Brain-Prompt Injection: A Route-Safety Audit for BCI-LLM Agents

Resumo Técnico: Injeção de Prompt Cerebral e Auditorias de Segurança de Rota para Agentes BCI–LLM

1. Definição do Problema

O artigo aborda uma nova vulnerabilidade de segurança emergente da integração de Interfaces Cérebro-Computador (BCIs) com agentes de uso de ferramentas baseados em Grandes Modelos de Linguagem (LLMs). Nesta arquitetura, a atividade neural decodificada (ex: sinais de EEG) serve como um canal de autorização para que um agente execute ferramentas (ex: mover um cursor, enviar uma mensagem). Os autores identificam uma nova superfície de ataque denominada injeção de prompt cerebral (brain-prompt injection), onde um adversário manipula o sinal neural ou o contexto circundante para forçar o agente a executar ações não autorizadas.

O artigo define três modos de falha específicos que os mecanismos de segurança atuais não conseguem abordar conjuntamente:

• C1 (Perturbação do Lado do Sinal): Perturbações adversariais nas janelas de EEG que alteram o comando decodificado, semelhante aos exemplos adversariais tradicionais.
• C2 (Injeção Apenas de Contexto): Análogo à injeção de prompt indireta em LLMs, onde um atacante modifica o contexto externo (ex: documentos recuperados ou prompts de sistema) para alterar a rota do agente. Crucialmente, o sinal de EEG permanece "limpo", fazendo com que monitores baseados apenas em EEG falhem em detectar a anomalia.
• C3 (Ataque de Decodificador Duplo Adaptativo): Um atacante aplica uma perturbação compartilhada à entrada bruta vista tanto por um decodificador primário ($f$) quanto por um decodificador de verificação ($f_2$). Isso satisfaz o predicado de "acordo" de segurança (ambos os decodificadores produzem o mesmo alvo) enquanto conduz ambos a um alvo escolhido pelo atacante em vez da intenção do usuário.

O problema central é que as alegações de segurança existentes (ex: "o acordo de decodificador duplo certifica a intenção") são matematicamente insuficientes porque não levam em conta a elevação de dependência atacada (attacked dependence lift) — a probabilidade conjunta de ambos os decodificadores serem simultaneamente conduzidos ao mesmo alvo malicioso por uma perturbação compartilhada.

2. Metodologia e Estrutura Teórica

O Contrato de Auditoria de Segurança de Rota
Os autores propõem um Contrato de Auditoria de Segurança de Rota formal para definir as condições necessárias para certificar a segurança da rota. Este contrato consiste em:

• Esquema de Log ($L_c$): Um conjunto mínimo de variáveis que devem ser registradas por caso, incluindo proveniência de contexto, decisões secundárias atacadas, políticas de execução e resultados de rota.
• Hierarquia de Denominadores ($D_c$): Denominadores estatísticos específicos (ex: casos de fonte-não-alvo, hierarquias de nível de semente) necessários para calcular taxas válidas.
• Especificação de Endpoint ($G_c$): Critérios definidos de aprovação/reprovação.

Contribuições Teóricas

• Teorema da Separação de Esquema de Auditoria: O artigo prova que, sem o registro de variáveis específicas (como proveniência de contexto para C2 ou decisões secundárias atacadas para C3), dois mundos de auditoria podem parecer idênticos em seus logs, enquanto possuem valores de verdade de segurança opostos. Assim, métricas padrão (como taxas de acordo limpas) não são identificadoras para estas classes de ataque.
• Decomposição de Dependência Atacada de C3: Os autores decompõem o risco de um ataque C3 em três termos: a probabilidade do alvo primário ($p_1$), o termo de acordo condicional atacado ($P(B|A)$) e o termo de política de execução ($\alpha$). Eles demonstram que estatísticas de acordo limpas não identificam o termo conjunto atacado ($\Delta_D$), o que significa que um alto acordo limpo não garante segurança sob ataque.
• Camada de Calibração Conforme: Para abordar o C3, o artigo aplica calibração split-conformal a um canal de confirmação não-oráculo (uma janela de EEG independente decodificada por um modelo separado). Isso estabelece um limite teórico na Taxa de Falso Aceite (FAR) sob um modelo de ameaça específico (B-strict) que exige:
  1. Isolamento de Aquisição: A janela de confirmação é adquirida de uma sessão que o atacante não pode influenciar.
  2. Não-Controlabilidade do Canal de Confirmação: O atacante não pode perturbar a janela de confirmação.
     O artigo prova, via um argumento de viabilidade PGD, que se o atacante puder perturbar a janela de confirmação, nenhum limite uniforme de FAR existe.

3. Validação Experimental

Os autores instanciam o contrato de auditoria em dados de controle de comando esquerda/direita nativos do EEGMMI, envolvendo 5.400 eventos através de 60 sujeitos, 10 sementes aleatórias e stubs de ferramentas inofensivas (movimentos de cursor).

