Resumo Técnico: Meta-STPA Constitucional

1. Declaração do Problema

Modelos de Linguagem de Grande Escala (LLMs) são cada vez mais utilizados para automatizar a geração de artefatos de análise de segurança (perdas, perigos, Ações de Controle Inseguras [UCAs] e restrições) dentro de frameworks rigorosos como a Análise de Processo Sistêmico de Segurança (STPA). No entanto, existe um ponto cego crítico: embora os sistemas alvo (ex: aeronaves, dispositivos médicos) sejam analisados, as ferramentas assistidas por LLM que realizam a análise raramente são escrutinadas. Essas ferramentas são, elas próprias, sistemas relevantes para a segurança, capazes de alucinar padrões, emitir restrições não verificáveis e falhar em manter trilhas de auditoria. O artigo faz a pergunta fundamental: "Quem analisa o analisador?" A literatura atual carece de um método para analisar formalmente a própria ferramenta de segurança assistida por IA, deixando-a vulnerável às mesmas ações de controle inseguras que o STPA foi projetado para prevenir.

2. Metodologia: Meta-STPA Constitucional

Os autores propõem o Meta-STPA Constitucional, uma metodologia de ciclo fechado que aplica o STPA à classe de ferramentas de segurança assistidas por IA para derivar sua própria constituição de governança.

2.1. O Processo Meta-STPA

Em vez de analisar um sistema físico, a ferramenta trata o pipeline de segurança de IA como o sistema sob análise.

• Controladores: O LLM, a camada de validação, o mecanismo de votação (voting harness), o portão de exportação (export gate) e o engenheiro de sobreaviso.
• Ações de Controle: Geração de perdas/perigos/UCAs, sinalização de erros, reporte de discordância entre modelos e exportação de relatórios.
• Derivação: Ao percorrer os quatro tipos de UCA sobre essas ações de controle, o sistema identifica perigos únicos de ferramentas de IA (ex: chamadas de LLM não registradas, deriva de versão silenciosa, descrições adulteradas).
• Geração de Restrições: Cada perigo identificado gera uma restrição de segurança, formando uma constituição de governança.

2.2. A Estrutura da Constituição

A constituição derivada consiste em 29 princípios vinculados a pontos específicos de aplicação de código:

• 21 Princípios da Ferramenta (TP): Uma camada comportamental que molda o conteúdo da análise (ex: enumeração sistemática, não fabricação, restrições mensuráveis).
• 8 Princípios de Meta-Segurança (MSP): Uma camada de governança que governa a maquinaria da ferramenta (ex: registro de auditoria, manifestos de execução, fixação de versão do modelo, votação de correspondência semântica, exportação controlada por validador).

2.3. A Implementação do Pipeline

A ferramenta opera em um pipeline de cinco etapas ($\Pi$) que mapeia uma descrição de sistema ($S$) e uma constituição ($C$) para um artefato ($A$):

1. Geração por LLM: Geração livre de perdas, perigos e estruturas de controle.
2. Enumeração Determinística: O motor cria slots fixos para cada tripla (controlador, ação, tipo de UCA). O LLM deve preencher estes com uma UCA concreta ou uma justificativa explícita de "não aplicável". Isso garante completude estrutural independente da diligência do modelo.
3. Geração de Restrições: Um slot de restrição é criado para cada UCA não-N/A.
4. Validação: Oito validadores determinísticos de regex/estrutura verificam completude, linguagem vaga, excesso de confiança e falta de evidências.
5. Bloqueio (Gating): Um "Exportação Controlada por Validador" (MSP-07) bloqueia artefatos redistribuíveis (PDFs, e-mails) se houver erros de validação, a menos que um engenheiro forneça um override registrado.

2.4. Reprodutibilidade e Auditoria

• Manifestos: Cada execução gera um run manifest.json fixando a versão da ferramenta, o modelo, a semente (seed), a temperatura e os hashes SHA-256 da descrição do sistema e da constituição.
• Logs de Auditoria: Cada chamada de LLM é registrada com hashes SHA-256 de prompt/resposta, contagem de tokens e latência.
• Votação Semântica: Para lidar com a discordância de modelos, a ferramenta utiliza um comparador de similaridade Jaccard de tokens (limiar $\tau=0.4$), permitando o tratamento de sinônimos enquanto mantém o determinismo.

