integrado à execução online com latência negligenciável, permitindo intervenção em tempo real.
• Além da Inspeção de Mensagens: Monitorar canais de execução, memória e ferramentas é crítico; o monitoramento apenas de mensagens falha em capturar sinais de propagação em sistemas com memória persistente ou acesso a ferramentas.
• Interpretabilidade: As capacidades de atribuição fornecem uma decomposição condicionada ao rastro da falha, apoiando auditoria de segurança e a análise de dinâmicas de coordenação de agentes.

O trabalho conclui que o monitoramento causal estrutural oferece uma base escalável para segurança e auditoria em ecossistemas complexos de agentes LLM, superando as limitações da inspeção semântica localizada.