Resumo Técnico: KYA (Conheça Seus Agentes)

Declaração do Problema

As plataformas atuais de observabilidade para agentes autônomos (por exemplo, LangSmith, Langfuse) rastreiam efetivamente métricas operacionais, como latência, custo e taxas de erro. No entanto, carecem da capacidade de abordar identidade do agente, proveniência evidencial e contratos comportamentais executáveis. Especificamente, as ferramentas existentes não produzem artefatos de governança vinculados à identidade do agente, criptograficamente verificáveis e atestáveis por terceiros. Essa lacuna deixa os operadores incapazes de determinar definitivamente se um agente está desviando, vazando dados ou agindo de forma descontrolada, nem podem fornecer os trilhos de auditoria criptográficos exigidos por regulamentações emergentes, como o Ato de IA da UE, o NIST AI RMF e a ISO 42001.

Metodologia

KYA (Conheça Seus Agentes) é uma camada de confiança e governança de código aberto e agnóstica a frameworks, projetada para operar ao lado de ferramentas de observabilidade, em vez de substituí-las. Funciona como uma pilha coordenada de quatro componentes:

1. SDK Principal (veldt-kya): Uma biblioteca Python pura que lida com pontuação de confiança, cadeias de evidência e composição de políticas.
2. Ganchos de Framework (kya_hooks): Integrações no processo para mais de 15 frameworks de agentes (por exemplo, LangChain, CrewAI, OpenAI Agents) que emitem eventos canônicos.
3. Ponte de Telemetria (kya_otlp_bridge): Um sidecar que ingere spans do OpenTelemetry e mapeia-os para sinais do KYA.
4. Módulo de Red Team (kya_redteam): Uma ferramenta fora de banda para sondagem adversária usando PyRIT e Garak.

O sistema depende de cinco primitivas principais para preencher a lacuna entre telemetria e governança:

1. Pipeline de Aplicação de Entrada de Quatro Portões

Para gerenciar atualizações de políticas e recomendações federadas, o KYA emprega um pipeline estrito de quatro portões:

• Portão 1: Verificação de assinatura Ed25519 com fixação em múltiplos âncoras.
• Portão 2: Verificação de expiração no momento da persistência (prevenindo ataques de replay).
• Portão 3: Composição "Apenas-Apertar" (as políticas podem restringir, mas nunca afrouxar os padrões da plataforma).
• Portão 4: Aprovação do operador como estado padrão; a aplicação automática é restrita a listas de permissão específicas.

2. Álgebra de Composição Apenas-Apertar

O KYA introduz uma álgebra formal para composição hierárquica de políticas em três canais: padrões da plataforma, substituições do locatário e recomendações externas assinadas. Este sistema impõe um cálculo de refinamento onde as substituições do locatário podem apenas restringir (apertar) os pesos da plataforma, nunca afrouxá-los. Esta propriedade é formalmente provada como sólida (Lema 1) e impede que coletores comprometidos ou recomendações externas enfraqueçam a postura de segurança de um locatário.

3. KYP (Conheça Seu Principal) Taxonomia Unificada de Confiança

O KYA unifica a pontuação de confiança entre três tipos de principais — usuários humanos, agentes de IA e contas de serviço — em uma única tabela de nível de esquema (kya_principal_trust). Diferentemente de sistemas anteriores que pontuam agentes isoladamente ou dependem de provedores de identidade separados, o KYP utiliza um mecanismo de pontuação compartilhado com um discriminador de conjunto fechado. Isso permite o rastreamento consistente de confiança e a agregação de sinais em todo o ecossistema de atores.

4. Amplificação Auditável de Multiplicador de Interação

Construindo sobre uma linha de base aditiva com formato AIVSS, o KYA introduz um registro auditável de multiplicadores de interação. São amplificações limitadas e assimétricas (multiplicadores $\ge$ 1,0 apenas) acionadas por interações específicas entre pares (por exemplo, "execução de código com entrada do usuário" ou "escritor autônomo em produção"). Cada interação carrega um código de auditoria estável, permitindo que auditores rastreiem exatamente por que uma pontuação de risco foi amplificada. Isso aborda riscos compostos que modelos aditivos lineares ignoram.

5. Atribuição de Delegação em Dois Eixos

O KYA aborda o padrão de ataque "orquestrador limpo" (onde um sub-agente comprometido influencia um orquestrador limpo) através de dois eixos:

• Eixo Estático: Um prêmio de confiança de delegação que penaliza orquestradores por delegar a sub-agentes arriscados com base na configuração.
• Eixo Dinâmico: Um mecanismo de débito em tempo de execução usando a convenção actor_agent_key. Quando um sub-agente emite um sinal descontrolado, o sinal é marcado com a chave do orquestrador, debitando o contador de confiança do principal do orquestrador em tempo real. Isso previne a evasão de atribuição onde sub-agentes ocultam a parte responsável a montante.

Resultados Principais

O artigo avalia o KYA em quatro backends de armazenamento (PostgreSQL, SQLite, DuckDB, MySQL) e mais de 15 frameworks de agentes:

• Correção: Todas as 36 células em uma matriz de ponta a ponta de 4 backends $\times$ 9 fases passaram.
• Desempenho: O pontuador de função pura executa em tempo sub-milissegundo (p99 < 1ms). O sistema sustenta aproximadamente 1.800 operações por segundo com 20 trabalhadores concorrentes, preservando a integridade da cadeia HMAC.
• Detecção Adversária: Em uma campanha de red team usando 1.200 sondas do PyRIT e Garak, o KYA bloqueou ou sinalizou 89% dos ataques.
• Atribuição de Ataque: O sistema detectou e atribuiu com sucesso o "ataque multi-agente guiado por topologia" (Liang et al.) ao principal orquestrador, uma capacidade ausente em camadas de governança anteriores.
• Conformidade: O sistema gera artefatos legíveis por reguladores para 32 regimes regulatórios, incluindo GDPR, HIPAA, NYDFS e o Ato de IA da UE.

Significado e Alegações

Os autores posicionam o KYA como uma contribuição de sistemas em vez de uma construção criptográfica novel. Seu significado reside na disciplina de composição e nas primitivas de engenharia específicas que tornam a governança implantável em ambientes regulamentados e multi-locatários.

• Novidade: O artigo alega novidade na composição hierárquica de três canais (placaforma/locatário/externo) com uma prova formal de solidez, no registro de multiplicador de interação com códigos de auditoria estáveis e no débito de orquestrador em tempo de execução para mau comportamento de sub-agentes.
• Modéstia: Os autores afirmam explicitamente que os pesos de pontuação são heurísticos e derivados de julgamento de especialistas, não de calibração de verdade fundamental. Eles reconhecem que o sistema não resolve o problema da parada para verificação de segurança e que a taxa de falha de 11% em injeções de prompt sofisticadas de múltiplas rodadas reflete limites estruturais de filtros externos.
• Abertura: O sistema é lançado sob a licença Apache 2.0, com todos os fatores de pontuação, pesos e artefatos de cadeia de evidência sendo auditáveis e ajustáveis pelos operadores.

Em resumo, o KYA fornece a camada ausente de proveniência criptograficamente verificável e contratos comportamentais executáveis para sistemas autônomos, permitindo que os operadores respondam a perguntas de responsabilidade ("estava errado? quem é o responsável?") em vez de apenas operacionais ("quanto tempo levou?").