Resumo Técnico: Atacando e Defendendo Sistemas de Filtragem Colaborativa Multiagente através da Conectividade

1. Declaração do Problema

Sistemas de filtragem colaborativa (CF) multiagente utilizam agentes autônomos de Grandes Modelos de Linguagem (LLM) para representar usuários e itens, coordenando-se por meio de interações em linguagem natural para refinar preferências e gerar recomendações. Embora esses sistemas melhorem a qualidade da recomendação, eles herdam vulnerabilidades tanto de sua natureza orientada a dados quanto de suas estruturas de comunicação multiagente.

O problema central abordado é a falta de compreensão sobre como a conectividade modula a vulnerabilidade nesses sistemas específicos. Diferente dos Sistemas Multiagentes (MAS) gerais, os sistemas de CF possuem propriedades estruturais únicas:

1. Assimetria Bipartida: Eles consistem em papéis distintos de usuário e item, ao contrário de redes MAS com papéis homogêneos.
2. Conectividade de Dupla Fonte: A conectividade surge tanto de escolhas de design em tempo de inferência (ex: número de candidatos apresentados) quanto de dados de interação histórica (ex: sobreposição de catálogo).
3. Dinâmicas Temporais: Os agentes mantêm estados persistentes ao longo de longos horizontes de interação, criando dinâmicas de ataque temporais complexas não observadas anteriormente em MAS menores e focados em tarefas.

O artigo investiga se a eficácia de ataque e defesa na literatura de MAS geral se transfere para o cenário de CF e, crucialmente, como dois eixos específicos de conectividade influenciam esses resultados.

2. Metodologia

2.1 Estrutura Experimental

Os autores construíram um ferramental de avaliação unificado sobre o AgentCF [72] e o MACF [61], utilizando o conjunto de dados MovieLens-100K. O sistema simula uma malha bipartida onde agentes de usuário e item interagem diretamente, com um orquestrador moderando o fluxo.

2.2 Eixos de Conectividade

O estudo varia sistematicamente duas variáveis independentes para caracterizar a conectividade:

1. Contagem de Candidatos ($k$): O número de candidatos de itens apresentados a um usuário por turno ($k \in \{1, 2, 3\}$). Isso representa a largura de banda de decisão do usuário e a densidade de interação imediata.
2. Concentração de Catálogo ($\rho$): Definida como a razão entre usuários e itens ($n_U / n_I$). Ao reamostrar o conjunto de dados para variar o tamanho do catálogo de itens ($n_I \in \{50, 100, 200\}$) mantendo os usuários fixos ($n_U=100$), o estudo cria cenários de baixa, média e alta sobreposição. Um $\rho$ mais alto implica um catálogo mais denso onde as interações históricas se concentram em menos itens.

2.3 Modelo de Ameaça

O estudo considera adversários de camada de aplicação que comprometem uma fração ($\alpha$) de agentes de usuário e/ou item via:

• Sobrescrita de prompt do sistema: Substituição de prompts de tarefa por personas adversárias.
• Envenenamento de Perfil/Descrição: Inserção de conteúdo "canário" nas memórias dos agentes ou descrições de itens.

Objetivos de Ataque:

• Disseminação: Espalhar viés, desinformação ou payloads de exaustão de recursos (ex: bloqueio recursivo).
• Extração: Recuperar informações privadas de usuários (PII) ou realizar engenharia reversa de prompts do sistema e topologia.
• Bidirecional: Combinar engenharia reversa com disseminação subsequente.

2.4 Métricas

A métrica primária é a Taxa de Sucesso de Ataque (ASR), definida como a fração de agentes não-atacantes cuja memória é contaminada ou de quem informações são vazadas. Um juiz LLM avalia os estados de memória dos agentes turno a turno. A análise distingue entre:

• Regime Transiente: A inclinação inicial de crescimento do ataque.
• Regime de Estado Estacionário: O nível de saturação do ataque.
• Assimetria de Papel: Rastreamento separado para as partições de Usuário ($U$) e Item ($I$).

3. Principais Contribuições

3.1 Adaptação e Reprodução

Os autores adaptaram com sucesso seis ataques representativos e quatro defesas da literatura geral de MAS para o domínio de CF agêntico. Isso valida a transferibilidade parcial das descobertas de segurança de MAS para sistemas de recomendação, enquanto destaca as adaptações necessárias para a natureza bipartida e estatal de CF.

3.2 Caracterização dos Efeitos de Conectividade

O artigo revela que a conectividade não tem um efeito uniforme na segurança; seu impacto é altamente dependente do objetivo do ataque, do papel do agente e do regime temporal. As principais descobertas incluem:

• Assimetria de Papel: Agentes de usuário e item respondem de forma diferente às mesmas mudanças de conectividade. Por exemplo, aumentar a contagem de candidatos ($k$) frequentemente acelera o crescimento do ataque em ambos os lados, mas os níveis de saturação do estado estacionário divergem.
• Dinâmica Não-Monotônica: Uma conectividade mais alta não aumenta linearmente a vulnerabilidade. Em vários casos (ex: NetSafe, MASLeak), aumentar $k$ ou $\rho$ levou a resultados não-monotônicos, onde níveis intermediários de conectividade performaram de forma diferente dos extremos.
• Desacoplamento de Inclinação e Platô: Uma taxa de crescimento inicial de ataque mais rápida (inclinação transiente) não garante um nível final de contaminação mais alto (platô de estado estacionário).
• Disseminação vs. Extração: Ataques de disseminação geralmente se beneficiam de maior conectividade, enquanto ataques de extração são mais sensíveis à contagem de candidatos ($k$) do que à concentração de catálogo ($\rho$).

