Segurança federada e preservadora de privacidade para sistemas multi-agente de LLMs via aprendizado em grafos
Guardas de segurança que analisam o grafo de comunicação entre agentes de IA para detectar agentes comprometidos normalmente exigem centralizar dados sensíveis de várias organizações, algo inviável na prática. O FGLGuard resolve isso com aprendizado federado sobre grafos: cada operador treina localmente seu próprio detector e compartilha apenas atualizações de modelo, nunca os dados brutos. Em testes com AgentDojo, Agent-SafetyBench e R-Judge, a abordagem federada superou até modelos centralizados dentro de um único domínio, cortando em 43% a taxa de sucesso de ataques reais sem custo de API e sem expor dados entre empresas.
Sistemas multi-agente baseados em LLM — em que vários agentes de IA trocam mensagens, chamam ferramentas e executam tarefas em conjunto — criaram uma nova superfície de ataque: um único agente comprometido ou malicioso pode contaminar toda a cadeia de decisões. As defesas mais promissoras hoje analisam a topologia da rede de comunicação entre agentes, treinando uma rede neural em grafo (GNN) para localizar o agente de origem do problema e intervir na estrutura da rede. O obstáculo é que treinar esse tipo de detector bem exige ver muitos exemplos reais de ataques, e cada operador só enxerga uma fatia da distribuição de ataques possíveis. Juntar esses dados entre organizações significaria compartilhar prompts privados, saídas de ferramentas internas e fluxos de trabalho proprietários — algo que na prática nenhuma empresa está disposta a fazer.
O artigo propõe o FGLGuard, que reformula esse problema como aprendizado federado sobre grafos. Em vez de um único operador central agregar todos os dados rotulados, cada organização treina localmente um detector de atenção em grafo (que também considera os atributos das arestas, ou seja, das interações entre agentes) sobre seus próprios episódios, já rotulados por um modelo juiz. Só as atualizações do modelo — não os dados brutos — são compartilhadas e combinadas. Para lidar com o fato de que cada operador tem dados com características muito diferentes (não são distribuições idênticas), o método usa um objetivo local com termo proximal, uma agregação balanceada por domínio para evitar que operadores com mais dados dominem o modelo global, calibração de limiar de decisão restrita para não gerar excesso de recusas, uma pontuação corroborada usando sinais anteriores na cadeia de execução, e uma reescrita segura de respostas quando uma ação é bloqueada.
Os autores mostram que a federação não é um recurso opcional, mas necessário: aplicar um detector pronto treinado em outro domínio, sem adaptação, praticamente não funciona (AUROC de apenas 0,51, contra 0,70 depois de um retreinamento local). Isso confirma que cada organização realmente precisa adaptar o guarda às suas próprias características de tráfego, o que só é viável preservando a privacidade dos dados. Nos testes feitos nos benchmarks Agent-SafetyBench, R-Judge e AgentDojo, o FGLGuard federado superou até a versão centralizada treinada e ajustada para um único domínio, e ficou a apenas 0,03 de AUROC de uma centralização hipotética que juntasse dados de quatro domínios diferentes — algo que, na prática, nenhuma empresa faria.
O resultado prático mais relevante é a redução de 43% na taxa de sucesso de ataques reais medida no AgentDojo, mantida a utilidade do sistema quase intacta, sem custo adicional de chamadas a APIs de terceiros e com perda de capacidade desprezível. Isso é significativo porque ataques contra agentes de IA continuam bem-sucedidos com frequência mesmo diante de defesas existentes, e o cenário mais comum do mundo real é justamente o de múltiplas organizações ou clientes operando frotas de agentes que não podem — por contrato, regulação ou simples política interna — compartilhar registros de conversas e execuções entre si. O FGLGuard aponta um caminho onde a colaboração na defesa contra ataques não exige abrir mão do sigilo dos dados de cada operador.