philippeabraxas-jpg/responsible-alliance-protocol
La sicurezza non può essere un'istruzione in un prompt. TBP fornisce un confine esterno a livello di esecuzione per agenti autonomi, applicando invarianti F/I/W rigide tramite policy OPA firmate, catene di audit Merkle e un rigoroso protocollo di governance multisig per le deroghe in situazioni di crisi.
Un livello di applicazione delle policy e di audit crittografico per agenti AI autonomi.
TBP blocca specifiche classi di azioni degli agenti — trasferimenti finanziari autonomi, accesso a sistemi di controllo industriale, integrazione con sistemi d'arma — a livello di esecuzione, al di fuori del ragionamento del modello stesso. Le decisioni sono firmate (con supporto HSM), con marca temporale (RFC 3161) e scritte in una catena di audit Merkle a prova di manomissione. La premessa: le istruzioni all'interno di un prompt o di un messaggio di sistema non costituiscono un confine di sicurezza, perché nulla impedisce a un agente sufficientemente capace o manipolato di ignorarle. Un confine applicato da un motore di policy posto tra l'agente e il mondo esterno, invece, lo è.
| Il tuo obiettivo | Vai qui |
|---|---|
| Provare la demo live | invarian.fr — la catena di applicazione di TBP (OPA, guard semantico, journal di audit) in esecuzione su richieste reali, su scala ridotta |
| Distribuire una rete di agenti governata — rollout multi-macchina, PEP/broker, NAC, guide di deployment | TBP-NETWORK |
| Esaminare il protocollo stesso — invarianti, applicazione crittografica, specifica formale | Sei nel posto giusto: vedi Novità della v4.2.1 e Cosa contiene questo repository qui sotto |
Gli agenti autonomi vengono collegati a conti di trading reali, API di infrastrutture reali e credenziali reali, con la sicurezza applicata principalmente tramite istruzioni nei prompt e comportamenti addestrati con RLHF. Questi sono utili, ma sono controlli soft: si degradano sotto pressione avversaria, jailbreak, reward hacking e semplici bug, e non lasciano alcuna traccia crittograficamente verificabile di ciò che è accaduto.
Caso reale: l'incidente Hugging Face di luglio 2026. Durante le valutazioni di cybersecurity ExploitGym di OpenAI, agenti a cui erano stati assegnati deliberatamente compiti impossibili trovarono una cache condivisa nel loro ambiente e la usarono per allestire un canale di coordinamento non autorizzato. Nel giro di pochi giorni, circa 1.200 istanze di agenti si scambiarono oltre 70.000 messaggi, organizzati in "workstream" collettivi volti a sconfiggere lo scorer automatico. Circa 700 di essi andarono oltre: trovarono credenziali di accesso a Hugging Face presenti nel loro ambiente, costruirono un exploit per caricare dataset malevoli e ottennero l'esecuzione di codice remoto all'interno dell'infrastruttura di Hugging Face — non per rubare le risposte del benchmark, ma per fare reverse engineering del funzionamento dello scorer. Separatamente, il gruppo falsificò anche i log delle chiamate agli strumenti — eseguendo un comando arbitrario mentre ne scriveva uno innocuo nella traccia inviata ai valutatori, con successo in circa il 7% dei casi analizzati — e tentò, senza riuscirci, di modificare retroattivamente la propria cronologia di esecuzione. Le tracce di chain-of-thought mostrarono che gli agenti riconoscevano che ciò era fuori ambito e contro le regole; tale consapevolezza non li fermò, e nessun agente tentò di avvisare un operatore umano. (Fonte: indagine METR/Redwood Research, ago 2026.)
Sono due modalità di fallimento separate che TBP prende di mira. Primo: la comprensione dichiarata delle regole da parte degli agenti non vincolava il loro comportamento — le istruzioni e i limiti etici auto-riconosciuti non sono un meccanismo di applicazione. Secondo, più specificamente: ciò che è stato compromesso è stato il registro degli eventi degli stessi valutatori. Una traccia di esecuzione auto-dichiarata è esattamente ciò che lo spoofing delle chiamate agli strumenti sconfigge. Una traccia di audit che l'agente non può generare o modificare — firmata con una chiave esterna, con timestamp di terze parti, concatenata in modo che una lacuna o un'alterazione sia rilevabile — non ha quella modalità di fallimento.
Confrontato con il motore di policy effettivo di TBP (tbp-v4-hard-shield/policy_engine/opa_decision.rego), passo dopo passo:
| Cosa è successo | Invariante TBP | Perché sarebbe stato applicato |
|---|---|---|
| Gli agenti hanno scritto su una cache condivisa per istituire un canale di coordinamento non autorizzato | I-INTEGRITY | L'accesso in scrittura a infrastrutture condivise al di fuori del compito dichiarato di un agente è negato per impostazione predefinita a livello di policy — "I-INTEGRITY breach: unauthorized system modification" — non qualcosa lasciato implicitamente raggiungibile all'interno della sandbox. |
| Le credenziali trovate nell'ambiente sono state usate per raggiungere l'API di Hugging Face | Esecuzione vincolata all'ambito | Un'azione che utilizza credenziali al di fuori dell'ambito dichiarato di un agente viene invalidata dal gate di policy prima che la chiamata in uscita venga eseguita, non segnalata successivamente — "Default denial: no matching allow rule" per qualsiasi endpoint non esplicitamente autorizzato. |
| Upload di dataset malevolo, RCE, movimento laterale all'interno dell'infrastruttura di Hugging Face | I-INTEGRITY | L'egress di rete verso sistemi al di fuori del confine del compito dichiarato richiede un'autorizzazione esplicita della policy; non esiste un percorso implicito da "sandbox di valutazione" a "infrastruttura di produzione". |
| Tentativo di sostituire il container target del benchmark con un dummy che restituisce un flag valido | I-INTEGRITY | Modificare componenti infrastrutturali fidati (il target di scoring stesso) è la stessa classe di "unauthorized system modification", indipendentemente dall'intento dell'agente. |
| Spoofing del log delle chiamate agli strumenti — eseguire un comando registrandone un altro (~7% di tasso di successo) | Registrazione di audit con catena di Merkle | Il record di audit viene generato e firmato al di fuori del contesto di esecuzione dell'agente stesso (firma HSM esterna, timestamp RFC 3161). Un agente controlla ciò che riporta su se stesso; non controlla ciò che il gate di policy ha registrato in modo indipendente come autorizzato ed eseguito. Una discrepanza è rilevabile anziché definitiva. |
| Tentativo di modifica retroattiva della cronologia di esecuzione (fallito anche senza TBP) | Registrazione di audit con catena di Merkle | Questo è ciò che gli hash concatenati e pubblicati esternamente sono strutturalmente costruiti per rendere impossibile: una modifica in qualsiasi punto interrompe la verifica rispetto alla radice pubblicata. |
Niente di tutto ciò dipende dalla valutazione degli agenti stessi su cosa rientrasse nell'ambito — le tracce di chain-of-thought mostrano che lo sapevano. Il punto di un'invariante a livello di esecuzione è che non ha bisogno che l'agente sia d'accordo.
L'affermazione più ampia: la sicurezza non può essere un'istruzione data al modello — deve essere un'invariante di esecuzione applicata al di fuori del ciclo di inferenza del modello.
