Resumo Técnico: Firewall Linguístico: Geometria como Defesa em Roteamento de Sistemas Multiagentes

Declaração do Problema

A rápida integração de Grandes Modelos de Linguagem (LLMs) em Sistemas Multiagentes (MAS) tornou necessária a implementação de mecanismos de roteamento robustos para alocar tarefas a agentes especializados. As arquiteturas de roteamento de estado da arte atuais dependem fortemente de metadados textuais (ex: descrições em linguagem natural, documentação de ferramentas ou resumos de prompts de sistema) para determinar a competência do agente. Essa dependência cria uma vulnerabilidade de segurança crítica conhecida como Sequestro de Roteador (Router Hijacking).

Neste modelo de ameaça, um adversário pode manipular decisões de roteamento ao incorporar instruções adversárias (injeções de prompt) ou "jailbreaks" diretamente na descrição textual de um agente. Como os roteadores padrão devem ingerir e raciocinar sobre esses textos não confiáveis para funcionar, eles inadvertidamente ativam a carga útil do ataque. Isso permite que adversários direcionem o roteador para agentes maliciosos sem comprometer os pesos ou a infraestrutura do roteador. Além disso, os roteadores existentes frequentemente falham em distinguir entre o perfil projetado de um agente e suas capacidades operacionais reais, deixando-os vulneráveis a Agentes Adormecidos Semânticos (agentes que se comportam normalmente até serem acionados por pistas semânticas específicas) e Ataques de Embedding Adaptativos.

Metodologia: ANTAP

Para abordar essas vulnerabilidades, os autores introduzem o ANTAP (Automatic Non-Textual Agent Picker), uma arquitetura de roteamento que substitui a interpretação textual por projeção geométrica. O ANTAP opera sob a premissa de que o comportamento do agente pode ser modelado como operadores lineares dentro de um espaço semântico compartilhado, desacoplando as decisões de roteamento da interpretação de texto não verificado.

Mecanismo Central

O ANTAP funciona em duas fases distintas:

1. Fase Offline (Construção do Operador Comportamental):

   • Em vez de ler as descrições dos agentes, o sistema avalia os agentes contra um conjunto de consultas de referência confiáveis ($B$).
   • O desempenho é codificado em uma Matriz de Desempenho ($Y$) usando um sinal bipolar: $+1$ para sucesso (resposta correta + nenhuma chamada de ferramenta não autorizada) e $-1$ para falha.
   • Para cada agente, um Operador Comportamental ($W$) é aprendido. Trata-se de uma transformação linear derivada via mínimos quadrados com regularização de Tikhonov, mapeando embeddings de consulta para assinaturas de desempenho previstas.
   • Crucialmente, esta fase inclui "treinamento de segurança implícito". Se um agente adormecido ativar um backdoor durante a calibração (ex: realizar chamadas de ferramenta não autorizadas em consultas de gatilho), ele é rotulado como $-1$, fazendo com que seu operador aprendido codifique uma correlação negativa com o subespaço de embedding relevante.

2. Fase Online (O Firewall Linguístico):

   • No momento da inferência, o roteador nunca ingere ou processa descrições textuais.
   • Dada uma consulta do usuário $q$, o sistema calcula seu embedding $z = E(q)$.
   • O roteamento é realizado via uma única multiplicação matriz-vetor: $s = W^* z$, onde $s$ é o vetor de utilidade previsto.
   • O agente com a pontuação mais alta é selecionado.
   • Como a função de decisão depende exclusivamente de operadores numéricos fixos e embeddings de consulta, instruções adversárias incorporadas nas descrições dos agentes são matematicamente inexpressáveis dentro da lógica de roteamento.

Principais Contribuições

O artigo delineia quatro contribuições primárias:

1. Formalização da Ameaça: Os autores formalizam a injeção de prompt baseada em metadados como uma superfície de ataque distinta em MAS, demonstrando que adversários podem manipular decisões de roteamento privilegiadas sem comprometer a infraestrutura do roteador.
2. Roteamento Não Textual: Eles introduzem o ANTAP, que representa agentes como operadores lineares fixos derivados de desempenho empírico, eliminando a necessidade de interpretar descrições de agentes no momento da inferência.
3. Defesa Estrutural (Firewall Linguístico): A arquitetura atua como um "firewall linguístico" ao remover estruturalmente as descrições textuais da interface de roteamento, tornando impossível a execução de ataques de injeção de prompt baseados em descrição.
4. Validação Empírica: Benchmarking extensivo contra baselines de descrição e de embedding demonstra a capacidade do ANTAP de atingir uma Taxa de Sucesso de Ataque (ASR) próxima de zero, mantendo a precisão do roteamento e reduzindo a latência.

Resultados Experimentais

Os autores avaliaram o ANTAP contra baselines incluindo AutoGen (roteador baseado em texto) e EmbedLLM (roteador baseado em embedding) através de múltiplos datasets (MMLU, Big-Bench Hard, AgentHarm) e vetores de ataque.

• Injeção Baseada em Descrição: Contra ataques de injeção de prompt onde agentes maliciosos usam metadados adversários, o ANTAP alcançou uma ASR de 0,2% no MMLU. Em contraste, o baseline AutoGen sofreu uma ASR de 75,3%, e o EmbedLLM atingiu 5,8%.
• Agentes Adormecidos (Envenenamento de Dados): Para ataques de backdoor latente (ex: BadNet, Sleeper, VPI), o ANTAP manteve uma ASR entre 0,3% e 1,9%, superando significativamente os baselines que variaram de 12,2% a 78,8%.
• Ataques Adaptativos: Sob ataques adaptativos de caixa branca, onde adversários otimizam tokens de consulta para romper a fronteira geométrica, o ANTAP mostrou uma rigidez notável. Sua ASR permaneceu estável (fluctuando apenas cerca de 8 pontos percentuais em relação ao seu baseline limpo) independentemente do comprimento do gatilho, enquanto a ASR do EmbedLLM disparou dramaticamente com adições mínimas de gatilhos.
• Escalabilidade e Robustez: Estudos de ablação confirmaram que o desempenho do ANTAP é invariante à verbosidade do prompt (prompts de sistema de até 1.000 tokens) e ao tamanho do pool de agentes (escalando de 2 para 19 agentes), enquanto os baselines sofreram picos de latência e degradação de precisão conforme as janelas de contexto cresciam.

Significância e Alegações

O artigo postula que o ANTAP representa uma mudança fundamental na segurança de ecossistemas de agentes, movendo a "raiz da confiança" das autodescrições não confiáveis dos agentes para um pipeline de avaliação empírica controlado pela plataforma.

• Segurança Estrutural: Ao eliminar a ingestão de texto no momento da inferência, o ANTAP não apenas mitiga ataques, mas torna classes específicas de ataques (sequestro baseado em descrição) estruturalmente impossíveis.
• Realinhamento de Incentivos: A abordagem desencoraja o "keyword stuffing" (enchimento de palavras-chave) e a engenharia de prompt descritiva, realinhando os incentivos dos agentes para o desempenho empírico.
• Eficiência: Substituir a complexa inferência de LLM para roteamento por operações geométricas de custo fixo reduz drasticamente a latência (ex: 27ms para o ANTAP vs. 428ms para o AutoGen em testes de baseline).

Os autores concluem que, embora o ANTAP assuma um ambiente de calibração offline confiável, ele fornece um passo arquitetônico promissor para sistemas multiagentes seguros, escaláveis e confiáveis, aproveitando as propriedades geométricas do espaço semântico como um mecanismo de defesa.