EvoSafeHarness gera automaticamente harnesses de seguranca sob medida para cada modelo e dominio de agente
O framework EvoSafeHarness busca, de forma conjunta, uma politica em linguagem natural e uma logica de codigo executavel para criar um harness de seguranca especifico para um modelo e dominio de agente, guiado por revisao adversarial em contexto fresco para evitar regras coladas ao benchmark. Em quatro familias de benchmarks de agentes, ele supera defesas fixas desenhadas por especialistas: no DecodingTrust-Agent reduz a taxa de sucesso de ataque de 45,6% para 10,0% com custo de utilidade de apenas 3,3 pontos, e no AgentDojo atinge 82,8% de utilidade com 0% de ataques bem-sucedidos, o dobro da utilidade do CaMeL no mesmo ponto operacional.
A premissa do trabalho e que harnesses de seguranca de agentes -- a camada de aplicacao que fica entre o modelo e a execucao real de acoes -- normalmente sao desenhados uma vez por especialistas humanos e depois aplicados a modelos e dominios muito diferentes entre si. Isso cria um desajuste: um harness rigido o suficiente para conter um modelo mais permissivo acaba bloqueando demais outro modelo mais cauteloso, e uma politica que funciona bem para um dominio (por exemplo, e-commerce) pode nao capturar relacoes de seguranca especificas de outro (por exemplo, operacoes bancarias).
O EvoSafeHarness resolve isso tratando o harness como algo a ser otimizado por dominio e por modelo, nao definido a priori. Ele busca simultaneamente uma politica em linguagem natural (regras de alto nivel) e uma logica de codigo executavel (verificacoes concretas), usando o comportamento observado do modelo-alvo, as especificacoes do dominio e uma etapa de revisao adversarial com contexto fresco -- ou seja, um avaliador que nao tem acesso as regras ja aplicadas -- justamente para rejeitar regras que apenas decoram particularidades do benchmark de teste em vez de generalizar.
Os resultados sugerem que essa abordagem adaptativa desloca a fronteira entre seguranca e utilidade de forma consistente: no DecodingTrust-Agent, a taxa de sucesso de ataques (incluindo injecao indireta e pedidos diretamente daninhos) cai de 45,6% para 10,0% com apenas 3,3 pontos de perda de utilidade, e o harness vence em 14 das 15 combinacoes de modelo/dominio testadas. No AgentDojo, atinge 82,8% de utilidade com 0% de ataques bem-sucedidos -- o dobro da utilidade da defesa CaMeL no mesmo nivel de seguranca -- e essa politica aprendida transfere sem ajuste para conjuntos AgentDyn nunca vistos. No Agent-SafetyBench mantem a melhor pontuacao para toda vitima testada, e sob ataques adaptativos PAIR com orcamento de refinamento de 16 tentativas, mantem a taxa media de sucesso de ataque abaixo de 20%.
O ponto de fundo, segundo os autores, e que a semantica do dominio determina quais relacoes de seguranca e qual estado de trajetoria precisam ser monitorados, enquanto o comportamento especifico do modelo e do runtime determina como e onde aplicar a fiscalizacao -- e por isso um harness generico dificilmente e otimo. Para quem opera agentes de producao em multiplos dominios e com modelos trocaveis, isso aponta para a necessidade de reavaliar e re-otimizar continuamente a camada de seguranca, em vez de tratar o harness como configuracao estatica.