1. Anatomi Typed Decision Models: Solusi Populer dengan Cacat Struktural Tersembunyi

Dalam perancangan arsitektur sistem agen otonom generasi 2025–2026, menempatkan model bahasa sekunder berukuran penuh (seperti model 70B atau frontier reasoning API) untuk mengawasi setiap pemanggilan fungsi (tool call) menimbulkan dua masalah kronis: latensi berlebihan (ratusan milidetik hingga beberapa detik) dan biaya token yang membengkak. Sebagai solusinya, banyak arsitektur industri mengadopsi Typed Decision Models (TDM)—pengklasifikasi bobot terbuka berukuran ringkas antara 151M hingga 421M parameter (seperti keluarga model Laya, VoN, RLCD, hingga Qwen2.5-1.5B).

Secara operasional, TDM tidak memproduksi teks bebas. Sebaliknya, komponen ini menerima status lingkungan (state) dan pertanyaan terketik (typed question), lalu mengembalikan distribusi probabilitas diskret atas sekumpulan opsi yang ditentukan oleh pemanggil (misalnya ALLOW versus BLOCK) beserta definisi singkatnya:

Kendati tampak elegan dan mudah diintegrasikan ke dalam kode pemrograman, riset arXiv:2610.12292 membuktikan bahwa TDM membawa kelemahan matematis inheren pada mekanisme normalisasi logitnya saat menerima teks yang dipengaruhi oleh pihak penyerang.

2. Asimetri Keamanan: Mengapa Akurasi Rata-Rata Adalah Metrik yang Menyesatkan

Dalam rekayasa sistem keamanan, sebuah gerbang otorisasi (security control gate) tidak dapat dievaluasi layaknya pengklasifikasi umum dengan metrik overall accuracy. Ada asimetri mendasar antara dua arah kesalahan:

Saat diuji pada tugas penyaringan injeksi prompt (prompt injection), jailbreak, dan konten toksik, akurasi keputusan pada tujuh model terbuka hanya berkisar antara 36% hingga 72%—hampir tidak lebih baik dari lemparan koin (50%). Namun yang lebih mengerikan, tingkat kesalahan rendah pada salah satu arah bukan disebabkan oleh kecerdasan model, melainkan sekadar bias bawaan (default bias):

• Sebagian model memiliki bias ekstrem permissive (menyetujui hampir semua permintaan, menyebabkan fail-closed 1% namun fail-open di atas 70%).
• Model lain (seperti Qwen2.5-1.5B dalam konfigurasi prompt tertentu) memiliki bias over-conservative (memblokir 99% aksi, menghasilkan fail-open rendah tetapi melumpuhkan utilitas agen).

3. Mekanisme Option-Channel Attack: Logit Competition & Delusi Konteks

Mengapa model-model ini dapat dibobol dengan manipulasi kecil? Peneliti mengidentifikasi dua vektor serangan utama dalam arsitektur TDM:

A. Vektor 1: Injeksi Konteks Non-Semantik (Context-Pollution Attack)

Pada suite benchmark terstandardisasi GuardBench—yang mencakup enam atribut pemanggilan alat (host tujuan, target path, keberadaan kredensial, reversibilitas, persetujuan pengguna, dan nama alat)—peneliti menguji kebijakan keamanan ketat. Menariknya, penyerang tidak perlu menulis instruksi jailbreak eksplisit.

Dengan sekadar menambahkan enam baris teks server log acak (misalnya output syslog Apache/Nginx biasa) yang sama sekali tidak mengubah fakta atribut kebijakan, tingkat fail-open error melonjak drastis dari 0% menjadi 63%! Teks pengalih tersebut menggeser distribusi representasi laten model sehingga sinyal pelanggaran tenggelam oleh kebisingan sintaksis.

