Resumo Técnico: Um Único Portão Não é Suficiente: Compondo Controles de Pré-Ação com Estado para IA Agêntica

1. Declaração do Problema

Sistemas de IA agêntica frequentemente requerem múltiplos controles de pré-ação (portões) para governar ações consequentes simultaneamente. Esses controles geralmente abordam preocupações distintas: autoridade (permissões/obrigações), recursos (orçamentos de custo/carbono) e evidência (validade de dados/metadados). Embora trabalhos anteriores tenham estabelecido portões individuais (SARC, Green SARC, SARC-DQ) e estudado a composição de monitores de aplicação, uma lacuna crítica permanece quando esses controles são heterogêneos e com estado (stateful).

O problema central abordado é o acoplamento de controle induzido por remediação. Em muitos sistemas, um controle não apenas bloqueia uma ação; ele a remedia (por exemplo, substituindo um valor de dado corrompido ou reduzindo a escala de uma requisição de recurso). Quando o Controle A remedia uma ação, ele altera o contexto, a evidência ou os valores derivados da ação (como o valor do pedido ou o gasto previsto). Se o Controle B avaliou a ação original antes da remediação do Controle A, o julgamento do Controle B pode tornar-se inválido.

Isso cria três desafios específicos:

1. Invalidação: Uma avaliação de passagem única (paralela ou serial sem reavaliação) pode levar a uma execução sem fundamento onde a ação final viola um portão que foi satisfeito pelo estado pré-remediação.
2. Não-Comutatividade: Quando múltiplos operadores de remediação existem (por exemplo, substituição de evidência e redução de escala de recursos), sua ordem de aplicação pode alterar o resultado final. A ordem não é um detalhe de implementação, mas uma propriedade semântica da política de governança.
3. Contaminação de Estado: Admitir um registro em um buffer de governança persistente (por exemplo, para substituição futura) com base na admissibilidade atual pode propagar "defeitos não cobertos" (falhas que os predicados do portão atual não detectam) para o estado confiável futuro, comprometendo decisões futuras.

2. Metodologia e Formalismo

O artigo formaliza esses problemas usando um modelo determinístico onde uma ação $a$ no contexto $c(a)$ é avaliada por um conjunto de portões $G_i$. Cada portão mapeia entradas para uma resposta em um reticulado (lattice) $R = \{admit, substitute, degrade, escalate, block\}$.

Definições Chave

• Acoplamento de Controle Induzido por Remediação: Dois controles $G_i$ e $G_j$ estão acoplados se um operador de remediação $\rho_i$ aplicado por $G_i$ altera a entrada consumida por $G_j$, de tal forma que $G_j(a) \neq G_j(\rho_i(a))$.
• Solidez por Ação (Per-Action Soundness): Um sistema é sólido se a ação executada $a_{exec}$ satisfaz cada portão no momento da execução, dado o estado em vigor.
• Junção Não-Compensatória: O artigo distingue entre satisfação de restrição (onde qualquer veto bloqueia a execução) e agregação compensatória (onde pontuações altas em uma área compensam pontuações baixas em outra). Ele prova que, para requisitos de governança rígidos, a agregação ponderada aditiva pode falhar em preservar direitos de veto, a menos que condições de limiar específicas sejam atendidas.

O Protocolo Remediate-and-Regate (RTR)

Para abordar a falta de solidez de passagem única, o artigo propõe um protocolo Remediate-and-Regate (RTR):

1. Fase I: Avaliar o portão de evidência. Se ocorrer substituição, forma-se uma ação remediada $a' = \rho_{sub}(a)$ e recomputa-se o contexto $c(a')$. Se um portão de recurso estiver presente, ele pode aplicar adicionalmente um operador de desvio de rota $\rho_{route}$ a $a'$, recomputando o contexto novamente.
2. Fase II: Reavaliar todos os portões (incluindo o portão de evidência) na ação remediada final $a_{exec}$ e no contexto atualizado.
3. Junção (Join): Computar o veredito composto usando uma junção não-compensatória (ex: deny-overrides ou lógica min) nas respostas da Fase II.

O artigo prova que, sob as premissas de determinismo, remediação limitada (passagem única) e idempotência (a substituição não dispara novas substituições), este protocolo garante a solidez por ação.

Lidando com a Não-Comutatividade

O artigo demonstra que os dois operadores de remediação específicos implementados no artefato — $\rho_{sub}$ (substituição de evidência) e $\rho_{route}$ (redução de escala de recursos) — não comutam.

• $\rho_{route}(\rho_{sub}(a)) \neq \rho_{sub}(\rho_{route}(a))$ em geral para esses operadores.
• Um verificador de modelos finito encontrou contraexemplos concretos onde a ordem das operações altera se uma ação é admitida ou bloqueada.
• Conclusão: A ordem de operação deve ser explicitamente especificada como parte da política de governança (ex: "Portão de Evidência primeiro, depois o Portão de Recurso") em vez de ser deixada à implementação. O artigo observa que isso é uma propriedade desses operadores específicos e não reivindica uma solução geral para sistemas de reescrita arbitrários.

Contaminação de Estado e Mitigação

O artigo identifica uma vulnerabilidade onde "defeitos não cobertos" (falhas de dados que os predicados do portão não conseguem detectar) são admitidos em um buffer governado e, posteriormente, usados para remediar ações futuras.

• Mecanismo: Um valor admitido, mas defeituoso, entra no buffer $\to$ Ações futuras substituem este valor defeituoso $\to$ O defeito se propaga.
• Mitigações: Duas estratégias são demonstradas:
  1. Janela de Quarentena: Uma escrita só é confiável após $N$ admissões consecutivas consistentes.
  2. Mediana Móvel de 3 (Rolling Median-of-3): Usar a mediana dos valores recentes para filtrar outliers.
     Nota: Estas reduzem a exposição, mas não eliminam a vulnerabilidade fundamental da remediação com estado com cobertura incompleta.

