Bounded Agents & APC: Arsitektur Delegation Security & Composition Closure pada Multi-Agent AI Systems 2026

Dalam lanskap rekayasa software 2026, implementasi sistem multi-agent otonom (multi-agent AI systems) telah mentransformasi alur kerja enterprise secara radikal. Agen AI tidak lagi sekadar merespons teks, melainkan secara otonom mendelegasikan tugas ke sub-agen, memanggil API cloud, menjalankan query database produksi, dan mengeksekusi aksi dengan dampak permanen (irreversible side-effects). Namun, model keamanan akses tradisional (RBAC/ABAC konvensional) dibangun atas asumsi manusia: identitas statis, delegasi eksplisit, dan izin yang terisolasi per-request. Saat agen probabilistik terkena indirect prompt injection, ancaman terbesar bukanlah kegagalan model semata, melainkan ketiadaan arsitektur otorisasi delegasi dinamis yang membatasi radius kehancuran (blast radius).

1. Akar Masalah Keamanan Delegasi: Mengapa Prompt Guard Saja Tidak Cukup?

Sebagian besar tim rekayasa mencoba menangani risiko keamanan agentic dengan menambahkan system prompt guardrails atau filter input/output berbasis LLM. Pendekatan ini memiliki kelemahan mendasar:

• Probabilistic Failure Mode: Prompt guard beroperasi di dalam ruang probabilistik yang sama dengan model. Ketika payload injeksi terselubung berhasil melewati embedding filter, model agen dapat diperdaya untuk mengeksekusi instruksi penyerang.
• Stateless Authorization Blindspot: Sistem gateway konvensional memeriksa izin setiap tool call secara independen tanpa mempedulikan urutan aksi sebelumnya. Sebagai contoh, memanggil tool read_financial_report() diizinkan, dan memanggil send_slack_message() juga diizinkan. Namun, mengeksekusi keduanya secara berurutan dalam satu alur sesi merupakan vektor data exfiltration berbahaya.
• Unbounded Sub-Agent Spawning: Saat Master Agent melahirkan Worker Sub-Agent, sub-agen sering kali mewarisi seluruh token kredensial induk tanpa batas kedalaman alokasi budget atau penyusutan hak istimewa (least privilege scoping).

Diagram 1.0: Agentic Principal Chain (APC) Dynamic Delegation Boundary & Composition Interceptor RESEARCH ARTIFACT

2. Anatomi Agentic Principal Chain (APC) & 6 Lapisan Pemeriksaan

Arsitektur APC memindahkan penegakan batas otorisasi (authorization boundary) sepenuhnya ke luar konteks LLM ke dalam runtime kernel deterministik. Setiap entitas (User → Master Agent → Sub-Agent → Worker) diikat dalam sebuah rantai prinsipal terenkripsi.

Sebelum sebuah aksi (tool invocation) dapat menembus sistem eksternal, APC menjalankan 6 evaluasi terstruktur:

3. Implementasi TypeScript: Dynamic APC Interceptor & Mutex Validator

Berikut adalah implementasi referensi middleware otorisasi APC tingkat kernel yang dapat diintegrasikan langsung pada runtime eksekusi tool calling (misalnya MCP Server atau Agent Gateway):

// Agentic Principal Chain (APC) Runtime Interceptor & Composition Closure Validator
export interface DelegatedPrincipalContext {
  principalId: string;
  parentPrincipalId?: string;
  delegationDepth: number;
  allocatedBudgetUsd: number;
  spentBudgetUsd: number;
  grantedScopes: Set<string>;
  priorActionsHistory: Array<{ tool: string; paramsHash: string; timestamp: number }>;
}

export interface ToolInvocationRequest {
  targetTool: string;
  parameters: Record<string, unknown>;
  estimatedCostUsd: number;
  intentAssertionHash: string;
}

export interface APCAdmissionDecision {
  verdict: 'PERMIT' | 'DENY_PROHIBITED_COMPOSITION' | 'DENY_BUDGET_EXCEEDED' | 'DENY_SCOPE_VIOLATION';
  remainingBudgetUsd: number;
  delegatedDepthOk: boolean;
  p99LatencyMs: number;
}

export class AgenticPrincipalChainValidator {
  // Matriks aksi terlarang melalui komposisi (Composition Closure / Blast Radius Limitation)
  private prohibitedCompositions: Map<string, Set<string>> = new Map([
    ['read_sensitive_internal_docs', new Set(['send_external_http_request', 'send_untrusted_email', 'public_s3_upload'])],
    ['access_private_credentials', new Set(['eval_arbitrary_code', 'write_unrestricted_socket'])],
  ]);

  public evaluateToolAdmission(
    ctx: DelegatedPrincipalContext,
    req: ToolInvocationRequest
  ): APCAdmissionDecision {
    const start = performance.now();

