Pesquisa propõe atribuir campanhas de ataque distribuídas entre agentes de IA distintos sem compartilhar estado entre eles
Defesas para agentes LLM hoje avaliam cada sessão isoladamente, mas um atacante pode espalhar uma campanha entre agentes, equipes e runtimes independentes, deixando cada guarda-corpo local só com um fragmento esparso do ataque. Os autores formalizam esse problema de atribuição assíncrona entre agentes e propõem os A²FV (Asynchronous Attribution Fingerprint Vectors), um protocolo leve do lado do proxy que liga sessões da mesma campanha usando apenas uso de ferramentas, temporização e resíduos de prompt observáveis externamente, sem acesso a identidade do atacante ou rótulos de campanha em tempo de teste.
A premissa do artigo é simples e preocupante: a maioria das defesas de segurança para agentes LLM avalia uma sessão de cada vez, mas nada impede um atacante de distribuir deliberadamente uma campanha entre múltiplos agentes independentes, times diferentes ou runtimes distintos, exatamente para que nenhum guarda-corpo local veja mais do que um fragmento isolado e aparentemente inofensivo do ataque completo.
A solução proposta, A²FV, funciona do lado do proxy que já observa o tráfego entre esses agentes, pontuando a similaridade entre pares de sessões a partir de padrões de uso de ferramentas, temporização e resíduos deixados no prompt, sem exigir que os agentes compartilhem estado de execução, sem rótulos de campanha conhecidos previamente e sem um oráculo de identidade do atacante. Os autores também constroem um benchmark novo, o SCD-v1, com tráfego benigno, ataques isolados, campanhas multi-sessão, uma linha de base de evasão sem oráculo e auditorias de vazamento, para testar o método em condições mais realistas do que um cenário de laboratório limpo.
Os resultados mostram A²FV atingindo 0,82 de AUC pareado para ligação de campanhas, enquanto adaptações de detectores por sessão que só usam pontuação, e juízes LLM que analisam blocos de conversa, ficam próximos do acaso na mesma tarefa. O sinal mais forte vem de resíduos estruturais e estilométricos deixados no texto e no padrão de chamadas de ferramenta, com a temporização servindo como canal diagnóstico adicional quando o rastro do proxy é mais rico; testes de controle cruzando estilos mostram que o sinal é parcialmente sensível a estilo, mas não se reduz só a isso, e a separabilidade se mantém mesmo sob tentativas controladas de evasão.
O valor prático disso é puramente defensivo: conforme deployments agenticos se multiplicam, com muitos bots independentes, times e instâncias de cliente rodando em paralelo, um atacante que sonda através de todos eles parece apenas ruído não correlacionado para cada guarda-corpo local isoladamente. Uma camada de correlação do lado do proxy, que não exige que cada operador de agente compartilhe logs internos, é uma forma plausível de recuperar essa visão de conjunto sem sacrificar privacidade nem exigir cooperação direta entre organizações diferentes.