Resumo Técnico: O Problema do Quórum Honesto e a Tolerância a Falhas Bizantinas Epistêmicas

1. Declaração do Problema: O Problema do Quórum Honesto

O artigo identifica um modo de falha crítico em sistemas distribuídos onde validadores "agênticos" — participantes que utilizam raciocínio estocástico, aprendido ou generativo para realizar julgamentos semânticos — operam dentro de um protocolo de consenso determinístico.

No BFT (Tolerância a Falhas Bizantinas) clássico, o sistema assume que qualquer participante fora de um conjunto limitado de nós "Bizantinos" (arbitrariamente defeituosos) é "honesto", o que significa que ele implementa corretamente a semântica de transição ou validação do protocolo. O Problema do Quórum Honesto enfraquece essa partição. Ele postula um cenário onde um quórum de validadores é:

• Protocolarmente conforme: Eles autenticam corretamente, respondem dentro dos tempos de espera (timeouts), seguem o protocolo de votação e não equivocam (não assinam mensagens conflitantes).
• Semânticamente incorreto: Apesar da conformidade com o protocolo, eles endossam coletivamente uma transição de estado que viola um invariante de nível de aplicação (ex: conceder acesso de escrita não autorizado).

Esta falha é denominada uma falha epistêmica. Diferente das falhas bizantinas tradicionais, as falhas epistêmicas surgem da natureza estocástica dos processos de raciocínio dos validadores. Múltiplos validadores protocolarmente conformes podem falhar de forma coerente porque compartilham dependências subjacentes, como linhagem de modelos, distribuições de treinamento, padrões de prompt, fontes de recuperação, ferramentas ou infraestrutura de provedores. Consequentemente, a diversidade de identidade nominal não garante a independência epistêmica.

O artigo estabelece que o acordo protocolar não implica validade semântica, e a validade semântica não implica segurança de execução. Um sistema pode alcançar um certificado bem formado para uma transição inválida se a concentração de validadores protocolarmente conformes que endossam aquela classe específica de erro exceder o limiar do quórum.

2. Metodologia: Tolerância a Falhas Bizantinas Epistêmica (EBFT)

Para abordar isso, o artigo define a Tolerância a Falhas Bizantinas Epistêmica (EBFT), um modelo de tolerância a falhas para "Sistemas Distribuídos Pós-Determinísticos" (PDDS) — sistemas onde a coordenação determinística envolve o julgamento semântico estocástico.

Definições Principais

A EBFT aumenta o limite convencional de falha bizantina ($f$) com duas quantidades indexadas por confiança que limitam o comportamento dos validadores protocolarmente conformes ($H$):

1. $e_\delta$ (Orçamento de Segurança Semântica): Um limite para o peso do endosso inválido coerente por parte dos validadores protocolarmente conformes fora do conjunto Bizantino. Isso quantifica o risco de que validadores honestos suficientes concordem falsamente sobre uma transição inválida.
2. $u_\epsilon$ (Orçamento de Liveness/Vivacidade): Um limite de suporte inutilizável proveniente de validadores protocolarmente conformes. Isso inclui rejeições falsas, abstenções, timeouts, saídas divergentes ou falhas de canonicalização que impedem que um candidato válido forme um certificado.

Esses orçamentos são definidos sobre um domínio de carga de trabalho específico $D$ e são condicionais a eventos $E_\delta$ e $U_\epsilon$, que ocorrem com probabilidades $1-\delta$ e $1-\epsilon$, respectivamente.

Derivação de Limiares

O artigo deriva condições de limiar de certificado ($q$) que separam os requisitos de segurança, acordo e vivacidade:

• Validade do Certificado Semântico: Para evitar que um candidato inválido forme um certificado, o limiar deve satisfazer $q > f + e_\delta$. Isso garante que mesmo que todos os nós Bizantinos ($f$) e o máximo de endossos falsos coerentes permitidos ($e_\delta$) votem por uma transição inválida, eles não consigam atingir o quórum.
• Acordo: Para evitar certificados conflitantes, o limiar deve satisfazer $2q - N > f$ (ou $q > (N+f)/2$). Crucialmente, esta condição depende apenas do limite Bizantino $f$. Como os validadores protocolarmente conformes na EBFT não equivocam, eles não ameaçam o acordo, mesmo que sejam epistemicamente falhos.
• Vivacidade (Liveness): Para garantir que um candidato válido possa obter um certificado, o limiar deve satisfazer $q \le N - f - u_\epsilon$. Isso garante que o suporte utilizável disponível dos validadores honestos seja suficiente para atender ao limiar.

