Resumo Técnico: Observabilidade para Execução Delegada em Sistemas de IA Agêntica

Declaração do Problema

O artigo identifica uma lacuna crítica na observabilidade de sistemas agênticos baseados em Large Language Models (LLMs): a execução de escopo de delegação não é identificável através de observáveis padrão (logs de auditoria e traços de execução).

Em sistemas tradicionais, a execução segue um fluxo de trabalho prescrito. Em sistemas agênticos, a execução é delegada: um principal emite um contexto de autorização durável para um agente, que então seleciona ferramentas dinamicamente, varia sequências de execução, retrocede (backtracking) e gera subagentes. Isso cria um descompasso estrutural:

1. Ortogonalidade de Autoridade e Causalidade: A unidade de responsabilidade (a delegação) é estruturalmente ortogonal à unidade de execução (o traço causal/span). Uma única delegação pode abranger chamadas de ferramentas causalmente desconectadas (retentativas paralelas, dispersão assíncrona), enquanto ações causalmente conectadas podem ocorrer sob delegações distintas (re-delegação).
2. Não Identificabilidade: O artigo prova que a membresia de delegação não pode ser reconstruída a partir de traços de execução e atributos locais de eventos. Múltiplas atribuições de delegação incompatíveis podem produzir telemetria observável (logs de auditoria e grafos causais) idêntica.
3. Limitações das Ferramentas Atuais: Mecanismos existentes (SIEM, OpenTelemetry, LangSmith) registram ações individuais ou cadeias causais, mas carecem da semântica para reconstruir "quais ações ocorreram sob uma determinada delegação" através de sistemas heterogêneos. Eles dependem de correlações heurísticas de janelas de tempo ou IDs de sessão, que falham sob composição multi-agente, retentativas e delegações sobrepostas.

Metodologia: O Modelo de Informação Comum (CIM) Sensível ao Agente

Para enfrentar isso, os autores propõem o CIM, um substrato de observabilidade leve e sensível ao agente. O CIM não é um motor de inferência de intenção, mas um modelo estrutural que vincula o contexto de delegação no momento da execução.

Componentes Principais

O CIM introduz um modelo de estrutura dupla para a execução delegada:

1. Grafo de Execução ($G_{exec}$): Representa relações causais (traços, spans, links pai-filho).
2. Grafo de Autoridade ($G_{auth}$): Representa relações de delegação (principais, agentes, re-delegação, linhagem).
3. Relação de Autorização ($R_{auth}$): Vincula explicitamente eventos a delegações.

Requisitos Semânticos

O CIM impõe quatro compromissos semânticos para tornar a reconstrução de escopo de delegação bem definida:

• R1 (Contexto de Delegação Persistente): Cada evento é vinculado a um delegation_id durável.
• R2 (Separação Autoridade–Causalidade): Partições de autoridade não precisam coincidir com traços; o modelo suporta explicitamente a divergência.
• R3 (Fechamento de Delegação): A re-delegação e a geração de agentes são representadas com fechamento de linhagem, permitindo consultas sobre uma delegação e todos os seus descendentes.
• R4 (Normalização Cross-System): Ações e recursos são normalizados em um vocabulário estável (ex: read, write, share, invoke) para permitir consultas entre ferramentas sem inspeção de payload.

Implementação: O Gateway

Os autores propõem um gateway leve como o limite de captura. Este componente (proxy, sidecar ou biblioteca) intercepta as invocações de ferramentas do agente para:

• Mintar e Vincular: Associar eventos a principais autenticados e emitir delegation_ids.
• Propagar: Garantir que o contexto de delegação viaje através de cadeias multi-agente.
• Normalizar: Mapear operações específicas de ferramentas para o vocabulário de ação canônico.
• Enforçar Invariantes: Garantir que o delegation_id não seja uma string de formato livre, mas um vínculo validado, e marcar explicitamente eventos como "não vinculados" se o contexto de delegação estiver ausente.