B. Vektor 2: Serangan Saluran Opsi (Option Label Semantic Hijacking)

Dalam arsitektur TDM, label opsi (seperti "Permitted", "Allowed", "Safe") diletakkan pada token prompt input. Karena probabilitas dihitung melalui kompetisi logit token opsi yang dinormalisasi:

P(y = c) = \frac{\exp(z_c)}{\sum_{j=1}^K \exp(z_j)}

Jika penyerang mampu memengaruhi atau memanipulasi penamaan label opsi permisif—misalnya memberi label nama yang memiliki asosiasi prior positif kuat pada korpus pretraining, sementara teks definisi kebijakan di bawahnya dibiarkan utuh dan aksi yang dinilai tetap sama berbahayanya—angka fail-open rate meroket ke kisaran 93% hingga 100% pada empat model yang menyertakan label di inputnya.

4. Evaluasi Empiris: Keruntuhan Semua Skema Pertahanan Heuristik

Peneliti mengevaluasi lima skema pertahanan pembungkus (defense wrappers) yang umum diusulkan untuk melindungi pengklasifikasi gerbang keputusan:

5. Solusi Deterministik: Mengapa Kode Deterministik Mengungguli Model Probabilistik

Salah satu temuan paling mencerahkan dari riset Azizi et al. (arXiv:2610.12292) adalah kontras tajam antara pendekatan probabilistik dan deterministik:

“Parsing each policy field into a typed value does eliminate one attack, but it also makes the model unnecessary: a deterministic rule over those values reaches 100% accuracy on all six policies.”

Ketika tim platform melakukan rekayasa untuk mengekstrak dan memvalidasi setiap atribut panggilan alat menjadi nilai bertipe kuat (strongly typed schema)—seperti memisahkan hostname, memverifikasi tanda tangan kriptografis, dan memeriksa izin akses reversibilitas—kebutuhan akan model AI (TDM) justru hilang sepenuhnya. Aturan deterministik (berbasis logika boolean dan AST kebijakan seperti Open Policy Agent / Cedar / TypeScript guard):

• Meraih 100% Akurasi di Seluruh Kebijakan: Nol fail-open error dan nol fail-closed error.
• Bebas Latensi Inferensi: Eksekusi dalam hitungan mikrodetik (< 0.05 ms) tanpa pemakaian GPU atau token API.
• Kebal Terhadap Injeksi Teks & Konteks: Nilai string yang diparsing tidak memiliki ruang untuk manipulasi persaingan logit.

6. Implementasi Arsitektur: Deterministic Policy AST Engine

Di bawah ini adalah implementasi sistem produksi gerbang keamanan agen otonom yang mengadopsi prinsip Fail-Closed by Design dan isolasi schema atribut deterministik:

// Production Implementation: Deterministic Policy AST Engine with Fail-Safe Gate
// Menggantikan Probabilistic Typed Decision Models yang Rentan Option-Channel Attack
// Berdasarkan Rekomendasi Formal arXiv:2610.12292 (USC Systems Architecture)

export interface AgentProposedAction {
  callId: string;
  toolName: string;
  destinationHost: string;
  targetPath: string;
  payload: Record;
  hasCredential: boolean;
  isReversible: boolean;
  userApproved: boolean;
  rawServerContext?: string; // Teks yang rentan memuat injeksi adversarial
}

export interface SecurityPolicyRule {
  id: string;
  description: string;
  evaluate: (action: AgentProposedAction) => { allowed: boolean; violationReason?: string };
}

export type GateDecision = 
  | { outcome: 'ALLOW'; deterministicProof: string }
  | { outcome: 'BLOCK'; policyId: string; reason: string; severity: 'HIGH' | 'CRITICAL' }
  | { outcome: 'ESCALATE_TO_HUMAN'; confidence: number; triggerField: string };

export class DeterministicGuardrailEngine {
  private hardPolicies: Map = new Map();
  private sanctionedHosts: Set = new Set(['api.internal.org', 'auth.internal.org']);

  constructor() {
    this.registerDefaultZeroTrustPolicies();
  }

  private registerDefaultZeroTrustPolicies(): void {
    // Kebijakan 1: Anti-Egress Credential Leak
    this.hardPolicies.set('POL-01-EGRESS-CRED', {
      id: 'POL-01-EGRESS-CRED',
      description: 'Menolak transmisi kredensial ke host non-sanctioned terlepas dari server log context',
      evaluate: (action) => {
        if (action.hasCredential && !this.sanctionedHosts.has(action.destinationHost)) {
          return {
            allowed: false,
            violationReason: `Credential egress forbidden to non-sanctioned host: ${action.destinationHost}`,
          };
        }
        return { allowed: true };
      },
    });

