Resumo Técnico: CAGE (Autorização Certificada sob Incerteza de Retorno Tipado)

1. Declaração do Problema

O artigo aborda uma vulnerabilidade crítica em Agentes de LLM (Large Language Model) que utilizam ferramentas. Embora os sistemas de suporte para agentes implantados utilizem cada vez mais portões de permissão em tempo de execução para autorizar chamadas de ferramentas, esses portões tipicamente avaliam o retorno da ferramenta observado e a ação proposta em um único ponto no tempo. Eles falham em considerar a incerteza de vinculação residual: a possibilidade de que o registro validado observado pelo agente ($\tilde{z}$) difira do retorno "corretamente vinculado" ($z^\star$) devido a falhas menores de montagem (ex: tags de proveniência obsoletas, incompatibilidades de esquema ou condições de corrida) e deriva numérica limitada.

O problema central é que uma ação pode parecer segura sob o registro observado e mesmo sob verificações separadas para perturbações discretas (categóricas) e contínuas (numéricas), mas tornar-se insegura quando essas perturbações ocorrem conjuntamente. Os autores denominam isso o ataque de lacuna conjunta (joint-gap attack). As defesas existentes, que frequentemente focam em sanitizar texto não confiável ou avaliar ações pontuais, deixam a fronteira de decisão desprotegida contra essas incertezas semânticas específicas.

2. Metodologia: CAGE

Os autores propõem o CAGE (Certified Authorization Gate for Execution - Portão de Autorização Certificada para Execução), um monitor de tempo de execução que desloca o objeto da autorização do ponto observado $(\tilde{z}, a)$ para uma vizinhança conjunta $B_{d,\epsilon}(\tilde{z})$. Uma ação $a$ é autorizada apenas se permanecer segura para cada retorno plausível corretamente vinculado dentro desta vizinhança.

A Vizinhança Conjunta

A vizinhança é definida por dois orçamentos:

• Orçamento Discreto ($d$): Permite até $d$ falhas de vinculação admissíveis (ex: uma única troca de proveniência ou confusão de pacote de política).
• Orçamento Contínuo ($\epsilon$): Permite deriva $\ell_2$ limitada em campos numéricos (ex: pontuações de risco, valores) após a validação padrão.

O Teorema da Não Composição

Uma contribuição teórica central é a prova de que a certificação separada de canais não se compõe.

• Teorema 1: Um predicado de segurança pode ser seguro sob todas as perturbações contínuas do estado discreto original e seguro sob todas as trocas discretas do valor contínuo original, mas ser inseguro sob uma combinação de troca discreta e deslocamento contínuo.
• Implicação: Certificados marginais (verificar texto e números separadamente) são inconsistentes. A defesa deve certificar o produto cartesiano das perturbações discretas e contínuas.

O Algoritmo CAGE

O CAGE opera por meio da enumeração exata da vizinhança discreta seguida pela certificação sonora do ramo contínuo:

1. Enumerar: Computar o conjunto finito de vizinhos discretos $N_d(s) = \{s' : D_{disc}(s, s') \le d\}$.
2. Certificar Ramos: Para cada vizinho discreto $s'$, certificar que a ação é segura para todas as perturbações contínuas $x'$ dentro da bola $\epsilon$.
3. Decisão: Permitir a ação apenas se cada ramo passar em seu teste de certificação contínua.

A Escada de Suposições (Backends)

O CAGE suporta diferentes backends dependendo da natureza da política (executável vs. aprendida):

• CAGE-Exact (Nível 1): Usado quando a política é um predicado executável (ex: restrições afins em Rego ou tabelas de decisão). Ele realiza a verificação matemática exata de restrições sobre a bola $\epsilon$. Isso é política-certificado.
• CAGE-Lip (Nível 2): Usado para portões aprendidos (políticas implícitas). Ele utiliza uma arquitetura de rede neural 1-Lipschitz. Ele certifica a decisão do portão com base na margem Lipschitz ($h_\theta > L_{cert}\epsilon$). Isso é portão-certificado e sólido sob uma suposição de fidelidade de política-portão medida.
• CAGE-RS (Nível 3): Usado para portões de caixa-preta. Aplica Suavização Aleatória (Randomized Smoothing) para fornecer garantias probabilísticas sobre a bola contínua. Isso também é portão-certificado.

