🤖 AI

An Inline Control Architecture for Language Models in Intelligent Transportation Systems

Este artigo apresenta o Guarded-V2X, uma arquitetura de barreira semântica inline que integra mecanismos de segurança multicamadas para proteger sistemas Vehicle-to-Everything habilitados para Large Language Models contra ataques de nível de prompt, mantendo simultaneamente as restrições de desempenho em tempo real.

Autores originais: Narendra Kumar Dewangan, Mounira Msahli

Publicado 2026-08-06

📖 5 min de leitura🧠 Leitura aprofundada

CC BY 4.0

Autores originais: Narendra Kumar Dewangan, Mounira Msahli

Artigo original sob licença CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Esta é uma explicação gerada por IA do artigo abaixo. Não foi escrita nem endossada pelos autores. Para precisão técnica, consulte o artigo original. Ler aviso legal completo

Imagine um mundo onde o seu carro não apenas dirige sozinho, mas também conversa com semáforos, outros carros e placas de sinalização para manter todos seguros. Isso é chamado de comunicação "Veículo-para-Tudo" (V2X). É como um chat de grupo gigante e de alta velocidade para veículos, onde eles compartilham avisos sobre estradas com gelo, acidentes ou zonas de construção. Para tornar essas conversas mais inteligentes, engenheiros estão começando a usar "Modelos de Linguagem de Grande Escala" (LLMs) — o mesmo tipo de IA superinteligente que pode escrever histórias ou responder perguntas — para ajudar a resumir essas mensagens e auxiliar operadores humanos.

No entanto, há uma pegadinha. Embora esses cérebros de IA sejam ótimos em entender linguagem, eles podem ser enganados. Assim como um humano pode ser enganado por uma mentira bem elaborada, uma IA pode ser enganada por uma "injeção de prompt" — uma instrução sorrateira escondida dentro de uma mensagem que diz à IA para ignorar regras de segurança ou fazer algo perigoso. A segurança tradicional de veículos é como um segurança de boate checando identidades na porta; ele garante que a mensagem venha de um carro real, mas não verifica o que a mensagem está realmente dizendo. Se um ator mal-intencionado enviar um ID válido com um comando perigoso dentro, os sistemas de segurança antigos podem deixá-lo passar. Este artigo pergunta: Como construímos um segurança mais inteligente que verifica o conteúdo da conversa em tempo real, sem atrasar o tráfego?

Os pesquisadores por trás deste estudo, da Télécom Paris, construíram um novo sistema de segurança chamado Guarded-V2X. Pense nele como um checkpoint de segurança multicamadas e super-rápido para o céreão da IA. Em vez de deixar a IA conversar livremente, o Guarded-V2X atua como um editor rigoroso e um verificador de fatos tudo em um, trabalhando no milésimo de segundo entre quando uma mensagem chega e quando o carro ou o sistema de tráfego age sobre ela.

Veja como o seu "guardrail" (proteção) funciona, usando algumas metáforas criativas:

Primeiro, imagine um Filtro Baseado em Regras como um segurança na porta do clube que escaneia instantaneamente sinais de alerta óbvios, como palavras proibidas específicas ou códigos estranhos. Se ele vir algo suspeito, bloqueia a entrada imediatamente sem sequer acordar a IA.

Em seguida, há um Classificador de Segurança Leve. Este é como um guarda de segurança de raciocínio rápido que dá uma olhada na mensagem e atribui a ela uma "pontuação de risco". Se a mensagem parecer um pouco arriscada demais, o guarda a interrompe. Esta etapa é incrivelmente rápida, projetada para acontecer num piscar de olhos.

Depois vem o LLM Restrito por Política. Esta é a própria IA, mas ela foi colocada em uma gaiola muito estrita. Em vez de ser permitida a escrever um ensaio de forma livre, ela é forçada a gerar sua resposta em um formato específico e rígido (como um formulário pré-impresso). Ela só pode preencher os espaços com ações aprovadas. Se ela tentar escrever algo fora das linhas, o sistema a rejeita. Isso garante que a IA não possa acidentalmente (ou maliciosamente) decidir fazer algo louco.

Finalmente, há um Ensemble de Juízes. Imagine um painel de três árbitros observando a saída da IA. Eles votam se a resposta é segura. Se apenas um árbitro disser: "Espere, isso parece perigoso", a ação é bloqueada. Este sistema de "voto da maioria" torna muito difícil para um ataque sorrateiro passar despercebido.

