BodhiPromptShield: Pre-Inference Prompt Mediation for Suppressing Privacy Propagation in LLM/VLM Agents

Resumen Técnico: BodhiPromptShield

1. El Problema: Propagación de Privacidad en Agentes IA

Los agentes basados en Modelos de Lenguaje (LLM) y Modelos Visión-Lenguaje (VLM) a menudo procesan prompts que contienen información sensible (identificadores personales, datos financieros, registros médicos, etc.). El problema central identificado no es solo la exposición inicial del prompt, sino su propagación a través de múltiples etapas del agente:

• Flujo de Datos: El contenido crudo del usuario puede filtrarse en consultas de recuperación (RAG), escrituras de memoria, llamadas a herramientas (tool calls) y registros (logs).
• Limitación de Soluciones Actuales: Las pipelines de desidentificación tradicionales y las herramientas de enmascaramiento corporativo suelen operar en los límites del documento (ingreso o almacenamiento). No abordan la propagación intermedia: si un dato sensible se copia en una consulta de recuperación o se almacena en memoria antes de ser enmascarado, la privacidad se ha comprometido irreversiblemente.
• Riesgo: Incluso si el modelo final no "recuerda" los datos, la información sensible puede quedar expuesta en los componentes periféricos del sistema (bases de datos de logs, APIs de terceros, cachés).

2. Metodología: BodhiPromptShield

El authors proponen BodhiPromptShield, un marco de mediación de prompts consciente de la política que actúa como una capa intermedia antes de la inferencia del modelo. Su objetivo es suprimir la propagación de datos sensibles manteniendo la utilidad semántica necesaria para la ejecución de tareas.

Componentes Clave del Sistema:

1. Extracción de Entidades Sensibles:

   • Detecta spans sensibles utilizando una combinación de reglas estructuradas (regex), Reconocimiento de Entidades Nombradas (NER), juicio contextual y OCR (para contenido en imágenes).
   • Genera una anotación estructurada $E(x)$ con categorías de privacidad y puntuaciones de confianza.

2. Mediación y Sanitización Semántica:

   • En lugar de simplemente borrar o reemplazar todo con [REDACTED], el sistema aplica tres modos de sanitización basados en la política y el contexto:
     • Marcadores Tipados (Typed Placeholders): Reemplaza datos con tokens como <PERSON_1> o <PHONE_1>, preservando el tipo de entidad para el razonamiento del modelo.
     • Abstracción Semántica: Reemplaza valores específicos con descripciones generales (ej. "una dirección residencial en Auckland") para mantener el contexto sin revelar el dato.
     • Mapeo Simbólico Seguro: Reemplaza el dato con un token opaco vinculado a una tabla de mapeo segura (fuera del estado del agente), permitiendo la restauración solo en límites autorizados.

3. Gestión de la Restauración y Propagación:

   • Control de Tiempo de Restauración: La restauración de datos originales (si es necesaria para una herramienta) se retrasa deliberadamente hasta un "límite de ejecución autorizado". Esto evita que los valores crudos entren en las etapas de recuperación, memoria o planificación.
   • Tabla de Mapeo Segura: Las claves de restauración se gestionan fuera del flujo de prompts, cifradas y con registros de auditoría inmutables.

4. Objetivo de Optimización:

   • El sistema busca minimizar la exposición residual y el riesgo de propagación ($R_{prop}$) mientras maximiza la utilidad de la tarea ($L_{utility}$), equilibrando estos factores mediante hiperparámetros de política ($\gamma, \lambda$).

3. Contribuciones Clave

• Reformulación del Problema: Cambia el enfoque de la privacidad de un problema de "enmascaramiento de documentos" a un problema de control de propagación a través de los estados del agente (retrieval, memoria, herramientas).
• Mecanismo de Mediación Consciente de Políticas: Introduce la selección dinámica de modos de sanitización (placeholder, abstracción, mapeo) basada en el riesgo y la necesidad de la tarea, tratando el momento de la restauración como una variable de seguridad explícita.
• Protocolo de Evaluación Consciente de la Propagación: Presenta el Controlled Prompt-Privacy Benchmark (CPPB), diseñado para medir no solo la exposición directa, sino cómo la información sensible sobrevive (o se suprime) al cruzar las fronteras internas del agente.
• Evidencia Empírica Controlada: Proporciona resultados reproducibles que separan los resultados centrales respaldados por registros de los datos de apoyo controlados, delimitando claramente el alcance de las garantías formales.

4. Resultados Principales

Evaluado bajo el protocolo CPPB, BodhiPromptShield demuestra superioridad sobre métodos de enmascaramiento genérico y redacción empresarial estándar:

• Supresión de Propagación:

  • La exposición de propagación por etapas (SPE) se reduce drásticamente. En el escenario propuesto, la exposición cae del 10.7% (en la etapa de recuperación) al 7.1% (en la etapa de herramienta), comparado con un 100% sin protección.
  • Los métodos de enmascaramiento simples (Regex) muestran una degradación mínima (de 62.7% a 59.8%), confirmando que la protección tardía es ineficaz.

• Privacidad vs. Utilidad:

  • Tasa de Exposición de Privacidad (PER): El marco alcanza un PER del 9.3%, superando a la desidentificación genérica (12.4%) y acercándose a la redacción empresarial (8.1%).
  • Consistencia de Respuesta (AC) y Tasa de Éxito de Tarea (TSR): A diferencia de la desidentificación genérica que degrada severamente el rendimiento (AC 0.73), BodhiPromptShield mantiene una alta utilidad (AC 0.94, TSR 0.92) al preservar la estructura semántica necesaria para el razonamiento.

• Robustez Adversarial:

  • El sistema incluye normalización de homóglifos (Unicode), reduciendo la exposición ante ataques de sustitución de caracteres del 94.1% al 43.9%. Sin embargo, se reconoce que la evasión de formas superficiales (paráfrasis, mezcla de idiomas) sigue siendo un desafío parcial.

• Overhead de Latencia:

  • La mediación añade un costo moderado: ~41 ms de latencia media en modo equilibrado, lo cual es aceptable para la mayoría de los flujos de trabajo empresariales.

5. Significado e Impacto

• Cambio de Paradigma: El trabajo establece que la privacidad en los agentes de IA no puede resolverse solo en el entrenamiento o en el almacenamiento final; debe gestionarse en la interfaz de inferencia antes de que los datos se propaguen a componentes no confiables.
• Viabilidad de Despliegue: Ofrece una solución práctica para entornos donde el proveedor del modelo o los componentes de recuperación no son totalmente de confianza, permitiendo el uso de agentes en sectores regulados (salud, finanzas) sin sacrificar completamente la funcionalidad.
• Límites y Futuro: El artículo es honesto sobre sus limitaciones: no ofrece garantías criptográficas end-to-end ni privacidad diferencial completa. Reconoce que la inferencia basada en contexto y los ataques de inyección de prompts siguen siendo riesgos que requieren validación futura en benchmarks públicos más amplios y entornos de producción reales.

En conclusión, BodhiPromptShield representa un avance significativo hacia la arquitectura de agentes seguros, demostrando que es posible controlar la propagación de datos sensibles a través de estados complejos de agentes manteniendo una alta utilidad operativa.