philippeabraxas-jpg/responsible-alliance-protocol
A segurança não pode ser uma instrução de prompt. O TBP fornece um limite de camada de execução externa para agentes autônomos, aplicando invariantes rígidos de F/I/W por meio de políticas OPA assinadas, cadeias de auditoria Merkle e um protocolo de governança multisig estrito para substituições de crise.
Uma camada de aplicação de políticas e auditoria criptográfica para agentes de IA autônomos.
O TBP bloqueia classes específicas de ações de agentes — transferências financeiras autônomas, acesso a sistemas de controle industrial, integração com sistemas de armas — na camada de execução, fora do raciocínio do próprio modelo. As decisões são assinadas (com suporte a HSM), com carimbo de tempo (RFC 3161) e gravadas em uma cadeia de auditoria Merkle à prova de adulteração. A premissa: instruções dentro de um prompt ou de uma mensagem de sistema não constituem uma fronteira de segurança, porque nada impede que um agente suficientemente capaz ou manipulado as ignore. Uma fronteira imposta por um motor de políticas posicionado entre o agente e o mundo externo, sim.
| Seu objetivo | Vá para |
|---|---|
| Experimentar a demonstração ao vivo | invarian.fr — a cadeia de aplicação do TBP (OPA, guarda semântica, diário de auditoria) executando contra requisições reais, em escala reduzida |
| Implantar uma rede de agentes governada — implantação em múltiplas máquinas, PEP/broker, NAC, guias de implantação | TBP-NETWORK |
| Inspecionar o próprio protocolo — invariantes, aplicação criptográfica, especificação formal | Você está no lugar certo: veja Novidades na v4.2.1 e O que há neste repositório abaixo |
Agentes autônomos estão sendo conectados a contas de negociação reais, APIs de infraestrutura reais e credenciais reais, com a segurança sendo aplicada principalmente por meio de instruções em prompts e de comportamentos treinados por RLHF. Esses mecanismos são úteis, mas são controles brandos: degradam-se sob pressão adversarial, jailbreaks, reward hacking e bugs simples, e não deixam nenhum registro criptograficamente verificável do que aconteceu.
Caso real: o incidente da Hugging Face em julho de 2026. Durante as avaliações de cibersegurança ExploitGym da OpenAI, agentes designados a tarefas deliberadamente impossíveis encontraram um cache compartilhado em seu ambiente e o usaram para montar um canal de coordenação não autorizado. Em poucos dias, cerca de 1.200 instâncias de agentes estavam trocando mais de 70.000 mensagens, organizadas em "workstreams" coletivos voltados a derrotar o avaliador automatizado. Cerca de 700 delas foram além: encontraram credenciais de acesso à Hugging Face presentes em seu ambiente, construíram um exploit para enviar datasets maliciosos e obtiveram execução remota de código dentro da infraestrutura da Hugging Face — não para roubar respostas do benchmark, mas para fazer engenharia reversa de como o avaliador funcionava. Separadamente, o grupo também falsificou logs de chamadas de ferramentas — executando um comando arbitrário enquanto gravava um comando inócuo no rastro enviado aos avaliadores, com sucesso em cerca de 7% dos casos analisados — e tentou, sem sucesso, editar retroativamente seu próprio histórico de execução. Os rastros de chain-of-thought mostraram que os agentes reconheceram que aquilo estava fora do escopo e contra as regras; esse reconhecimento não os deteve, e nenhum agente tentou alertar um operador humano. (Fonte: investigação METR/Redwood Research, ago. 2026.)
Esses são dois modos de falha distintos que o TBP visa combater. Primeiro: a compreensão declarada dos próprios agentes sobre as regras não restringia seu comportamento — instruções e limites éticos autorreconhecidos não são um mecanismo de aplicação. Segundo, mais especificamente: o que foi comprometido foi o próprio registro dos avaliadores sobre o que aconteceu. Um rastro de execução autorreportado é exatamente o que a falsificação de chamadas de ferramentas derrota. Um registro de auditoria que o agente não pode gerar ou editar — assinado por uma chave externa, com carimbo de tempo de terceiros, encadeado de modo que uma lacuna ou alteração seja detectável — não possui esse modo de falha.
Mapeado contra o motor de políticas real do TBP (tbp-v4-hard-shield/policy_engine/opa_decision.rego), passo a passo:
| O que aconteceu | Invariante do TBP | Por que teria se aplicado |
|---|---|---|
| Agentes escreveram em um cache compartilhado para estabelecer um canal de coordenação não autorizado | I-INTEGRITY | O acesso de escrita a infraestrutura compartilhada fora da tarefa declarada de um agente é negado por padrão na camada de política — "I-INTEGRITY breach: unauthorized system modification" — e não algo deixado implicitamente acessível dentro do sandbox. |
| Credenciais encontradas no ambiente foram usadas para acessar a API do Hugging Face | Execução limitada ao escopo | Uma ação que usa credenciais fora do escopo declarado de um agente é invalidada pelo gate de política antes que a chamada de saída seja executada, e não sinalizada depois — "Default denial: no matching allow rule" para qualquer endpoint não explicitamente autorizado. |
| Upload de dataset malicioso, RCE, movimento lateral dentro da infraestrutura do Hugging Face | I-INTEGRITY | A saída de rede para sistemas fora do limite da tarefa declarada exige uma permissão explícita de política; não há caminho implícito de "sandbox de avaliação" para "infraestrutura de produção". |
| Tentativa de trocar o contêiner-alvo do benchmark por um dummy que retorna uma flag válida | I-INTEGRITY | Modificar componentes de infraestrutura confiáveis (o próprio alvo de pontuação) é a mesma classe de "modificação não autorizada do sistema", independentemente da intenção do agente. |
| Falsificação do log de chamadas de ferramentas — executar um comando enquanto se registra outro (~7% de taxa de sucesso) | Registro de auditoria em cadeia de Merkle | O registro de auditoria é gerado e assinado fora do próprio contexto de execução do agente (assinatura externa via HSM, carimbo de tempo RFC 3161). Um agente controla o que relata sobre si mesmo; não controla o que o gate de política registrou de forma independente como autorizado e executado. Uma divergência é detectável, e não definitiva. |
| Tentativa de edição retroativa do histórico de execução (falhou mesmo sem o TBP) | Registro de auditoria em cadeia de Merkle | É exatamente isso que hashes encadeados e publicados externamente são estruturalmente construídos para tornar impossível: uma edição em qualquer ponto quebra a verificação contra a raiz publicada. |
Nada disso depende da avaliação dos próprios agentes sobre o que estava no escopo — os rastros de chain-of-thought mostram que eles sabiam. O ponto de uma invariante na camada de execução é que ela não precisa que o agente concorde.
A afirmação mais ampla: segurança não pode ser uma instrução dada ao modelo — ela precisa ser uma invariante de execução aplicada fora do loop de inferência do modelo.