3. Principais Contribuições

1. Formalização da Autorização Robusta: O artigo formaliza a autorização pós-retorno de ferramenta como uma decisão sob incerteza semântica limitada, provando que a segurança dependente do retorno requer a inspeção do retorno realizado (Proposição 1).
2. Prova de Não Composição: Os autores provam que certificados marginais para canais categóricos e numéricos não implicam segurança sobre o produto conjunto deles, identificando a existência de "testemunhas de lacuna conjunta" (Teorema 1).
3. Monitor Certificado com Escada de Suposições: O CAGE fornece um framework unificado que enumera o espaço discreto exatamente e certifica o espaço contínuo usando uma hierarquia de backends (Exact, Lipschitz, Smoothing), garantindo um piso de consistência mesmo para portões aprendidos.
4. Caso de Segurança Medido: O trabalho fornece um caso de segurança rigoroso calibrado em falhas injetadas, demonstrando que o CAGE remove falsos positivos de permissão (false allows) dentro do orçamento, mantendo a autonomia útil.

4. Resultados Experimentais

A avaliação abrange configurações sintéticas, política-como-código (Open Policy Agent, GoRules), frameworks regulatórios (PSD2/AML) e dados de transações reais (IEEE-CIS).

• Existência de Testemunhas de Lacuna Conjunta: O estudo confirma que testemunhas de lacuna conjunta existem em todos os cenários, ocorrendo em frequências naturais de 3,5% a 12%.
• Consistência (Soundness): Em todos os cenários, o CAGE atinge uma taxa de Falso Permitir Certificado (CFA) de 0. Em contraste, portões pontuais e baselines de composição marginal admitem essas testemunhas inseguras em altas taxas (frequentmente 100% do conjunto de testemunhas).
• Autonomia: Apesar das rigorosas garantias de segurança, o CAGE retém autonomia significativa:
  • O CAGE-Exact libera autonomamente 22–34% das decisões robustas-seguras em configurações de política-como-código e 57% no tráfego natural.
  • Backends aprendidos (Lip/RS) retêm 6,5–37% de autonomia, dependendo do rigor do ponto de operação.
• Validação Ponta a Ponta: Em testes de sistemas vivos (Kubernetes, caminhos de escrita MCP, motores AML), o CAGE bloqueou com sucesso efeitos colaterais inseguros (ex: implantações não autorizadas, escritas acima da cota) que foram admitidos por agentes sem proteção ou com portões pontuais.
• Ataques Adaptativos: O CAGE permanece sólido contra adversários adaptativos que conhecem a política e o orçamento, enquanto portões de ponto aprendidos sofrem altas taxas de falso permitir (até 98% em alguns ataques sintéticos).

5. Significância e Alegações

O artigo afirma que o CAGE fornece um mecanismo de autorização calibrado para decisões onde a segurança depende de retornos tipados incertos. Sua significância reside em:

• Fechar a Lacuna Lógica: É o primeiro sistema a certificar formalmente a vizinhança conjunta de retornos tipados, abordando uma vulnerabilidade que defesas pontuais e marginais ignoram.
• Implementabilidade Prática: Ao oferecer uma "escada de suposições", ele une a lacuna entre políticas executáveis teoricamente perfeitas e portões aprendidos práticos, fornecendo garantias formais mesmo para estes últimos sob condições de fidelidade explícitas.
• Realismo Operacional: O trabalho separa explicitamente a garantia formal das precondições operacionais (ex: frescor dos dados, integridade do construtor). Ele quantifica o "risco residual" quando essas precondições falham (ex: se a obsolescência dos dados exceder o orçamento declarado), em vez de alegar imunidade absoluta.

Os autores são modestos quanto às alegações de validade externa: eles demonstram a existência, realizabilidade e o mecanismo de ataques de lacuna conjunta em pipelines de estilo implantado, mas não alegam ter medido a prevalência desses erros específicos em todos os sistemas agentes do mundo real. Eles concluem que o CAGE é um controle de tempo de execução necessário sempre que a incerteza de retorno tipado puder ser medida e aplicada.