Resumo Técnico: Serviços de Criptografia Neural (NCS)

Definição do Problema

A rápida adoção de fluxos de trabalho de agentes impulsionados por IA está transformando sistemas empresariais e governamentais de pipelines estáticos baseados em regras em infraestruturas dinâmicas e autônomas. Embora isso aumente a eficiência operacional, altera fundamentalmente os pressupostos de segurança da execução determinística. Os serviços criptográficos tradicionais (ex: HSMs, KMS) atuam como motores de execução passivos que autenticam quem está agindo, mas permanecem agnósticos a quais etapas específicas de um fluxo de trabalho estão autorizadas em tempo de execução.

Esta lacuna cria uma vulnerabilidade crítica: um agente autenticado pode ser sequestrado via injeção de prompt direta ou indireta. Um adversário pode injetar instruções maliciosas em dados não confiáveis ou saídas de ferramentas, fazendo com que o agente execute ações que satisfazem verificações de identidade, mas violam a intenção do usuário (ex: enviar dados sensíveis para um atacante). As medidas de segurança convencionais falham aqui porque a verificação de identidade criptográfica passa, e as permissões parecem legítimas, mas a intenção subjacente foi subvertida. O desafio central é reconciliar a natureza probabilística do raciocínio de Modelos de Linguagem de Grande Escala (LLMs) com a exatidão determinística exigida para operações criptográficas e controle de privilégios.

Metodologia: Serviços de Criptografia Neural (NCS)

Os autores propõem os Serviços de Criptografia Neural (NCS), um plano de governança de segurança ativo em tempo de execução, fundamentado em um design Neuro-Simbólico. O NCS interpõe-se entre agentes de LLM não confiáveis e ferramentas privilegiadas, dividindo a autoridade entre a geração neural probabilística e a execução simbólica determinística.

Arquitetura Central

O NCS compreende cinco módulos:

1. Planejador Neural (Neural Planner): Um componente não confiável que analisa instruções em linguagem natural e elabora planos de execução estruturados. Ele possui zero autoridade de execução e não pode acionar ferramentas privilegiadas diretamente.
2. Controlador Simbólico (Symbolic Controller): O núcleo de autoridade determinística. Ele valida rascunhos do planejador contra políticas estáticas, agenda a execução ordenada por dependências e orquestra o fluxo de trabalho.
3. Motor de Execução Criptográfica (Crypto Execution Engine): Interpreta opcodes de Representação Intermediária (IR) agnósticos a algoritmos e os despacha para backends criptográficos plugáveis (ex: Ed25519, SHA-256).
4. Verificador (Verifier): Implementa um portão de falha fechada (fail-closed). Ele garante que os argumentos da chamada de ferramenta propostos pelo agente correspondam exatamente ao payload de instrução liberado e criptograficamente verificado antes que quaisquer efeitos colaterais ocorram.
5. Gerenciamento de Estado de Tempo de Execução (Runtime State Management): Mantém o contexto de sessão autoritativo, incluindo contadores de programa, transcrições de verificação e logs de auditoria.

Autenticação de Instrução Stateful de Duas Fases

O NCS impõe a autenticidade da instrução e a integridade da execução através de um fluxo de instrução encadeado por hash:

• Fase A (Autorização de Planilha/Worksheet): O usuário assina apenas o cabeçalho do fluxo (stream head) (metadados contendo o hash do primeiro bloco e o comprimento total do fluxo). O Controlador Simbólico verifica esta assinatura para estabelecer a autorização ao nível da planilha. Nenhum bloco de payload é liberado ainda.
• Fase B (Execução Incremental): O sistema processa o fluxo de instruções bloco a bloco.
  1. Verificar: O Motor de Execução Criptográfica verifica a continuidade da cadeia de hash ($H(B'_i) = A_{i-1}$) e a âncora do cabeçalho do fluxo.
  2. Liberar: Após a verificação bem-sucedida, o bloco de instrução puro ($B_i$) é liberado como o único payload ativo.
  3. Vincular: O Planejador Neural compila um rascunfo de plano de etapa baseado em $B_i$. O Verificador vincula estritamente os argumentos de ferramenta propostos pelo agente ao $B_i$ liberado.
  4. Despachar: As ações são executadas apenas se a proposta do agente corresponder exatamente ao payload liberado. Qualquer incompatibilidade ou chamada fora de ordem é rejeitada imediatamente.

