BFT y Agentes de IA: Coordinar decisiones de modelos LLM sin punto de falla

Cada vez más sistemas encadenan varios agentes basados en modelos de lenguaje: uno propone, otro revisa, un tercero ejecuta. La pregunta natural para quien viene de sistemas distribuidos es si las ideas de tolerancia a fallas bizantinas sirven aquí. Si un agente puede responder con seguridad algo falso, o puede estar controlado por alguien con otros intereses, ¿no es exactamente el traidor de los generales bizantinos?

La respuesta corta es que el vocabulario encaja muy bien y las garantías no se trasladan solas. Este capítulo separa las dos cosas. Primero fija la teoría establecida; después presenta dos trabajos recientes que la aplican a agentes LLM, con una advertencia que repetiremos donde haga falta: ambos son preprints de 2025 que todavía no han pasado revisión por pares, así que sus resultados son afirmaciones de sus autores, no hechos consolidados.

Un agente que miente es una réplica bizantina

En el problema de los generales bizantinos, los traidores no tienen ninguna restricción de comportamiento: pueden enviar valores distintos a distintos participantes o callar, y el objetivo es que los leales acuerden igualmente. [1] Lamport, Shostak y Pease presentan el problema como una cuestión de sistemas fiables: componentes que fallan entregando información contradictoria a distintas partes. [1] El modelo no distingue entre un error y un ataque; solo mira el comportamiento observable.

Con esa lente, un agente LLM que alucina un dato, uno cuya instrucción fue manipulada y uno operado por un tercero hostil caen en la misma categoría: participantes cuyas salidas no se pueden asumir correctas. Lo que cambia entre ellos es la distribución de sus errores, no el modelo.

La teoría también fija el precio. Con mensajes orales, que pueden alterarse al retransmitirse, ningún algoritmo resuelve el acuerdo si un tercio o más de los generales son traidores; hacen falta más de $3m$ generales para tolerar $m$. [1] Con mensajes firmados y un modelo síncrono, el mismo trabajo muestra que el acuerdo es posible con cualquier número de traidores. [1] PBFT convierte el caso práctico en ingeniería: $n = 3f + 1$ réplicas toleran $f$ bizantinas sin suponer sincronía para la safety. [2]

La condición que la votación necesita

Hay un supuesto que suele pasarse por alto. Lamport, Shostak y Pease dedican una sección a construir sistemas fiables con varios procesadores que calculan lo mismo y votan por mayoría, y subrayan la condición clave: todos los procesadores correctos deben usar la misma entrada. [1] Si las entradas difieren, la mayoría deja de significar algo.

PBFT añade la otra mitad: las réplicas se modelan como máquinas de estado deterministas, de modo que la misma operación sobre el mismo estado produce el mismo resultado. [2] Gracias a eso, un cliente puede aceptar un resultado cuando recibe $f + 1$ respuestas iguales de réplicas distintas, porque al menos una proviene de una réplica correcta. [2]

Los LLM rompen ese supuesto. Dos agentes correctos con la misma pregunta pueden producir textos distintos, y a veces respuestas distintas. Un quórum de "salidas idénticas" no se forma aunque nadie mienta. Las alternativas son dos. La primera es canonizar la salida, por ejemplo extrayendo un número o una opción de una lista, para que respuestas equivalentes se comparen como iguales. La segunda es dejar de contar coincidencias y pasar a puntuar: evaluar la calidad de cada respuesta y agregar esas evaluaciones de forma robusta. Los dos preprints que siguen ilustran cada camino.

Dos preprints, dos estrategias

Confianza como peso del voto. Zheng y coautores estudian sistemas multiagente con LLM bajo la lente de tolerancia a fallas bizantinas; se trata de un preprint en arXiv aún no revisado por pares. [3] En un experimento piloto con redes de 7 agentes en seis topologías (cadena, árbol, estrella, grafo completo, aleatorio y por capas), comparan agentes tradicionales con agentes LLM sobre problemas matemáticos (GSM8K) y de evaluación de seguridad (XSTest), usando 10 preguntas por tarea. [3] Afirman que los agentes tradicionales colapsan con dos o tres nodos maliciosos, mientras que los agentes LLM mantienen buen desempeño incluso con 6 de 7 maliciosos, y lo atribuyen a que los LLM muestran más escepticismo ante mensajes erróneos. [3]

A partir de ahí proponen CP-WBFT, un consenso ponderado por confianza. La confianza de cada agente se estima con una pregunta explícita en el prompt o con una sonda lineal entrenada sobre representaciones internas del modelo; luego cada agente adopta la respuesta de un vecino si este declara más confianza, y el sistema elige la respuesta con mayor confianza promedio. [3] Los autores reportan que la variante con sonda interna alcanza 100 % de acierto final en grafos completos en ambas tareas con 6 agentes bizantinos de 7. [3]

Puntuar todas las respuestas, sin líder. Jo y Park, también en un preprint sin revisión por pares, parten de una crítica a los esquemas con líder: si varios líderes seguidos son bizantinos, cada ronda fallida repite una invocación costosa de LLM, y un quórum que vota sí o no sobre la propuesta del líder puede aceptar una respuesta mediocre aunque existan mejores. [4] Su sistema, DecentLLMs, separa workers que generan respuestas en paralelo de evaluators que las puntúan, como muestra la figura. [4]

Figura 1

Agregación robusta de puntuaciones entre agentes LLM

Fuentes:

[4]

Cómo leer esta figura

Cuatro pasos de izquierda a derecha. Un usuario envía un prompt a cuatro workers; tres producen respuestas a1, a2 y a3 y el cuarto, bizantino, una respuesta alterada; responden en paralelo y sin líder. Las respuestas llegan por difusión fiable a tres evaluadores; dos asignan a cada respuesta un vector de cinco criterios entre 0 y 20, y el tercero, bizantino, da el máximo a la respuesta alterada y cero al resto; cada evaluador difunde sus vectores. Para cada respuesta se calcula la mediana geométrica de los vectores, gana la de mayor puntuación con desempate por hash, y el resultado se entrega al usuario y se registra on-chain. Una nota inferior contrasta este esquema con uno basado en líder, que vota sí o no sobre una sola propuesta por ronda.

