Verificacao de runtime multi-aspecto reduz a zero o sucesso de ataques contra agentes autonomos baseados em LLM em cenarios militares

O contexto do trabalho e a crescente presenca de agentes baseados em LLM em funcoes de apoio a decisao em operacoes de defesa, onde as obrigacoes que o agente precisa respeitar (regras de engajamento, restricoes de area, protocolos de compartilhamento de informacao) ja estao escritas e sao vinculantes, mas o proprio modelo de linguagem nao pode ser reeinado a cada mudanca de politica, porque chega como um componente adquirido de terceiros. Isso desloca o ponto de controle de engenharia possivel: em vez de tentar alinhar o modelo via fine-tuning, o foco recai sobre a interface entre o agente e os sistemas sobre os quais ele age, monitorando em tempo real se as acoes executadas respeitam as obrigacoes impostas externamente.

A contribuicao tecnica central e reconhecer que uma violacao de politica raramente vive em um unico evento isolado -- ela normalmente emerge da composicao de uma sequencia de passos (o que os autores chamam de 'tool-attack chains', cadeias de uso de ferramentas que, individualmente, parecem inocuas, mas que em conjunto produzem um resultado indevido). Guardrails que avaliam apenas um evento por vez tendem a nao capturar esse tipo de ataque composicional. A solucao proposta decompoe cada clausula de politica em uma tripla tipada com tres dimensoes -- espacial, temporal e semantica -- sobre um fluxo canonico de eventos, e cada dimensao e verificada por sua propria especificacao de monitoramento: o aspecto espacial roda sobre um grafo ponderado de localizacao que unifica geometria de missao e topologia de liberacao de informacao (ja que os autores demonstram formalmente que obrigacoes espaciais nao sao, em geral, redutiveis a uma especificacao temporal de primeira ordem), e o aspecto temporal roda sobre o motor MonPoly sem modificacoes, que os autores validam concordar com seu monitor de referencia em todo ponto no tempo.

Os veredictos dos tres aspectos sao entao fundidos por uma algebra de quatro valores que preserva proveniencia -- ou seja, nao apenas diz se algo foi violado, mas mantem rastreabilidade de qual aspecto e qual evidencia levou aquela decisao, algo relevante para auditoria em contextos de defesa onde decisoes automatizadas podem ter consequencias operacionais serias. A avaliacao foi feita em dois dominios militares simulados (evacuacao de vitimas de combate e sustentacao logistica em zona de conflito) e um dominio civil, sob uma politica de bloqueio precaucionario, e o resultado chave e que a composicao dos tres aspectos levou o sucesso de ataques a zero sem falsos positivos observados, com custo computacional de microssegundos por evento -- enquanto usar apenas um aspecto isoladamente, ou mesmo pares de aspectos, deixava uma fracao substancial dos ataques passar.

Um experimento em malha fechada reforca a relevancia pratica: um planejador que desconhece a politica de seguranca (policy-naive) atinge um estado de violacao na maioria das missoes nao protegidas, e em nenhuma missao quando protegido pelo framework; alem disso, em quatro de cinco episodios onde a acao do agente foi recusada pelo monitor, o sistema ainda conseguiu convergir para um resultado operacionalmente aceitavel apesar do bloqueio. Isso sugere que verificacao de runtime composicional pode ser implantada sem destruir a utilidade do agente, um equilibrio dificil de atingir e que e frequentemente o ponto fraco de defesas mais simples baseadas em filtros unicos de conteudo.