Resumen Técnico: Privacidad Consciente de Dependencias para Agentes LLM de Múltiples Vueltas

Declaración del Problema

La integración de agentes de Modelos de Lenguaje Grande (LLM) en dominios sensibles (salud, finanzas, legal) crea una nueva superficie de ataque para la privacidad. Los usuarios delegan tareas a agentes que interactúan con múltiples servicios externos mediante protocolos como el Protocolo de Contexto del Modelo (MCP). En flujos de trabajo de múltiples vueltas, un adversario puede combinar liberaciones de datos independientes para reconstruir atributos privados del usuario.

Los métodos de saneamiento existentes, como Prϵmpt y CAPE, dependen de la privacidad diferencial métrica (mDP) pero tratan cada liberación de datos de forma independiente. Esta suposición de independencia falla en escenarios de múltiples vueltas:

1. Fuga Benigna: La redundancia entre plataformas (enviar el mismo valor raíz a dos servicios) o la redundancia estructural (enviar una raíz y un valor derivado por separado) hace que el presupuesto de privacidad escale linealmente con el número de servicios o funciones derivadas.
2. Fuga Adversarial: Un adversario puede forzar consultas repetidas para promediar el ruido ($1/\sqrt{q}$) o solicitar funciones derivadas arbitrarias. Para funciones no lineales comunes en flujos de trabajo médicos y financieros (por ejemplo, IMC, FIB-4), el ruido independiente de un valor derivado amplifica la distinguibilidad de la raíz subyacente por la constante de Lipschitz de la función ($L$), superando potencialmente el parámetro de privacidad nominal en órdenes de magnitud.

El problema central es que, sin rastrear las dependencias entre liberaciones, cada interacción adicional degrada la privacidad del usuario más allá del presupuesto nominal, independientemente de si la fuga es benigna o maliciosa.

Metodología: RootGuard

Los autores proponen RootGuard, un mecanismo de privacidad consciente de dependencias diseñado para interacciones agénticas de múltiples vueltas. El principio central es sanitizar los valores "raíz" privados exactamente una vez y calcular todas las liberaciones subsiguientes de forma determinista a partir de estas raíces con ruido.

Arquitectura del Sistema

1. Inicialización: El agente del usuario identifica valores raíz sensibles ($X$) y los sanitiza una vez mediante un mecanismo de privacidad diferencial ($M_\epsilon$). Estos valores con ruido ($\hat{X}$) se almacenan en una memoria caché sanitizada.
2. Operación por Vuelta: Cuando un adversario solicita un valor:
   • Si la solicitud es para una raíz, se devuelve el valor con ruido almacenado en caché.
   • Si la solicitud es para un valor derivado, se calcula de forma determinista a partir de las raíces con ruido almacenadas en caché.
   • No se extrae ruido fresco después de la inicialización.
3. Límite de Confianza: El adversario interactúa solo con la memoria caché sanitizada. Por el Teorema de Post-Procesamiento de la privacidad diferencial, la visión del adversario no es más informativa que la sanitización inicial de la raíz, independientemente del número de vueltas ($t$) o las funciones ($f$) solicitadas.

Explotación del Conocimiento Estructural

RootGuard utiliza conocimiento de dominio público para optimizar la compensación entre privacidad y utilidad sin debilitar las garantías:

• Nivel 1 (Dependencias Inter-raíz): Si una raíz declarada es una función determinista de otras (por ejemplo, IMC a partir de altura y peso), el agente identifica las raíces verdaderamente independientes. Las raíces dependientes se recalculan a partir de las raíces padres con ruido, heredando privacidad a costo marginal cero (Teorema 3).
• Nivel 2 (Sensibilidad del Objetivo): Si la función objetivo intermedia $g$ (por ejemplo, una fórmula clínica como FIB-4) es conocida, el agente asigna el presupuesto de privacidad $\epsilon_i$ a las raíces basándose en su sensibilidad hacia el objetivo. La asignación sigue una regla ponderada por sensibilidad: $\epsilon_i \propto (|h_i| \cdot D_i)^{1/2}$, donde $h_i$ es la derivada parcial de la función objetivo con respecto a la raíz $i$, y $D_i$ es la anchura del dominio. Esto minimiza el error esperado en la decisión clínica final.