Descargar SVGDescargar .tex

Código TikZ

Abrir `.tex` en otra pestaña

Cada evaluador asigna a cada respuesta un vector de cinco criterios, como contradicción factual, invención de hechos o incoherencia lógica, en una escala de 0 a 20. [4] Los vectores se difunden con un protocolo de difusión fiable bizantina, y cada evaluador calcula por respuesta la mediana geométrica, que según los autores tolera hasta $\lfloor (n-1)/2 \rfloor$ vectores bizantinos; gana la respuesta con mayor puntuación agregada. [4]

Con 100 problemas del benchmark MMLU-Pro, reportan 71 respuestas correctas frente a 64 de un quórum de dos tercios y 50 de una mayoría simple, aunque la comparación supone que la propuesta del líder ocupa una posición fija en el ranking de calidad. [4] En latencia, simulando los patrones de comunicación de los esquemas con líder en su peor caso, afirman que DecentLLMs se mantiene cerca de 221 segundos sin importar cuántos agentes bizantinos haya, mientras que las alternativas crecen casi linealmente. [4]

Leer sus resultados sin perder el modelo de fallas

Zheng y coautores presentan sus resultados como una superación del límite clásico $f < n/3$. [3] Conviene ser preciso, porque no hay contradicción con la teoría: se trata de otro problema. En el problema de los generales, la orden en juego, atacar o retirarse, no trae en su contenido ninguna prueba de ser la correcta, y la imposibilidad se apoya en que un teniente leal no puede distinguir en qué escenario está. [1] En un problema de aritmética con respuesta verificable, en cambio, un agente capaz puede descartar una respuesta errónea aunque la repitan seis vecinos. Nuestra lectura es que eso se parece más a verificar que a acordar.

Además, en esos experimentos los agentes "bizantinos" son en buena medida modelos más débiles emparejados con otros más fuertes, por ejemplo GPT-3.5-turbo frente a GPT-4o-mini, sobre preguntas elegidas para que los débiles fallen. [3] Es un adversario útil para estudiar errores, pero no el adversario arbitrario y coordinado del modelo bizantino. Con 10 preguntas por tarea, además, cada porcentaje se apoya en muy pocos casos.

DecentLLMs hace supuestos explícitos que también hay que leer: red síncrona con retardo máximo conocido, firmas seguras y mayoría honesta tanto entre workers como entre evaluadores. [4] Esa combinación encaja con el resultado clásico de que, con firmas y sincronía, el umbral de un tercio deja de ser obligatorio. [1] En una red con retardos arbitrarios antes de estabilizarse, el umbral vuelve a ser $n \ge 3f + 1$, que es lo que asume PBFT. [2] Los propios autores muestran un límite adicional: en un ejemplo, los evaluadores puntuaron por encima una respuesta incorrecta y por debajo una correcta, y señalan la fiabilidad de la evaluación como trabajo pendiente. [4]

Qué tomar para un diseño propio

De la teoría establecida salen tres reglas que no dependen de ningún preprint. Primero, define qué cuenta como la misma respuesta antes de votar; sin salidas comparables no hay quórum posible. [1] Segundo, separa el orden de la decisión de la decisión misma: si varios agentes deben ejecutar acciones con efectos, necesitan acordar qué acción y en qué orden, que es el problema que resuelven PBFT y su familia. [2] Tercero, escribe tu modelo de fallas: cuántos agentes pueden fallar, si la red es síncrona y si los fallos pueden estar correlacionados.

Ese último punto es el más delicado con LLM. La cuenta $n = 3f + 1$ supone fallas independientes hasta el umbral. Si todos los agentes usan el mismo modelo, el mismo prompt y los mismos datos de entrada, un único error puede afectarlos a la vez, y el umbral se supera sin que ningún agente sea malicioso. Esta es una observación de diseño nuestra, no un resultado de los trabajos citados, pero sigue directamente del modelo de fallas.

De los preprints sale una idea prometedora y todavía por confirmar: cuando la calidad de una respuesta se puede evaluar, puntuar todas las respuestas y agregar con un estadístico robusto puede funcionar mejor que votar sí o no sobre una sola propuesta. [4] Usar la confianza de cada agente como peso es otra línea interesante, con la salvedad de que un agente adversario también puede declarar confianza alta. [3]

Siguiente lectura

Para repasar por qué $2f + 1$ votos sobre $3f + 1$ réplicas se cruzan siempre en una réplica correcta, vuelve a Quórums en acción. Si te interesa cómo cambian las garantías cuando el adversario pueda llegar a romper la criptografía de las firmas, continúa con Criptografía post-cuántica en BFT.