Arquitetura "governor" propõe conter decisões erradas de agentes de IA antes que virem regra de rede na borda
O artigo propõe um modelo de "split-control" em que um planejador não confiável — que pode ser um agente com LLM — só emite intenções de segurança tipadas, e um "governador" determinístico separado valida cada intenção contra invariantes de segurança antes de compilá-la em regras eBPF reais. Testado em um Raspberry Pi 5 conectado a uma rede 5G universitária, o governador processa aprovações e rejeições em latência de microsegundos sem depender de confiar no julgamento do planejador.
O problema que o artigo ataca é específico de sistemas de segurança adaptativa em redes de borda que cada vez mais usam automação — controladores baseados em regra, políticas aprendidas por máquina ou agentes assistidos por LLM — para decidir, em tempo real, como reagir a eventos de rede. O ponto de partida dos autores é que validade sintática não é suficiente: uma ação pode estar perfeitamente bem formatada e mesmo assim ser semanticamente errada, porque foi derivada de uma observação incompleta ou manipulada por um atacante que conseguiu influenciar o que o planejador "vê".
A solução proposta desloca a fronteira de confiança para fora do planejador: em vez de tentar tornar o LLM (ou qualquer outro planejador) infalível, o planejador só tem permissão para emitir "intenções" de segurança tipadas — uma espécie de proposta estruturada de ação — que passam obrigatoriamente por um governador determinístico. Esse governador checa cada intenção contra quatro classes de invariantes (segurança, uso de recursos, estabilidade temporal e proporcionalidade da resposta) antes de permitir que ela seja convertida em uma atualização real de regras eBPF pré-instaladas, e cada ação aprovada é vinculada a um recibo assinado para auditoria.
A frase que resume a filosofia do trabalho é direta: segurança adaptativa não precisa confiar em quem propôs a ação, precisa de uma fronteira de mediação que decida se a ação é admissível — um princípio que ecoa o de outras arquiteturas defensivas recentes para agentes de IA, que também tentam separar "o que o modelo sugere" de "o que efetivamente é executado". A validação em hardware real (Raspberry Pi 5 na rede 5G de teste de uma universidade) mostra que essa mediação pode ser feita com latência de microsegundos, ou seja, sem introduzir gargalo perceptível na resposta de segurança em tempo real.
Para times que estão avaliando adotar agentes de IA em funções de resposta automática a incidentes ou de enforcement de política de rede, o trabalho reforça um padrão de design que já vem se consolidando na literatura: nunca dar a um LLM (ou a qualquer planejador não determinístico) autoridade direta para alterar estado de produção sem uma camada de verificação separada e determinística no caminho crítico. A limitação natural é que a robustez do sistema passa a depender inteiramente da corretude do conjunto de invariantes que o governador aplica — se essas regras forem incompletas ou mal calibradas, a mediação vira apenas uma falsa sensação de segurança.