Pesquisadores propõem modelo de confiança federada para marketplaces de habilidades de robôs controlados por LLM
Diante da chegada de 'app stores' de habilidades para frotas de robôs guiadas por LLM, pesquisadores argumentam que o modelo tradicional de PKI centralizada (uma autoridade certificadora, um log de transparência único) não se encaixa em operadores heterogêneos, implantações isoladas de rede e consequências físicas de confiar no publicador errado. Eles propõem 'confiança federada', em que cada robô mantém seu próprio diretório local de assinantes confiáveis, e mostram que o esquema bloqueia 100% de ataques de publicador falso, adulteração e assinante revogado em 5.000 tentativas adversariais.
O contexto é a emergência de marketplaces de capacidades para robôs — o equivalente a uma loja de aplicativos para habilidades que frotas de robôs controladas por LLM podem instalar. A resposta padrão do mundo cloud-nativo para 'esse pacote é seguro para instalar?' é uma infraestrutura de chave pública centralizada: uma única autoridade certificadora e um único log de transparência. Os autores argumentam que esse modelo não se adequa a frotas de robôs físicos, onde operadores enfrentam regimes regulatórios heterogêneos, implantações air-gapped, equipes minúsculas e consequências no mundo físico caso confiem no publicador errado.
A alternativa proposta, 'confiança federada', faz cada ponte de integração (bridge) implantada manter seu próprio diretório local de assinantes aceitáveis; os publicadores se identificam com uma chave pública embutida em um envelope de assinatura Ed25519 destacada, e a verificação no momento da instalação vira uma checagem local de pertencimento a um conjunto, em vez de uma consulta de rede a uma autoridade central. As primitivas criptográficas usadas são deliberadamente padrão (assinaturas Ed25519 destacadas e arquivos de confiança no estilo SSH); a contribuição está na decisão arquitetural de que essa composição é a que melhor se encaixa em frotas de robôs incorporados especificamente.
Os autores implementaram o modelo em uma camada de governança de runtime, com uma CLI de cinco subcomandos, um servidor de registro, um gate de instalação por ponte, e 80 testes automatizados. Uma avaliação multi-implantação mostra que o mesmo fluxo de registro produz vereditos de instalação divergentes em pontes com diretórios de confiança diferentes — a propriedade de design central da proposta. Em 5.000 tentativas adversariais, o gate em modo estrito rejeitou 100% dos ataques de publicador ilegítimo, conteúdo adulterado, assinaturas forjadas e assinantes revogados, e 96,6% das tentativas de downgrade sob uma extensão de versão mínima fixada.
O ponto prático é que, conforme robôs físicos comecem a baixar e executar 'habilidades' de terceiros de forma automatizada via LLM, a integridade da cadeia de suprimento desse software se torna uma questão de segurança física, não apenas de dados — um pacote malicioso instalado em um robô pode causar dano real. Uma comparação direta em mesmo hardware contra Sigstore-Cosign e python-TUF situa o custo de verificação da confiança federada entre os dois, com pegada de armazenamento por publicador menor que ambos, sugerindo que a proposta é viável para hardware com recursos limitados.