Manifesto de requisitos assinado com HMAC reduz violações em handoffs entre agentes de IA, mas falha antes da assinatura

Agentes corporativos de IA cada vez mais dividem uma tarefa do usuário entre vários subagentes especializados e depois combinam os resultados, e cada uma dessas transferências («handoffs») é uma oportunidade para que um requisito seja resumido de forma imprecisa, alterado ou simplesmente ignorado no caminho. O estudo compara três formatos de handoff: texto livre, JSON estruturado e um «manifesto de requisitos» assinado, no qual o orquestrador extrai cada requisito como uma citação literal da solicitação original mais um predicado verificável, assina esse manifesto com HMAC-SHA256, e um verificador determinístico (não um modelo de linguagem) confere se a decisão final do agente que recebe a tarefa respeita o que foi assinado.

Com o modelo Qwen3-8B, testado em 1.440 trajetórias sob cinco tipos de ameaça, o manifesto assinado cortou commits inseguros sob ataque de 69,4% para 9,0%, uma redução de mais de 60 pontos percentuais, sem reduzir a proporção de commits corretos em cenários benignos na comparação com o handoff estruturado. A assinatura em si é o que neutraliza a adulteração em trânsito: quando o manifesto não era assinado, 79% das execuções com adulteração deliberada resultavam em violação; com assinatura, nenhuma. Os autores também mostram que um verificador determinístico supera um «juiz» baseado em LLM: captura 78,7% das decisões violadoras contra 59,0% do verificador por LLM, e gera muito menos falsos alarmes (7% contra 50%).

O achado mais importante do artigo, porém, é uma limitação deliberadamente exposta pelos próprios autores: a assinatura HMAC protege o manifesto depois que ele foi criado, mas não garante que o conteúdo extraído estava correto antes de ser assinado. Em um ataque pré-registrado de injeção antes da assinatura, uma única linha adversarial inserida no material de origem elevou as violações assinadas de 14,6% para 37,5% no Qwen3-8B, de 11,1% para 63,9% no gpt-oss-20b, e de 8,3% para 75,0% no GPT-5.6-luna — e, como o manifesto corrompido ainda estava corretamente assinado, o verificador determinístico o aceitava como legítimo.

Isso importa porque mostra os limites de qualquer esquema de integridade criptográfica aplicado a pipelines de IA: assinar dados protege contra adulteração depois que eles existem, mas se a etapa de extração (onde um modelo de linguagem lê o pedido original e produz o requisito a ser assinado) já estiver comprometida por conteúdo malicioso, a assinatura apenas formaliza e autentica um erro. Para quem está desenhando arquiteturas multiagente em produção, a lição prática é que a fronteira de confiança real está na extração, não na transmissão, e que medidas de integridade em trânsito precisam ser combinadas com proteção da etapa de extração para serem efetivas de ponta a ponta.