Proposta acopla assinatura criptográfica a planos gerados por LLM para barrar sequestro de agentes
Pesquisadores propõem o Neural Cryptographic Services (NCS), uma camada de governança que separa o planejamento feito por um LLM, sem autoridade de execução, de um controlador simbólico determinístico que só libera ações previamente assinadas e encadeadas por hash. Em testes no benchmark AgentDojo e em um benchmark próprio de sequestro de argumentos, a taxa de sucesso de ataques de prompt injection caiu a quase zero.
Serviços tradicionais de gerenciamento de chaves criptográficas autenticam quem pode invocar uma primitiva, mas não avaliam se aquele passo específico do fluxo de trabalho é o autorizado naquele exato momento. Isso deixa uma lacuna explorável: um agente de IA autenticado — com credenciais válidas e checks de identidade aprovados — ainda pode ser sequestrado por prompt injection direta ou indireta para executar ações que passam em todas as verificações de identidade, mas violam a intenção real do usuário.
O NCS ataca esse problema separando duas fases com fronteiras de confiança bem definidas. Um planejador neural não confiável — o próprio LLM — compila instruções em linguagem natural em rascunhos de plano estruturados, mas nunca tem autoridade de execução. A execução fica a cargo de um controlador simbólico determinístico, que opera sobre um fluxo de instruções assinado offline e encadeado por hash: ele valida a assinatura, verifica a cadeia de hash incrementalmente, libera exatamente uma instrução por vez, e impõe vinculação estrita entre os parâmetros de ferramenta propostos pelo agente e o payload já verificado. Qualquer chamada de ferramenta fora de ordem ou com parâmetros divergentes é rejeitada de forma fail-closed, e os estados previamente verificados ficam retidos para auditoria posterior.
Avaliado no benchmark AgentDojo e em um benchmark customizado de sequestro de argumentos, o NCS levou a taxa de sucesso de ataque a valores próximos de zero, preservando utilidade aceitável em workflows benignos — ou seja, sem inutilizar o agente para tarefas legítimas.
A contribuição conceitual central é reformular a pergunta de segurança de agentes: em vez de perguntar se a intenção do modelo estava em conformidade com o pedido do usuário (algo que só o próprio LLM, potencialmente manipulado, pode responder), pergunta-se se o despacho proposto corresponde a um passo criptograficamente autorizado, verificável por um componente externo determinístico. Esse padrão de deslocar a decisão de segurança para fora do modelo de linguagem tende a se tornar cada vez mais relevante à medida que agentes ganham acesso a ferramentas privilegiadas — pagamentos, infraestrutura de produção, dados sensíveis — onde uma decisão de segurança tomada apenas pelo próprio LLM manipulável não é suficiente.