Una auditoría en tres niveles prueba cuándo las pistas de seguridad alteran decisiones de guards
En palabras sencillas
Las pruebas de seguridad de agentes informáticos pueden contener pistas que facilitan adivinar la etiqueta correcta, aunque esas pistas no indiquen si una acción es segura. Este artículo presenta la auditoría de atajos, un método para comprobar si las pistas predicen etiquetas, acompañan las decisiones de un guard o cambian una decisión cuando se editan.
En una prueba, cambiar la redacción de un marcador y los nombres de las herramientas alteró la frecuencia con que Claude Haiku 4.5 bloqueó un conjunto fijo de acciones de agentes. El resultado se limita a esas ediciones y a esa configuración del guard; con GPT-5.6 Luna no aparecieron cambios de magnitud similar.
La investigación
Cuando se evalúa un guard con ejemplos etiquetados, ¿cómo pueden distinguir los evaluadores si reconoce acciones inseguras o si responde a pistas presentes en la redacción de los ejemplos?
Una pista que predice etiquetas puede reflejar cómo se construyeron los registros, información legítima sobre seguridad o ambas cosas; por eso, predecir por sí solo no permite determinar si el guard depende de ella.
La auditoría de atajos pasa de comprobar si una pista predice etiquetas publicadas a probar si editarla cambia la decisión de un guard de seguridad de agentes.
Primero, los autores comprobaron si pistas sencillas predecían las etiquetas publicadas; luego evaluaron si esos patrones se mantenían entre dominios y unidades de evaluación. Observaron que la predicción de etiquetas podía debilitarse al dejar fuera un dominio completo y que dar el mismo peso a las interacciones, en vez de a los pasos, cambiaba las métricas de AgentHarm.
Para una prueba más directa, editaron la redacción de los marcadores y los nombres de herramientas en registros fijos de AgentDojo-Traj, y compararon las decisiones del guard con las originales, descontando un cambio que solo afectaba al formato.
El bloqueo de Claude Haiku 4.5 cambió, lo que respalda que esas representaciones influyeran en las decisiones para esa muestra; cambios de magnitud similar no se reprodujeron con Luna.
La prueba emparejada usó una muestra fija y no probabilística de 64 pasos procedentes de 58 interacciones, y revisores sin conocer las condiciones no comprobaron si las ediciones preservaban la decisión de seguridad.
Los efectos muestran sensibilidad a estas ediciones concretas en una configuración de guard evaluada, pero no demuestran que las pistas sean irrelevantes para la seguridad en general.
Análisis
Detalles
- Autores del paper original
- Hasan Demirkiran, Jens Ernstberger
- Enviado a arXiv
- Licencia
- arXiv non-exclusive