3. Principais Contribuições

1. Formalização do Acoplamento de Remediação Induzido: O artigo define as condições sob as quais a remediação de um controle invalida o julgamento de outro, indo além da simples composição de monitores para a invalidação de objetos semânticos.
2. Solidez do Remediate-and-Regate: Estabelece um protocolo que restaura a solidez em um cenário limitado e idempotente, garantindo que cada portão reavalie a ação final.
3. Não-Comutatividade de Operadores de Remediação Específicos: Demonstra que os dois operadores de remediação implementados no artefato (substituição de evidência e redução de escala de recursos) não comutam, tornando a ordem de operações um requisito semântico para esses controles específicos. Isso foi verificado via um verificador de modelos finito que encontrou 86/243 pontos de grade (e 150/200 pontos fora da grade) onde a ordem altera o resultado.
4. Contaminação de Estado de Governança: Demonstra que admitir registros em estado persistente sem cobertura total pode envenenar a remediação futura, e mostra que estratégias de mitigação (quarentena, filtragem de mediana) reduzem, mas não eliminam este risco.
5. Agregação Linear vs. Semântica de Veto: Fornece uma condição exata (Lema) para quando um agregador de soma ponderada preserva direitos de veto: um perfil vetado é admitido se, e somente se, o limiar $\tau$ não exceder a soma dos pesos do maior elemento "deixe-um-fora" (leave-one-out). Isso esclarece que a pontuação aditiva não é um substituto para a semântica de viabilidade conjuntiva em governança rígida.
6. Conjunto de Evidência Unificado: Um mecanismo para preservar a linhagem completa através dos portões, registrando IDs de evidência pré e pós-remediação e o uso específico de escritas no buffer, garantindo o compromisso de identidade sem alegar reconstrução de bytes.

4. Resultados Empíricos

O artigo valida esses mecanismos usando um artefato determinístico (suite-demo) composto por três motores Apache 2.0 não modificados (SARC, Green SARC, SARC-DQ) sobre 30 sementes pré-registradas e dois fluxos de trabalho (Diário e Semanal).

• Solidez (CH1): Sob o protocolo Remediate-and-Regate, zero ações executadas violaram qualquer portão no momento da execução em todas as 30 sementes.
• Falta de Solidez de Passagem Única (CH2): Em um cenário construído (S4), a avaliação de passagem única divergiu do protocolo sólido em 207,5 decisões (média) por 30 sementes, frequentemente admitindo ações que violavam portões após a remediação.
• Não-Comutatividade (CH7): Um verificador de modelos confirmou que os dois operadores de remediação específicos não comutam, validando a necessidade de uma ordem fixa para esses operadores.
• Honestidade de Cobertura (CH4): O sistema composto detectou exatamente a união das classes cobertas pelos portões membros; nenhuma nova cobertura de detecção foi "fabricada" pela composição.
• Contaminação de Buffer (CH6): No fluxo de trabalho "Diário" (W1), o buffer comum produziu uma média de 14,70 substituições envenenadas. As mitigações de quarentena e mediana-de-3 reduziram estritamente essa contagem. No fluxo de trabalho "Semanal" (W2), a taxa de envenenamento basal era menor (1,83) e, embora as mitigações tenham reduzido a contagem, o pequeno tamanho da amostra às vezes resultou em zero eventos basais, tornando impossível satisfazer estatisticamente a redução estrita por semente.
• Segurança de Compensação (CH5): Verificações de grade exaustivas e empíricas confirmaram que a agregação de soma ponderada pode admitir ações vetadas (ex: bloquear um defeito específico) se o limiar não for cuidadosamente calibrado, enquanto a semântica de junção min preserva estritamente o veto.

5. Significância e Alegações

A significância do artigo reside no estabelecimento de semânticas de composição limitada para controles de pré-ação com estado em IA Agêntica. Ele argumenta que:

• A remediação altera a semântica: Uma vez que um controle tem permissão para transformar uma ação, os julgamentos anteriores tornam-se contingentes à versão do objeto avaliado. A governança correta exige semântica explícita para invalidar e recomputar julgamentos dependentes.
• A ordem importa: Quando múltiplos operadores de remediação existem, sua ordenação é parte da política de governança, não um detalhe de implementação.
• Estado requer políticas de confiança: A admissão em estado de governança persistente é distinta da confiança futura; defeitos admitidos, mas não cobertos, podem contaminar a remediação futura.

Escopo e Limitações:
O artigo limita explicitamente suas alegações:

• É uma demonstração de mecanismo, não um estudo de prevalência em produção.
• Estabelece solidez para o cenário atual de passagem única e idempotência. Não pretende resolver convergência geral, terminação ou confluência para remediadores arbitrários não-idempotentes ou dependências cíclicas.
• Não afirma que a agregação ponderada é inerentemente insegura, mas sim que é inadequada para implementar semânticas de veto rígidas sem restrições de limiar específicas.
• A mitigação da contaminação de buffer reduz a exposição, mas não elimina a vulnerabilidade da remediação com estado com cobertura incompleta.
• A demonstração de não-comutatividade aplica-se especificamente aos dois operadores implementados (substituição de evidência e redução de escala de recursos) e não se generaliza para operadores de remediação arbitrários sem a re-derivação do verificador.

O trabalho fornece uma base rigorosa para compor controles heterogêneos e com estado em agentes de IA, destacando a necessidade de reavaliação, ordenação explícita e a distinção cuidadosa entre admissão e confiança.