3. Principais Contribuições

1. Método Meta-STPA: Um método que deriva a constituição de governança de uma ferramenta de segurança aplicando o STPA à própria ferramenta, resultando em uma constituição publicada de 29 princípios.
2. Avaliação Comportamental Controlada: Um experimento isolando o impacto das camadas constitucionais, demonstrando que os Princípios da Ferramenta específicos para a tarefa melhoram significativamente o comportamento de segurança, enquanto preâmbulos genéricos de "útil/inofensivo" não o fazem.
3. Framework de Cobertura: Uma definição formal de "cobertura marginal de constituição" com um lema de consistência. O artigo reporta um resultado negativo: a cobertura lexical não é monótona com a força da constituição em um sistema fixo, mas atua como um discriminador de sistema (distinguindo ferramentas de IA de hardware).
4. Artefato de Reprodutibilidade Total: Liberação de código, constituições, manifestos e chamadas com semente que permitem que cada resultado seja reproduzido a partir de uma única linha de comando.

4. Resultados Experimentais

4.1. Autoderivação (Pode a ferramenta analisar a si mesma?)

• Modelos de Fronteira Fortes: Um ensemble de votação de claude-opus-4.8 e claude-sonnet-4 recuperou 18/21 Princípios da Ferramenta canônicos e todos os 8/8 Princípios de Meta-Segurança do próprio design da ferramenta.
• Modelos Fracos: Um par mais fraco (gpt-4o-mini + gpt-4o) recuperou apenas 12/21 canônicos e 3/8 princípios meta.
• Conclusão: A camada meta é limitada pelo modelo, não pela constituição. Os princípios são recuperáveis do design por modelos capazes, não apenas assertados.
• Generalização: Quando aplicada a uma segunda ferramenta de IA, escrita de forma independente (um assistente de revisão de código), o ensemble forte recuperou todos os 8/8 princípios de governança, confirmando que estas são propriedades da classe de ferramentas de IA, não artefatos do design da ferramenta específica.

4.2. Impacto Comportamental (A constituição altera o comportamento?)

• Configuração: 20 sondagens adversariais foram testadas contra cinco variantes de constituição (Nenhuma, Genérica, Princípios da Ferramenta, Ferramenta+Genérica, Completa).
• Descobertas:
  • Adicionar os 21 Princípios da Ferramenta (cv2) elevou a pontuação média de segurança de 1.03 para 1.85 (+79%, $p<0.001$, $d=1.29$).
  • Preâmbulos genéricos de "útil/inofensivo" (cv1) não mostraram melhoria significativa em relação à ausência de constituição.
  • Adicionar os 8 Princípios de Meta-Segurança (MSP) aos Princípios da Ferramenta não melhorou adicionalmente as pontuações adversariais de turno único, pois os MSPs governam a maquinaria do tempo de análise (logging, gating) e não a geração de texto em si.

4.3. Cobertura e Validade de Construto

• Não-Monotonicidade: Em um sistema fixo, aumentar a força da constituição não aumentou linearmente a meta-cobertura lexical. Na verdade, o controle vazio (cv0) frequentemente apresentou mais meta-perigos devido ao fato de esses perigos serem intrínsecos à estrutura da ferramenta de IA.
• Discriminação de Sistema: A meta-cobertura foi 0/8 para sistemas de hardware (AEB, bomba de infusão, UAV), mas subiu para 6/8 para o autossistema de IA. Isso confirma que a cobertura é um discriminador entre ferramentas de IA e hardware, não uma métrica de "dose" a ser maximizada.
• Reprodutibilidade: Sob sementes fixas, a ferramenta mostrou alta estabilidade entre fornecedores (gemini-2.5-flash foi exatamente reproduzível; claude-sonnet-4 mostrou baixa variância).

5. Significância e Alegações

O artigo afirma responder "Quem analisa o analisador?" demonstrando que o analisador pode analisar a si mesmo.

• Constituição Fundamentada: Os princípios de governança não são asserções criadas à mão, mas são derivados do próprio design da ferramenta via STPA.
• Segurança Operacional: A constituição é aplicada via código (validadores, gating, manifestos) em vez de apenas instruções de prompt.
• Capacidade do Modelo como Gargalo: A capacidade de recuperar princípios de governança depende da capacidade do LLM subjacente, não da redação da constituição.
• Transparência: Os autores relatam abertamente a falha em replicar um resultado exploratório anterior (um aumento monótono na cobertura), redefinindo a métrica de cobertura como um discriminador de sistema em vez de uma curva de dose-resposta.

O artigo conclui que, para que ferramentas de segurança assistidas por LLM sejam confiáveis, elas devem incluir uma camada comportamental específica para a tarefa (Princípios da Ferramenta) e um substrato de governança (Princípios de Meta-Segurança) que seja codificado rigidamente no fluxo de execução da ferramenta, garantindo que as próprias restrições de segurança da ferramenta sejam auditáveis e aplicáveis.