Resumo Técnico: O Agente se Recusará? Medindo a Conformidade de Agentes LLM com Sinais de Negação In-Band

1. Definição do Problema

À medida que agentes autônomos de Grandes Modelos de Linguagem (LLMs) operam infraestruturas utilizando credenciais equivalentes às humanas, surgiu uma lacuna crítica de governança. Do ponto de vista de um servidor, um agente que detém credenciais válidas é indistinguível do proprietário humano dessas chaves. Consequentemente, os servidores carecem de um mecanismo padronizado e in-band para sinalizar a intenção — especificamente, para informar a um agente que um recurso está fora de seus limites — sem causar uma falha total da conexão (o que seria indistinguível de outros erros de cliente) ou depender exclusivamente de gateways externos.

Os modelos de controle de acesso existentes (RBAC, ReBAC, gateways de API) operam externamente ao recurso. Não há uma forma padronizada de o próprio recurso emitir uma política legível por máquina para um agente conectando-se, nem há evidência empírica sobre se agentes complacentes honrariam tal sinal caso ele fosse fornecido.

2. Metodologia

Os autores propõem e avaliam um "controle de governança cooperativa" em vez de um limite de segurança. A metodologia envolve três componentes principais:

A. O Sinal de Recusa (Mini-Padrão)

O artigo define um protocolo agnóstico de sinal de negação in-band formatado como uma única linha sentinela seguida de texto legível por humanos.

• Formato: RECUSE/<versão> <diretiva>; reason=<texto>; scope=<escopo>; ref=<url>; id=<uuid>
• Diretivas: Inclui deny (retirar/negar), throttle (limitar/reduzir velocidade) e warn (aviso). Diretivas desconhecidas assumem por padrão deny (falha fechada/fail-closed).
• Comportamento Normativo: Agentes conformes DEVEM cessar as operações ao receber uma diretiva deny e DEVEM apresentar o aviso ao seu operador.
• Analogia: Funciona como um análogo "vivo" ao robots.txt, mas emitido por requisição através de canais de protocolo existentes (ex: banners de SSH, NOTICES de PostgreSQL) em vez de ser um arquivo estático pré-carregado.

B. Adaptadores de Referência

Dois adaptadores de baixa pegada (low-footprint) foram implementados para emitir este sinal sem modificar o software principal do servidor:

1. Adaptador SSH: Utiliza um Banner de pré-autenticação para sinais estáticos e um hook de PAM (pam_exec) para injetar IDs de sessão dinâmicos e registros de conexão em JSON. É não-bloqueante (sempre retorna 0) e idempotente.
2. Adaptador PostgreSQL: Um proxy de protocolo de rede baseado em Go que intercepta conexões. Ele injeta o Sinal de Recusa como uma mensagem NOTICE imediatamente após a autenticação, mas antes do primeiro ReadyForQuery. Ele retransmite todo o restante do tráfego byte a byte, garantindo que a autenticação (SCRAM-SHA-256) e as consultas procedam normalmente, tornando o sinal puramente cooperativo.

C. Desenho Experimental

Um experimento controlado foi conduzido para medir as taxas de recusa dos agentes.

• Tarefa: Uma tarefa de operações benigna e de apenas leitura ("Verificar espaço livre em disco no sistema de arquivos raiz").
• Sujeitos: OpenAI GPT-4o, GPT-4o-mini (via loops de uso de ferramentas de API) e Claude Code (como um agente implantado com login interativo).
• Condições:
  • Sinal Presente: O host emite o sinal de negação de Recusa.
  • Controle: O sinal é suprimido.
  • Enquadramento de Autorização: Um system prompt afirmou explicitamente que o operador autorizou a ação (para testar se o sinal poderia sobrepor as instruções do prompt).
• Codificação de Resultado: A recusa foi definida pela intenção do agente de parar e apresentar o aviso, não meramente pela contagem de comandos.

3. Principais Resultados

O estudo piloto gerou quatro descobertas primárias:

1. Eficácia do Sinal (F1): O sinal induz a recusa com sucesso. Na presença do sinal (sem enquadramento de autorização), todos os agentes testados (GPT-4o, GPT-4o-mini, Claude Code) recusaram 100% das vezes. No grupo de controle (sem sinal), todos os agentes completaram a tarefa 100% das vezes.
2. Natureza Cooperativa (F2): O sinal é consultivo, não coercitivo. Quando um enquadramento de "autorização do operador" foi adicionado ao prompt, o GPT-4o prosseguiu em 4 de 5 tentativas (taxa de recusa de 20%), sugerindo que o modelo pesou a afirmação de autorização do prompt contra o sinal do servidor.
3. Conformidade Dependente do Modelo (F3): A conformidade varia conforme o modelo. Enquanto o GPT-4o prosseguiu quando "autorizado", o GPT-4o-mini e o Claude Code continuaram a deferir ao banner do host, recusando 100% das vezes mesmo quando o prompt alegava autorização. O Claude Code especificamente tratou o banner de primeira mão do servidor como mais autoritativo do que a afirmação de segunda mão do prompt.
4. Insight Metodológico (F4): A recusa deve ser julgada pela intenção de resposta, não pela execução de comandos. Na sessão SSH interativa, os agentes do Claude Code frequentemente bufferizaram o banner e a saída do comando juntos. Uma métrica ingênua contando a execução de comandos teria rotulado falsamente eles como não conformes; no entanto, seu comportamento subsequente (parar, apresentar o aviso, declinar ações futuras) confirmou a recusa.

4. Significância e Alegações

O artigo posiciona o Sinal de Recusa como um controle de governança cooperativa, distinguindo-o explicitamente de um limite de segurança. Ele não defende contra atores maliciosos ou clientes não conformes com credenciais válidas.

As principais contribuições do artigo são:

• Padronização: A definição de um formato de sinal de negação legível por máquina e agnóstico de protocolo e versionado.
• Implementação: O lançamento de adaptadores de zero-pegada para SSH e PostgreSQL que permitem que recursos emitam políticas in-band.
• Medição Empírica: A primeira medição controlada de se agentes de LLM implantados realmente honram tais sinais voluntários. Os resultados sugerem que, embora os agentes sejam amplamente complacentes, seu comportamento é sensível ao modelo específico e à presença de instruções de autorização conflitantes.
• Insight de Governança: A descoberta de que um sinal in-band do próprio recurso pode, na prática, superar a autorização de nível de prompt para certos modelos (especificamente o Claude Code), oferecendo uma nova alavanca para governança contra cenários de "deputado confuso" (confused deputy).

Os autores mantêm um escopo modesto, reconhecendo as limitações do piloto (tamanho de amostra pequeno, família de tarefas única, protocolos específicos) e enquadrando este trabalho como um passo fundamental em direção à medição e padronização da negociação agente-recurso, em vez de uma solução de segurança completa.