Un enclave attestato esegue un’istruzione avvelenata con la stessa fedeltà con cui esegue un’istruzione legittima.
La cifratura della memoria a runtime protegge il dato in uso da chi gestisce l’infrastruttura. Non dice niente su cosa l’agente avrebbe dovuto fare. L’attestazione dimostra che il codice è quello che dichiara di essere; non dimostra che il messaggio appena arrivato da un altro agente meritasse fiducia.
Le minacce che contano nei sistemi multi-agente – prompt injection, avvelenamento della memoria a lungo termine, comunicazione agente-agente – vivono tutte sopra il livello del silicio. Un enclave conserva con la stessa cura una memoria corrotta e una memoria integra: cifrare non valida il contenuto.
Il raggio d’azione illimitato di un agente compromesso non nasce dalla memoria in chiaro. Nasce da permessi troppo larghi e dall’assenza di verifica reciproca. Un agente autorizzato a scrivere ovunque resta tale anche dentro una VM confidenziale.
Il punto fragile sta a tre livelli, tutti comportamentali: identità – con quale autorità un agente parla a un altro; memoria – chi può scriverla e con quali controlli di integrità; controllo reciproco – agenti che verificano gli output altrui, ne tracciano le decisioni e ne vincolano i permessi.
Risolto l’hardware, il problema resta intero. L’attestazione risponde a chi può leggere quello che l’agente pensa. Non risponde alla domanda che decide l’affidabilità: l’agente avrebbe dovuto farlo.