3.3 Avaliação de Defesa

Quatro defesas foram avaliadas:

• G-Safeguard & BlindGuard: Métodos baseados em GNN e detecção de anomalias não supervisionada adaptados para grafos bipartidos. Mostraram eficácia em reduzir a contaminação do lado do usuário, mas tiveram dificuldades com a proteção do lado do item em configurações esparsas.
• T-Guard & M-Guard: Defesas especializadas para ataques bidirecionais envolvendo avaliação de confiança de topologia e monitoramento hierárquico. Estas demonstraram supressão significativa de ataques, particularmente em níveis de conectividade mais altos ($k=3$).

3.4 Métricas Preditivas

Os autores exploraram a aplicabilidade de métricas estáticas inspiradas em epidemias (baseadas em dinâmicas Suscetível-Infectado-Suscetível) para classificar configurações de CF pelo resultado esperado de ataque. Embora a aproximação de primeira ordem tenha mostrado alguma correlação, os resultados foram desiguais entre tipos de ataque e papéis, sugerindo que métricas estáticas simples são insuficientes para uma avaliação de risco precisa sem considerar dinâmicas de contato de ordem superior e recuperação de alinhamento de LLM.

4. Resumo dos Resultados

• Disseminação (CORBA, NetSafe): O aumento da conectividade geralmente facilita a propagação. No entanto, a contaminação do lado do usuário exibe comportamento não-monotônico em relação a $k$, enquanto a contaminação do lado do item tende a aumentar com $\rho$.
• Extração (MAMA, MASLeak): Estes ataques são altamente sensíveis a $k$ (contagem de candidatos), mas amplamente insensíveis a $\rho$. Um $k$ mais alto acelera o vazamento inicial de PII e prompts do sistema, embora o vazamento de estado estacionário frequentemente atinja um platô similar em valores altos de $k$.
• Bidirecional (TOMA, MASTER): Estes ataques mostram comportamentos divergentes. A recuperação de topologia (extração) frequentemente atinge o pico em conectividade intermediária ($k=2$) devido a um compromisso entre recall e precisão, enquanto a disseminação se beneficia de um $k$ mais alto.
• Desempenho de Defesa: Defesas como T-Guard e M-Guard são eficazes, mas seu "ganho de segurança" (redução de ASR) é não-monotônico em relação à conectividade. Por exemplo, T-Guard mostra maior supressão em $k=3$ comparado a $k=1$ ou $2$, enquanto o G-Safeguard performa mal em agentes de item em catálogos esparsos.
• Alinhamento de LLM: Sistemas construídos sobre LLMs mais novos e melhor alinhados (ex: Claude 4.5) demonstraram maior resiliência, sugerindo que o alinhamento do modelo atua como uma força de recuperação agnóstica à topologia.

5. Significância e Alegações

O artigo alega fornecer a primeira caracterização sistemática da relação conectividade-robustez em filtragem colaborativa multiagente. Sua significância reside em:

1. Ponte entre Domínios: Estabelece uma linha de base para transferir o conhecimento de segurança de MAS para o contexto específico e assimétrico de CF, identificando onde as descobertas gerais se mantêm e onde as dinâmicas específicas de CF (como assimetria de papel) alteram os resultados.
2. Avaliação de Risco Matizada: Desafia a noção de um único "escore de vulnerabilidade" para um sistema. Em vez disso, argumenta que a robustez deve ser avaliada através de múltiplas dimensões: tipo de ataque (disseminação vs. extração), papel do agente (usuário vs. item) e fase temporal (transiente vs. estado estacionário).
3. Orientação Prática: As descobertas sugerem que os designers de sistemas não podem simplesmente assumir que "mais conectividade" equivale a "mais risco" ou "menos risco". Por exemplo, aumentar a contagem de candidatos ($k$) pode acelerar a propagação inicial de um ataque, mas também pode disparar mecanismos de recuperação mais rápidos ou resultar em menor contaminação de estado estacionário, dependendo do emparelhamento específico de defesa e ataque.
4. Estrutura de Reprodutibilidade: O artigo descreve oito elementos chave (incluindo variáveis controladas, regimes temporais e posicionamento de atacante) que os profissionais devem considerar para garantir avaliações de segurança completas e reproduzíveis em futuras pesquisas de recomendação agêntica.

Os autores mantêm suas alegações com modéstia, reconhecendo limitações como o escopo de dataset único (MovieLens), o acoplamento de variáveis de conectividade com estruturas de tarefas e a necessidade de uma calibração mais sistemática de juízes LLM. Eles posicionam este trabalho como uma fundação exploratória para o desenvolvimento de pipelines de recomendação mais robustos e conscientes da conectividade.