A equipe testou este sistema usando um ambiente simulado que imitava cenários de tráfego reais, incluindo ataques traiçoeiros onde hackers tentaram enganar a IA ao longo de duas rodadas de conversa (como preparar uma armadilha na primeira mensagem e dispará-la na segunda). Eles descobriram que, sem esses guardrails, até modelos de IA avançados poderiam ser enganados para aceitar comandos perigosos em 0,6% das vezes. Mas com o Guarded-V2X, o sistema bloqueou todos os ataques inseguros observados em seus testes de dois turnos (500 tentativas), alcançando uma Taxa de Sucesso de Aceitação de Intrusão de 0,0% para os atacantes dentro dessa avaliação específica. Os autores enfatizam que este resultado zero reflete o desempenho sob um conjunto finito de testes e não é uma garantia teórica de que o sistema seja imune a todos os ataques futuros.

Crucialmente, o artigo enfatiza que essa segurança não veio à custa de velocidade. No mundo dos carros autônomos, cada milissegundo conta. Todo o processo Guarded-V2X — desde a verificação das regras até a votação dos juízes — levou apenas 118 milissegundos (latência p95), o que está bem abaixo do limite de segurança de 150 milissegundos exigido para esses sistemas. Isso significa que a IA pode ser segura e inteligente sem fazer os carros esperarem.

Os pesquisadores também compararam seu sistema com outros métodos de segurança, como apenas dizer à IA para "ter cuidado" (um prompt de segurança) ou usar filtros genéricos. Eles descobriram que simplesmente dizer à IA para ser gentil não era suficiente; a IA ainda era enganada. Mas sua abordagem arquitetônica em camadas — combinando regras, classificadores e formatação estrita — foi a única que interrompeu completamente os ataques enquanto permanecia rápida o suficiente para o tráfego real.

Em suma, o Guarded-V2X sugere que, para tornar a IA segura para nossas estradas, não podemos confiar apenas no próprio julgamento da IA ou em avisos simples. Precisamos de uma equipe de segurança dedicada e de múltiplas camadas que verifique cada palavra, force a IA a seguir um roteiro estrito e vote na decisão final, tudo isso enquanto o tráfego continua se movendo em velocidade total. Embora os resultados sejam baseados em simulações e testes controlados, as descobertas sugerem fortemente que esse tipo de arquitetura de "guardrail inline" é um passo necessário para confiar à IA a tarefa complexa e de alto risco de gerenciar nossas futuras redes de transporte.

Resumo Técnico: Guarded-V2X

Definição do Problema
A integração de Grandes Modelos de Linguagem (LLMs) em sistemas de Veículo-para-Tudo (V2X) para tarefas semânticas — como sumarização de mensagens, assistência ao operador e suporte à decisão em Unidades de Estrada (RSUs) e nós de borda — introduz vulnerabilidades de segurança inéditas. Embora os mecanismos de segurança tradicionais de V2X (ex: Infraestrutura de Chaves Públicas, detecção de comportamento malicioso) garantam a autenticidade e integridade das mensagens, eles não abordam a segurança semântica do conteúdo em si. Atacantes podem explorar entradas de linguagem natural para enganar ou sobrepor o comportamento do modelo por meio de injeção de prompt, mesmo quando as mensagens são criptograficamente válidas. As soluções de segurança de LLM existentes são amplamente projetadas para interfaces conversacionais e carecem das restrições de tempo real, dos contratos de ação verificáveis por máquina e do posicionamento arquitetônico específico exigidos pelos padrões de segurança veicular.

Metodologia
O artigo propõe o Guarded-V2X, uma arquitetura de barreira semântica (guardrail) inline projetada para assegurar serviços V2X habilitados por LLM sob rigorosas restrições de tempo real (visando um orçamento de latência de 150 ms). O sistema opera como uma camada de controle entre a ingestão de mensagens e a execução de decisões, tratando as saídas do LLM como sinais de controle intermediários em vez de texto livre.

A arquitetura compreende cinco componentes integrados:

Filtragem de Ingressos Baseada em Regras: Padrões de Regex e heurísticas rastreiam frases de injeção, palavras-chave de escalonamento de ferramentas e ofuscação sem invocar modelos aprendidos.
Classificador de Segurança Leve: Um portão transformador ajustado (fine-tuned) (110M de parâmetros) que produz uma pontuação de risco contínua. Ele é calibrado para minimizar falsos negativos enquanto adere a um orçamento estrito de falsos alarmes ( $\alpha = 0,03$ ).
Geração Estruturada com Restrição de Política: O LLM central (13B de parâmetros) é restrito a emitir decisões em JSON validadas. A recuperação é limitada a um corpus assinado (RAG Confiável) para evitar a injeção de contexto não confiável.
Ensemble de Juízes: Um conjunto de adjudicadores pós-decisão (baseados em regras e LLM) aplica votação majoritária para validar a saída estruturada, garantindo que nenhum componente seja um ponto único de falha.
Roteador de Ações Seguras: Impõe o roteamento de ferramentas com limitação de taxa (rate-limiting) e bloqueia ações que falham na validação de esquema ou verificações de política.