Principais Contribuições

O artigo apresenta três contribuições principais:

1. Formalização da Observabilidade de Delegação: Definindo uma propriedade de sistema onde o conjunto de ações sob uma delegação pode ser reconstruído sem correlação heurística de janela de tempo, mesmo sob concorrência e composição multi-agente.
2. Prova de Não Identificabilidade: Demonstrando que logs de auditoria e rastreamento causal isoladamente são insuficientes para recuperar a execução de escopo de delegação porque a autoridade delegada é ortogonal ao fluxo de controle causal.
3. Introdução do CIM: Um Modelo de Informação Comum que modela a execução delegada como estruturas duplas (grafos de autoridade e execução), permitindo reconstrução pós-fato confiável e consultas forenses diretas.

Resultados Experimentais

Os autores avaliaram o CIM usando dois ambientes: um gerador sintético de alto volume (100k agentes, 10k usuários) e uma micro-implantação com invocações de ferramentas reais.

Precisão de Reconstrução

• Ambiguidade: Sob métodos de baseline (apenas traço, janela de tempo ou correlação híbrida), a ambiguidade (o número de agrupamentos de delegação válidos) aumentou drasticamente com a concorrência. Por exemplo, em fluxos de trabalho multi-agente, a ambiguidade da baseline atingiu uma mediana de 10.856. O CIM alcançou uma ambiguidade de 1 para eventos cobertos por construção.
• Recall: Os métodos de baseline sofreram com baixo recall (p05 tão baixo quanto 0,03) quando os limites de traço não alinhavam com os limites de delegação. O CIM alcançou 100% de recall para os eventos cobertos.
• Divergência: Os experimentos confirmaram que a divergência autoridade-causalidade é prevalente (ex: delegações únicas abrangendo mais de 35 componentes causais em alguns fluxos de trabalho), validando a necessidade de um modelo que trate autoridade e causalidade como independentes.

Sobrecarga Operacional

• Tamanho do Evento: O CIM adiciona aproximadamente 247 bytes por evento (contexto de delegação, linhagem, predicados normalizados).
• Latência: O processamento do Gateway adiciona latência desprezível (mediana de 0,01 ms, p95 de 0,29 ms).
• Esforço de Consulta: O benefício mais significativo é a redução no fardo de construção de consultas. Consultas de baseline exigem de 6 a 14 operações (joins, janelamento, normalização) por classe. O CIM reduz isso para 1 a 3 predicados diretos sobre campos estáveis. O desempenho de tempo de execução das consultas foi comparável entre o CIM e as baselines na escala testada.

Significância e Alegações

O artigo afirma que sistemas agênticos requerem observabilidade sensível à delegação porque a autoridade delegada não pode ser reconstruída de forma confiável após o fato apenas através de traços.

• Responsabilidade Estrutural: O CIM permite a reconstrução de fluxos de trabalho como objetos estruturados em vez de fluxos de eventos planos, permitindo respostas diretas a perguntas forenses como "Qual é o raio de explosão da delegação $d$?" ou "Quais subagentes atuaram sob esta autoridade?".
• Agnóstico à Intenção: O sistema separa explicitamente atribuição de intenção. O CIM atribui ações à delegação sob a qual foram executadas, independentemente de a ação ter sido pretendida, resultado de um prompt injection ou um erro. Isso torna a "pegada de acesso/compartilhamento" auditável sem a necessidade de inferir o raciocínio interno do agente ou detectar prompt injection.
• Complementaridade: O CIM é apresentado como infraestrutura que complementa esforços de segurança e auditoria existentes. Ele não impede o uso indevido nem infere intenção, mas fornece os dados estruturais necessários para investigar resultados compostos, comportamentos emergentes e desvio de execução em sistemas multi-agente.

Os autores concluem que, sem tal substrato, o problema da "reconstrução de escopo de delegação" permanece estruturalmente indeterminado em IA agêntica, levando a uma análise forense não confiável conforme esses sistemas escalam.