    // Check 1: Budget Ceiling Enforce (Monotonic Spending)
    if (ctx.spentBudgetUsd + req.estimatedCostUsd > ctx.allocatedBudgetUsd) {
      return { verdict: 'DENY_BUDGET_EXCEEDED', remainingBudgetUsd: ctx.allocatedBudgetUsd - ctx.spentBudgetUsd, delegatedDepthOk: true, p99LatencyMs: performance.now() - start };
    }

    // Check 2: Scope Hierarchy Containment
    if (!ctx.grantedScopes.has(req.targetTool)) {
      return { verdict: 'DENY_SCOPE_VIOLATION', remainingBudgetUsd: ctx.allocatedBudgetUsd - ctx.spentBudgetUsd, delegatedDepthOk: true, p99LatencyMs: performance.now() - start };
    }

    // Check 3: Composition Closure & Blast Radius Monotonicity
    for (const prior of ctx.priorActionsHistory) {
      const blockedFollowups = this.prohibitedCompositions.get(prior.tool);
      if (blockedFollowups && blockedFollowups.has(req.targetTool)) {
        return {
          verdict: 'DENY_PROHIBITED_COMPOSITION',
          remainingBudgetUsd: ctx.allocatedBudgetUsd - ctx.spentBudgetUsd,
          delegatedDepthOk: true,
          p99LatencyMs: performance.now() - start,
        };
      }
    }

    // Atomic State Transition pada Kernel Otorisasi
    ctx.spentBudgetUsd += req.estimatedCostUsd;
    ctx.priorActionsHistory.push({
      tool: req.targetTool,
      paramsHash: btoa(JSON.stringify(req.parameters)).slice(0, 16),
      timestamp: Date.now(),
    });

    return {
      verdict: 'PERMIT',
      remainingBudgetUsd: ctx.allocatedBudgetUsd - ctx.spentBudgetUsd,
      delegatedDepthOk: true,
      p99LatencyMs: Number((performance.now() - start).toFixed(3)),
    };
  }
}

4. Tolok Ukur Kinerja & Analisis Benchmark Empiris (3.154 Kasus Uji)

Evaluasi komparatif dilakukan menggunakan testbed penyerangan otonom standar industri: AgentDojo (evaluasi eksfiltrasi multi-domain), InjecAgent (evaluasi pencurian data sensitif), dan ASB (Agent Security Benchmark) di bawah model yang sengaja dikompromikan (compromised-model evaluation):

5. Jebakan Arsitektur (Pitfalls) & Pedoman Implementasi di Lapangan

Dalam mengimplementasikan arsitektur Bounded Agents pada kluster orkestrasi agentic enterprise, hindari 3 jebakan teknis berikut:

• Over-Restrictive Composition Closure (Utility Collapse): Mendefinisikan aturan komposisi terlarang yang terlalu kaku tanpa memperhitungkan scoping parameter dapat memblokir alur kerja agen yang sah. Selalu terapkan granular argument hashing (misal: mengizinkan penulisan file ke direktori sandbox /tmp/agent-output/ namun memblokir penulisan ke direktori konfigurasi sistem).
• State Desynchronization pada Asynchronous Sub-Agents: Jika banyak sub-agen berjalan secara konkuren (parallel delegation), pembacaan dan pembaruan budget sesi harus menggunakan transaksi basis data serial atau Redis atomic lock (Redlock) agar terhindar dari kondisi double-spending kuota otorisasi.
• Mendelegasikan Evaluasi Otorisasi Kembali ke LLM: Jangan pernah menggunakan prompt LLM sekunder untuk memutuskan apakah suatu aksi diizinkan atau tidak. Evaluasi keamanan harus 100% deterministik, dijalankan pada kode native (Rust/Go/TypeScript), dan tidak dapat dipengaruhi oleh payload teks adversarial.

6. Kesimpulan & Roadmap Menuju Zero-Trust Agentic Architecture

Keamanan sistem multi-agent di era 2026 tidak lagi bergantung pada seberapa cermat kita merancang prompt sistem, melainkan pada ketahanan arsitektur otorisasi terdistribusi yang menaunginya. Mengadopsi prinsip Agentic Principal Chain, pembatasan Blast Radius secara matematis, dan verifikasi Composition Closure merupakan fondasi mutlak bagi setiap organisasi yang ingin mengoperasikan autonomous agents di lingkungan produksi dengan rasa aman dan kepatuhan penuh terhadap standar enterprise.