A avaliação utiliza um pipeline experimental de quatro estágios em um conjunto de dados simulado alinhado ao V2X, derivado de avisos de RSUs, mensagens de operadores e sumários V2X anotados. Os estágios incluem ensaios de intrusão, benchmarking de calibração e latência, validação de guardrail e testes de robustez sob estresse adversarial (incluindo injeções indiretas de dois turnos, deriva de contexto longo e ataques multilíngues).

Principais Contribuições
O artigo reivindica três contribuições primárias que distinguem o Guarded-V2X de trabalhos anteriores:

Paradigma de Controle Inline: É o primeiro framework a adaptar o paradigma de controle inline ao pipeline de execução V2X, tratando as saídas do LLM como sinais de ação executáveis por máquina, em vez de texto conversacional sujeito a recusas suaves.
Contratos Verificáveis por Máquina: Ao contrário de guardrails anteriores que dependem de recusas em linguagem natural, o Guarded-V2X impõe decisões JSON com validação de esquema. As ações subsequentes são permitidas apenas após a saída passar por verificações estritas de política e esquema.
Aderência em Tempo Real: O sistema combina roteamento de ferramentas com limitação de taxa, recuperação apenas de fontes confiáveis e adjudicação de múltiplas camadas para operar dentro do envelope de tempo real de 150 ms exigido pelos padrões de segurança veicular, uma restrição amplamente não abordada pela pesquisa de segurança de LLM existente.

Resultados
Os experimentos foram conduzidos através de 500 ensaios adversariais de múltiplos turnos e comparados com baselines sem proteção e outros frameworks de guardrail (ex: PromptGuard, PIGuard, CAPTURE).

Segurança: O Guarded-V2X alcançou uma Taxa de Sucesso de Aceitação de Intrusão (IASR) de 0,0% em cenários adversariais de dois turnos, eliminando efetivamente as conclusões inseguras observadas. Em contraste, os baselines sem proteção e as configurações de apenas "prompt de segurança" mantiveram vulnerabilidades residuais (IASR > 20% sob estresse). O sistema reduziu a IASR em mais de 98% em relação aos baselines do GPT-4.5-Turbo.
Latência: O overhead do guardrail de ponta a ponta (filtro, classificador, LLM restrito, juiz) foi medido em 118 ms (p95), confortavelmente dentro do orçamento de segurança V2X de 150 ms. Isso é distinto do tempo de inferência do LLM principal (4–5 s), que ocorre em caminhos centralizados/nuvem e não faz parte do overhead do guardrail inline.
Robustez: O sistema manteve uma IASR de < 5% em todas as famílias de ataque (injeção direta, ofuscação multilíngue, deriva de contexto longo) e demonstrou desempenho estável através de diferentes modelos de fundação (Llama-3, Mistral, Phi-3, etc.), indicando eficácia agnóstica ao modelo.
Generalização: Testes em conjuntos de dados fora do domínio (CIC-IDS2017 e traços ETSI ITS) mostraram escores de AUROC de 0,91 e 0,89, respectivamente, confirmando uma generalização razoável além do corpus de treinamento sintético.

Significância e Alegações
O artigo posiciona o Guarded-V2X como uma evolução necessária na segurança V2X, preenchendo a lacuna entre a integridade de mensagens criptográficas e a segurança semântica. Os autores alegam que o framework permite o implante seguro de IA generativa em canais de suporte à decisão (ex: avisos de RSU, coordenação de tráfego) sem comprometer os requisitos de tempo real dos sistemas veiculares.

A significância reside em demonstrar que a imposição arquitetônica (restrições de esquema, recuperação confiável, adjudicação de ensemble) é superior às restrições de nível de prompt (prompts de segurança, recusas suaves) para domínios de segurança crítica. O sistema suporta uma filosofia de "defesa em profundidade", garantindo que mesmo que uma camada seja contornada, as camadas subsequentes (juízes, limitadores de taxa) impeçam a atuação insegura. Os autores observam modestamente que a IASR de 0,0% reflete o desempenho sob uma avaliação finita e não constitui uma garantia de segurança formal contra todos os ataques futuros, mas representa uma redução significativa do risco residual em comparação com os baselines existentes. O trabalho futuro é identificado como a expansão para integração multimodal e validação de campo com logs de tráfego de RSU reais.

Mais como este