KNOX propoe sandbox regulatorio baseado em hardware seguro para fiscalizar o comportamento de modelos generativos
Regulacoes exigem que empresas rodem modelos de IA em um sandbox regulatorio que permita monitoramento por reguladores antes da implantacao, mas sem especificar como construir isso tecnicamente. O KNOX propoe executar cargas de trabalho de IA agentica dentro de ambientes de execucao confiaveis (TEEs) de hardware, gerando para cada prompt um manifesto de politica atestado (quais chamadas de ferramenta e de sistema sao esperadas) e registrando toda acao do agente em um grafo de execucao verificavel -- com menos de 1% de sobrecarga de desempenho.
O ponto de partida do trabalho e uma lacuna pratica entre regulacao e engenharia: leis e normas que exigem sandboxes regulatorios para IA especificam o que o sandbox deve garantir, mas nao como implementa-lo, deixando a cargo de cada empresa decidir o mecanismo tecnico. Os autores formalizam quatro requisitos que um sandbox regulatorio precisaria cumprir simultaneamente -- conformidade (verificar desvios do comportamento pretendido, como chamadas de ferramenta ou de sistema nao autorizadas), confidencialidade (nao expor os pesos do modelo aos reguladores durante a inspecao), atestabilidade (produzir evidencia do comportamento do modelo resistente a adulteracao) e escalabilidade (permitir que multiplos reguladores verifiquem essa evidencia de forma independente) -- e mostram que abordagens anteriores (controle de fluxo de informacao, defesas de prompt injection, integridade de fluxo de controle, sandboxing tradicional) cada uma cobre apenas parte disso, tipicamente faltando confidencialidade e atestabilidade ao mesmo tempo.
Tecnicamente, o KNOX executa a carga de trabalho de IA inteira dentro de um Trusted Execution Environment (TEE) de hardware, que isola a execucao criptograficamente mesmo de um operador de infraestrutura com acesso fisico a maquina -- resolvendo a confidencialidade dos pesos do modelo, que ficam protegidos mesmo durante a inspecao regulatoria. Para cada prompt de usuario, o sistema deriva um manifesto de politica atestado, um documento que lista as regulacoes aplicaveis, as chamadas de ferramenta esperadas e as chamadas de sistema permitidas para aquela interacao especifica. Antes de o agente executar qualquer acao (chamar uma ferramenta, fazer uma chamada de sistema), um monitor de referencia atestado compara a acao pretendida contra esse manifesto e so permite a execucao se houver correspondencia -- funcionando, na pratica, como uma politica de controle de acesso granular e verificavel por hardware, aplicada em tempo real as decisoes do agente. Toda acao e veredito sao registrados em um grafo de execucao atestado, que reguladores podem verificar posteriormente sem precisar confiar na empresa operadora nem acessar os pesos do modelo.
Um aspecto tecnico relevante e que esse mecanismo de monitor de referencia, por construcao, tambem funciona como deteccao de desvios de comportamento causados por prompt injection: se um ataque de injecao de prompt leva o agente a tentar uma chamada de ferramenta ou de sistema fora do que o manifesto de politica previa para aquele prompt original, a tentativa e bloqueada e registrada como um veredito negativo no grafo de execucao -- ou seja, o sandbox regulatorio acaba servindo tambem como controle de seguranca operacional, nao apenas como ferramenta de conformidade regulatoria. Os autores reportam overhead de desempenho inferior a 1% ao demonstrar o sistema em cargas de trabalho agenticas.
Na pratica, isso importa para qualquer empresa que opere agentes de IA sob regimes regulatorios que exigem supervisao externa (o tipo de requisito que comecou a aparecer em legislacoes de IA de alto risco): a combinacao de TEE de hardware com um monitor de politica atestado e um grafo de execucao verificavel oferece um caminho concreto para cumprir exigencias de auditoria sem ter que escolher entre proteger propriedade intelectual (pesos do modelo) e permitir fiscalizacao externa real -- um trade-off que, sem essa arquitetura, normalmente forca a empresa a confiar ciegamente no regulador ou o regulador a confiar ciegamente na empresa.