SoK mapeia como falhas de segurança se propagam em sistemas multiagente de LLM mesmo quando cada agente é seguro
Um trabalho de sistematização de conhecimento (SoK) revisa 197 estudos sobre segurança de sistemas multiagente de LLM (MAS) e propõe um framework que organiza ataques por posição do adversário, interface de interação e risco sistêmico resultante, mostrando que falhas emergem do fluxo de informação, estado, decisões e autoridade entre agentes — não apenas de falhas locais em um agente isolado.
A premissa do trabalho é que sistemas multiagente de LLM movem informação, estado, decisões e autoridade através de fronteiras entre diferentes 'principais' (usuários, agentes, ferramentas), criando classes de falha que verificações locais em cada agente isoladamente não conseguem capturar. Sem uma visão em nível de execução do sistema completo, é fácil confundir um cenário meramente configurado com múltiplos agentes com evidência real de um efeito de segurança genuinamente multiagente.
Os autores sistematizam a segurança de MAS a partir de uma análise centrada em execução de 197 trabalhos, cobrindo seis interfaces de interação entre agentes, quatro posições possíveis de um adversário no sistema, sete riscos em nível de sistema e oito caminhos de ataque recorrentes. A partir disso, propõem o framework A-I-R (Adversary position, Interaction interface, Risk), que organiza ataques dispersos na literatura por posição do adversário, interface de interação usada e risco sistêmico resultante, unificando mecanismos de ataque que apareciam fragmentados entre diferentes papers.
Do lado das defesas, os autores organizam a literatura em torno de um 'contrato' de cinco partes que qualquer defesa precisa endereçar: alvo do caminho de ataque, observação, intervenção, fronteira de confiança e recuperação — identificando o fechamento completo do caminho de ataque e a capacidade de recuperação pós-incidente como os dois desafios mais recorrentes e menos resolvidos. Uma auditoria adicional de 44 trabalhos de avaliação e benchmarks revela lacunas em isolar efeitos de interação entre agentes, desenhar métricas comparáveis e diagnósticas, reutilizar avaliações entre diferentes designs de MAS, e avaliar sistemas operando em ambiente aberto.
O valor do trabalho para quem projeta ou audita sistemas multiagente é justamente essa mudança de perspectiva: em vez de perguntar 'este agente individual é seguro?', a pergunta correta é se um caminho de ataque de ponta a ponta consegue atravessar o sistema completo, e se as defesas implantadas realmente fecham esse caminho — não apenas bloqueiam sintomas isolados — com avaliação que leve em conta contrafactuais apropriados em nível de sistema, não apenas em nível de agente individual.