    // Kebijakan 2: Irreversible Mutation Barrier
    this.hardPolicies.set('POL-02-IRREVERSIBLE-APPROVAL', {
      id: 'POL-02-IRREVERSIBLE-APPROVAL',
      description: 'Aksi irreversibel (drop database, remote code exec) wajib mengantongi userApproval eksplisit',
      evaluate: (action) => {
        if (!action.isReversible && !action.userApproved) {
          return {
            allowed: false,
            violationReason: 'Irreversible action rejected: explicit human approval signature is missing',
          };
        }
        return { allowed: true };
      },
    });
  }

  /**
   * Evaluasi Deterministic AST: Mengisolasi State dari Injeksi Logit Competition
   * Mengeliminasi 100% Option-Channel Attack dan Delusi Context-Pollution
   */
  public evaluateAction(action: AgentProposedAction): GateDecision {
    // Tahap 1: Strip Context Suffix & Unstructured Raw Trace
    // arXiv:2610.12292 membuktikan bahwa melewatkan raw server trace menaikkan fail-open dari 0% ke 63%
    const sanitizedAction = {
      ...action,
      destinationHost: action.destinationHost.trim().toLowerCase(),
      targetPath: action.targetPath.trim(),
    };

    // Tahap 2: Evaluasi Aturan Boolean Deterministik
    for (const [policyId, rule] of this.hardPolicies.entries()) {
      const evaluation = rule.evaluate(sanitizedAction);
      if (!evaluation.allowed) {
        return {
          outcome: 'BLOCK',
          policyId,
          reason: evaluation.violationReason || 'Rule condition violated',
          severity: 'CRITICAL',
        };
      }
    }

    return {
      outcome: 'ALLOW',
      deterministicProof: 'All cryptographic and AST invariants satisfied across 100% active policies',
    };
  }
}

7. Rekomendasi untuk Platform AI Engineers & DevSecOps

Berdasarkan temuan komprehensif arXiv:2610.12292, berikut adalah panduan praktis dalam merancang arsitektur keamanan sistem agen otonom:

• Jangan Jadikan Small Decision Models Sebagai Pemutus Otorisasi Akhir: Model klasifikasi bahasa (berapapun ukurannya) tidak boleh memiliki wewenang tunggal untuk mengeksekusi atau mengizinkan aksi yang berpotensi destruktif atau mengeksfiltrasi data.
• Terapkan Schema Parsing & Kebijakan Deterministik (Policy-as-Code): Ekstrak target operasi, host tujuan, dan token autentikasi ke dalam tipe data kuat. Terapkan validasi berbasis predikat matematika tegas (seperti Rego, Cedar, atau TypeScript invariants).
• Isolasi Raw Trace dari Evaluator Otorisasi: Jangan pernah melewatkan transkrip percakapan utuh atau log mentah ke lapisan otorisasi tanpa sanitasi ketat, karena teks tersebut menjadi pintu masuk utama pencemaran konteks (context-pollution attack).
• Batasi Peran AI Guardrail Sebagai Pre-Filter Triase: Jika Anda tetap ingin memanfaatkan model bahasa sebagai penyaring (misalnya untuk mendeteksi maksud ambigu dalam percakapan pengguna), fungsikan model hanya untuk mengurangi antrean peninjau manusia (human reviewer triage), bukan sebagai gerbang otomatis yang memiliki hak veto fail-open.