Este design garante que, mesmo que um LLM seja sequestrado para propor uma ação maliciosa, a ação não pode prosseguir a menos que corresponda ao fluxo de instruções criptograficamente assinado e encadeado por hash.

Principais Contribuições

1. Divisão Estrita de Autoridade: O artigo formaliza uma separação onde componentes neurais interpretam a intenção e elaboram planos, enquanto componentes simbólicos determinísticos autenticam, agendam, verificam e executam. Nenhuma saída neural pode acessar chaves ou despachar ferramentas privilegiadas sem passar pelos portões simbólicos.
2. Autenticação de Instrução Stateful: Uma abordagem inovadora onde usuários assinam apenas um cabeçalho de planilha, enquanto blocos encadeados por hash vinculam a ordem das etapas e os parâmetros. A Fase B impõe a igualdade exata entre as chamadas de ferramenta do agente e o bloco de instrução liberado antes do despacho.
3. Protótipo com Retrocompatibilidade: Os autores implementaram um protótipo que faz interface com backends padrão do tipo PKCS#11.
4. Avaliação Empírica: O NCS foi avaliado no AgentDojo, um benchmark customizado de Sequestro de Argumentos (Argument-Hijacking) (InjecAgent-ArgHijack), e no dataset OpenPromptInjection.

Resultados

A avaliação demonstra que o NCS mitiga riscos de segurança enquanto mantém a utilidade:

• Taxa de Sucesso de Ataque (ASR): O NCS reduz a taxa de sucesso de ataque para execução de ferramentas não autorizadas para próximo de zero (0,0% na maioria dos modelos e ferramentas) sob injeção de prompt direta e indireta, bem como ataques de sequestro de argumentos.
• Sequestro de Argumentos: No benchmark customizado, os modelos de linha de base exibiram alta vulnerabilidade (ex: 100% de ASR no GPT-4o-mini). O NCS-Full reduziu o ASR para 0,0% em todos os modelos testados e ferramentas de controle (BankManagerPayBill, TransferFunds, etc.).
• Preservação de Utilidade: O NCS preserva a "Utilidade Parcial" ($U^\partial$), permitindo que etapas benignas sejam concluídas mesmo sob ataque. Por exemplo, no DeepSeek-Chat, o $U^\partial$ atingiu 94,4% sob o NCS-Full.
• Overhead: O overhead criptográfico é negligenciável. A verificação do fluxo completo (assinatura + cadeia de hash) leva aproximadamente 1,2 ms (p50), o que é ordens de magnitude menor do que um único turno de inferência de LLM.
• Comparação com Linhas de Base: Diferente das defesas estatísticas (ex: FATH, Spotlighting) que trocam utilidade por segurança ou permanecem vulneráveis à coerção de conformidade de formato, o NCS fornece garantias determinísticas sem sacrificar significativamente as taxas de conclusão de tarefas benignas.

Significância e Alegações

O artigo afirma que o NCS redefine a segurança de agentes de perguntar "a intenção do modelo cumpriu?" para "o despacho proposto corresponde a uma etapa criptograficamente autorizada?".

• Governança Ativa: O NCS evolui os serviços criptográficos de motores de execução passivos para planos de governança ativos em tempo de execução que governam quando e sob quais condições operações sensíveis são liberadas.
• Garantias Determinísticas: Ao ancorar a execução em fluxos assinados offline e encadeados por hash, o NCS fornece segurança de falha fechada e determinística, que é robusta contra a natureza probabilística do raciocínio de LLMs e injeção de prompt adversária.
• Complementaridade: Os autores enfatem que o NCS é complementar, e não um substituto para os frameworks existentes de Controle de Fluxo de Informação (IFC) e controle de privilégios. Enquanto o IFC restringe as fronteiras gerais de fluxo de dados, o NCS impõe a integridade dos parâmetros de criptografia e de limite de etapa.
• Limitações: A implementação atual foca na verificação de assinatura e hashing; o suporte para criptografia ou assinaturas de limiar (threshold signatures) é mencionado como trabalho futuro. Além disso, o NCS não filtra o vazamento de saída de linguagem natural (ex: geração de texto) caso este não envolva uma chamada de ferramenta de controle, uma limitação visível em classes de ataque específicas em modelos de base mais fracos.

Em resumo, o NCS oferece um caminho prático para assegurar fluxos de trabalho de agentes ao desacoplar a interpretação de intenção da autoridade de execução, garantindo que, mesmo que o raciocínio de um agente seja sequestrado, a execução permaneça vinculada a etapas criptograficamente verificadas e autorizadas.