O artigo prova que um limiar inteiro viável $q$ existe apenas se o tamanho do sistema $N$ satisfizer desigualdades populacionais específicas (ex: $N > 2f + e_\delta + u_\epsilon$).

Calibração e Diversidade

O artigo enfatiza que a "diversidade" (diferentes modelos, provedores ou prompts) não é uma prova de segurança. Em vez disso, a diversidade é um mecanismo para reduzir a concentração da cauda superior de erros. A metodologia exige calibração offline para estimar $e_\delta$ e $u_\epsilon$ empiricamente para uma configuração de comitê específica.

• Perfis de Risco: Um perfil de risco assinado é gerado durante a calibração, especificando o domínio, o comitê, os limiares e a procedência (versões de modelos, prompts, ferramentas).
• Admissão em Tempo de Execução: Em tempo de execução, o sistema verifica se a requisição está dentro do domínio calibrado e se o perfil de risco é válido. Se a requisição for válida, o sistema despacha pacotes de validação isolados. Um certificado é formado apenas se o número de endossos atingir o limiar pré-calibrado $q$.
• Recalibração: Os perfis devem expirar ou ser revogados após atualizações de modelos, mudanças na carga de trabalho ou detecção de novos modos de falha comuns.

3. Principais Contribuições

1. Formalização do Problema do Quórum Honesto: O artigo define um modo de falha onde validadores protocolarmente conformes e não-equivocadores endossam coletivamente uma transição semanticamente inválida devido a erros epistêmicos correlacionados.
2. Definição de EBFT: Introduz um modelo de falha que separa o comportamento bizantino arbitrário dos orçamentos semânticos indexados por confiança ($e_\delta$ e $u_\epsilon$) para validadores protocolarmente conformes.
3. Teoremas de Limiar: Deriva condições necessárias e suficientes para a validade do certificado semântico, acordo e vivacidade em PDDS. Notavelmente, prova que o acordo depende apenas do limite Bizantino, enquanto a segurança e a vivacidade dependem dos orçamentos epistêmicos.
4. Assurance Baseada em Diversidade: Reenquadra a diversidade não como uma garantia de independência, mas como uma variável que deve ser medida para reduzir a concentração da cauda superior de endosso inválido. Descreve uma metodologia para estimar esses orçamentos via calibração e testes adversariais.

4. Resultados e Limites Teóricos

• Resultados de Impossibilidade: O artigo prova que, sem fundamentação semântica adicional (ex: um oráculo de validade, um verificador confiável ou um limite de concentração calibrado), nenhum protocolo que dependa apenas de sinais de acordo pode garantir a validade do certificado semântico. Se a distribuição de erros semânticos for irrestrita, um candidato inválido pode satisfazer qualquer regra de certificado baseada em contagem com probabilidade um.
• Piso de Falha de Modo Comum: Se um subconjunto de validadores compartilha uma falha de modo comum latente (ex: pesos de modelo idênticos), a probabilidade de um certificado inseguro é, no mínimo, a probabilidade desse evento de modo comum, independentemente do número de validadores.
• Viabilidade de Limiar: O artigo fornece fórmulas inteiras exatas para selecionar $q$ de modo que a validade semântica, o acordo e a vivacidade sejam simultaneamente satisfeitos sob os eventos probabilísticos definidos. Mostra que simplesmente reponderar a fórmula clássica de $3f+1$ é insuficiente; o sistema deve explicitamente considerar $e_\delta$ e $u_\epsilon$.

5. Significância e Alegações

O artigo posiciona a EBFT como um framework teórico para infraestrutura agêntica, onde agentes autônomos (LLMs, sistemas de raciocínio) participam de planos de controle distribuídos. Sua principal significância reside em:

• Desacoplar Acordo de Semântica: Modela explicitamente a lacuna entre "acordo de protocolo" (decidir o mesmo registro de log) e "validade semântica" (o registro ser seguro/correto).
• Quantificar o Risco Epistêmico: Vai além de alegações qualitativas de "diversidade" para limites quantitativos de falhas semânticas correlacionadas.
• Operacionalizar a Segurança: Propõe um processo de admissão de duas fases (calibração offline + admissão em tempo de execução) que permite aos sistemas usar validadores estocásticos mantendo garantias de segurança probabilísticas rigorosas.

Os autores afirmam modestamente que este trabalho é um "posicionamento" dentro do programa de pesquisa OpenKedge, não uma descrição de produto. Eles não alegam resolver a correção semântica deterministicamente, mas sim fornecer um modelo de falha e uma teoria de limiar para sistemas onde o julgamento semântico é inerentemente estocástico. As garantias são condicionais à validade da calibração, à estabilidade do domínio de carga de trabalho e à precisão dos orçamentos estimados.