Principais Descobertas Experimentais:

• Vulnerabilidade C2: A injeção apenas de contexto roteia a ação alvo com uma taxa de 1.000 quando a proveniência está ausente. Quando a proveniência do contexto é aplicada, a rota é bloqueada (0.000), enquanto os monitores do lado do EEG permanecem cegos ao ataque.
• Vulnerabilidade C3: Sob perturbações de entrada bruta compartilhada, o acordo de decodificador duplo falha em prevenir o roteamento não autorizado. A taxa de sucesso do ataque para C3 é de 1.000, mesmo quando o acordo e a proveniência estão presentes.
• Eficácia da Confirmação: A introdução de uma janela de confirmação de EEG independente (proxy não-oráculo) reduz significamente o roteamento C3.
  • Em uma Taxa de Falso Aceite (FAR) alvo ($\alpha$) de 0,05, a taxa de roteamento C3 cai para 0,178 (IC 95% [0,153, 0,206]) com uma utilidade limpa de 0,573.
  • Em $\alpha = 0,01$, a taxa de roteamento C3 cai para 0,091 (IC 95% [0,073, 0,113]) com uma utilidade limpa de 0,458.
• Necessidade de Arquétipo de Ameaça: Os experimentos validam a necessidade do modelo de ameaça B-strict. Quando o atacante tem permissão para perturbar a janela de confirmação (Arquétipos C e C'), a FAR explode para ~1.000, confirmando o limite teórico.
• Pré-processamento e Testes de Estresse: O artigo testa a robustez do bypass de acordo contra restrições de pré-processamento (suavização, limitação de banda, deslocamentos temporais). Embora restrições combinadas (suave + limitação de banda) reduzam as taxas de acordo para 0,156, o ataque permanece viável sob muitas restrições realistas, e a sensibilidade ao alinhamento temporal é identificada como um ponto frágil.
• Saturação de Capacidade: Experimentos variando a capacidade do modelo de confirmação (TinyEEGNet vs. EEGNetV4) mostam que a fronteira FAR/utilidade é limitada pelo dataset, e não pelo modelo, dentro do regime testado; aumentar a capacidade do modelo além de algumas centenas de parâmetros produz retornos decrescentes.

4. Principais Contribuições

1. Definição de Injeção de Prompt Cerebral: Formalização da superfície de ataque onde sinais neurais e contextos de LLM interagem, identificando especificamente os modos de falha C1, C2 e C3.
2. Contrato de Auditoria de Segurança de Rota: Um framework teórico provando que alegações de segurança exigem esquemas de log e denominadores específicos. Estabelece que o acordo limpo não é um certificado de intenção sob ataques adaptativos.
3. Calibração Conforme para BCI: Adaptação da predição split-conformal para canais de confirmação de BCI, fornecendo um limite rigoroso e falsificável sobre rotas confirmadas não autorizadas sob isolamento estrito de aquisição.
4. Instanciação Empírica: Um protocolo de auditoria abrangente em dados reais de EEG (EEGMMI) demonstrando que:
   • A proveniência bloqueia C2.
   • O acordo sozinho falha contra C3.
   • A confirmação independente (com isolamento estrito) reduz o risco C3, mas não o elimina, criando uma fronteira mensurável de risco-utilidade.

5. Significância e Alegações

O artigo posiciona sua contribuição como um protocolo de auditoria estreito e testável, em vez de uma garantia geral de implantação ou uma demonstração de ataque físico.

• Alegações Modestas: Os autores afirmam explicitamente que não estão estimando a prevalência de BCI implantado, a viabilidade de injeção física ou o consentimento humano. Os experimentos são auditorias de autorização offline.
• Significância Central: A principal contribuição é a demonstração de que as alegações de segurança de rota devem ser específicas de classe. Um certificado de segurança válido para C1 (perturbação de sinal) é insuficiente para C2 (injeção de contexto) ou C3 (acordo adaptativo).
• Implicação Prática: O artigo argumenta contra o tratamento do acordo de decodificador duplo como um predicado de segurança suficiente. Em vez disso, defende uma pilha de segurança que inclua registro de proveniência, canais de confirmação independentes (com isolamento estrito) e denominadores específicos de classe para falsificar alegações de segurança.
• Limitações: O trabalho reconhece que a não-estacionariedade entre dias, o reposicionamento do headset e o desvio de impedância são suposições abertas não cobertas pelo conjunto de dados atual. O "ponte de roteador vivo" é uma verificação de transcrição, não uma validação de agente em tempo real.

Em resumo, o artigo fornece um framework matemático e empírico rigoroso mostrando que os mecanismos de segurança atuais de BCI-LLM são cegos para vetores de ataque conjuntos específicos, e propõe um esquema de auditoria mínimo e uma camada de calibração conforme para tornar esses riscos mensuráveis e falsificáveis.