KITA usa assinatura threshold para impedir que prompt injection vire autorizacao de acao em agentes LLM
O paper propoe KITA, uma arquitetura em que a chave de assinatura do usuario nunca fica acessivel a nenhum processo de LLM: ela e fragmentada entre multiplos dominios revisores via assinatura threshold BLS, de forma que uma acao efetiva (pagamento, mudanca de permissao) só é autorizada se pelo menos t dominios distintos, nao comprometidos, assinarem a mesma acao canonica apos revisao autenticada. A motivacao e concreta -- agentes LLM que interpretam conteudo nao confiavel e ao mesmo tempo controlam uma credencial de assinatura reutilizavel permitem que prompt injection atravesse diretamente para autoridade de execucao.
O problema que o KITA ataca e estrutural em agentes autonomos com poder de acao: se o mesmo processo que le e interpreta conteudo nao confiavel (um email, uma pagina web, a saida de outra ferramenta) tambem tem acesso a uma chave de assinatura reutilizavel, um prompt injection bem-sucedido consegue transformar interpretacao de texto em autorizacao real de uma transacao financeira ou mudanca de permissao -- sem que exista qualquer fronteira entre "o agente decidiu" e "a acao foi autorizada".
A solucao proposta separa fisicamente julgamento e autoridade. A chave secreta pessoal do usuario e cada fragmento (share) de uma chave de assinatura threshold BLS ficam permanentemente fora de qualquer processo LLM. Quando um agente propoe uma acao, ela precisa ser aprovada por pelo menos t entre varios "dominios revisores-assinantes" independentes -- cada um assinando apenas apos revisao autenticada e vinculada a acao canonica especifica. A garantia criptografica formal e que comprometer o proponente (o agente) e menos que t desses dominios revisores nao e suficiente para forjar uma autorizacao valida, porque sempre falta a contribuicao de assinatura de pelo menos um dominio nao comprometido.
Os autores implementaram o caminho completo revisor-para-executor com um adaptador de saida estruturada para o LLM e assinatura BLS threshold real, validando com testes de sistema que o gate de quorum e a vinculacao de mensagem (a acao assinada e exatamente a que foi revisada, nao uma reescrita) funcionam como esperado, alem de microbenchmarks criptograficos de desempenho do caminho de assinatura online.
O valor pratico esta em oferecer uma garantia que independe da qualidade do alinhamento do modelo: mesmo que o LLM seja enganado por injecao indireta a "decidir" executar algo malicioso, a arquitetura garante que essa decisao sozinha nunca e suficiente para gerar uma autorizacao criptografica valida. Isso desloca a seguranca de "confiar que o modelo nao sera enganado" para "garantir que engano no modelo nao alcance a chave", uma mudanca de postura relevante para quem projeta agentes com acesso a operacoes financeiras ou administrativas de alto impacto.