Garantías Teóricas

• Teorema 1 (Garantía de Privacidad DAG): La garantía de privacidad depende únicamente de los parámetros de sanitización de la raíz y es independiente de la elección de funciones del adversario o del número de vueltas de interacción.
• Teorema 2 (Amplificación de Distinguibilidad): Demuestra que añadir ruido independientemente a un valor derivado amplifica la distinguibilidad de la raíz padre por la constante de Lipschitz de la función $L$.
• Teorema 3 (Privacidad Implícita): Demuestra que añadir ruido a las raíces y post-procesarlas para derivar valores proporciona al menos tanta privacidad como añadir ruido directamente a los valores derivados.

Contribuciones Clave

1. Formalización de la Privacidad Agéntica de Múltiples Vueltas: El artículo formaliza el juego de privacidad para interacciones de múltiples vueltas y demuestra que la garantía de RootGuard es invariante ante la cantidad de consultas y las elecciones de funciones del adversario.
2. Prueba de Amplificación e Herencia: Demuestra que el ruido independiente de valores derivados amplifica la pérdida de privacidad (Teorema 2), mientras que el ruido coordinado de raíces permite que los valores derivados hereden privacidad gratuitamente (Teorema 3).
3. Asignación Ponderada por Sensibilidad: Un método para asignar presupuestos de privacidad basándose en la sensibilidad de la función objetivo, minimizando el error del objetivo mientras se mantienen garantías formales.
4. Validación Empírica: Experimentos extensos en 8 plantillas de diagnóstico médico (derivadas de datos de NHANES) y un despliegue completo de extremo a extremo de LLM (GPT-5.4 nano) validando el mecanismo.

Resultados Experimentales

La evaluación compara las configuraciones de RootGuard (M-Roots, M-Opt) contra el ruido independiente (M-All) en tres preguntas de investigación:

RQ1: Utilidad del Objetivo

• Métrica: Error Porcentual Absoluto Medio Ponderado (wMAPE) y Error de Clase de Riesgo (RCE).
• Hallazgos: RootGuard supera significativamente al ruido independiente. Con $\epsilon = 0.1$ y un presupuesto de $B = (2k+1)\epsilon$, M-Opt logra un wMAPE 2.6$\times$ menor (7.8% vs. 20.3%) y un Error de Clase de Riesgo 2.2$\times$ menor (7.0% vs. 15.7%) en comparación con M-All.
• Doble Asimetría: A medida que el adversario fuerza más vueltas ($t$), la utilidad de RootGuard mejora (más presupuesto disponible por raíz), mientras que la privacidad de M-All se degrada (acumulación de observaciones independientes).

RQ2: Ataques de Reconstrucción

• Métrica: wMAPE de reconstrucción bajo un adversario de Máxima A Posteriori (MAP).
• Hallazgos: Bajo M-All, el error de reconstrucción disminuye a medida que aumenta el número de consultas ($q$) (por ejemplo, bajando del 10.2% al 3.2% cuando $q$ va de 1 a 16 con $\epsilon_r=0.1$). Bajo RootGuard, el error de reconstrucción permanece invariante ante $q$ porque las consultas repetidas devuelven el mismo valor almacenado en caché.

RQ3: Análisis Estructural

• Hallazgos: La ventaja de RootGuard es más pronunciada para fórmulas "compresoras" (por ejemplo, FIB-4, HOMA) donde la función objetivo atenúa el ruido de la raíz. La asignación del presupuesto sigue la ley de potencias predicha $\epsilon_i \propto (|h_i| \cdot D_i)^{0.5}$, confirmando la estrategia ponderada por sensibilidad.

RQ4: Despliegue de Extremo a Extremo

• Configuración: Una simulación del mundo real utilizando un agente GPT-5.4 nano en 21,600 sesiones.
• Hallazgos: Los hallazgos a nivel de mecanismo se transfieren al despliegue de LLM. El orden de rendimiento (M-Opt > M-Roots > M-All) se mantiene, y no hubo fallos de cumplimiento a nivel de sesión (ningún error de análisis ni respuestas malformadas).

Significado y Afirmaciones

El artículo afirma que RootGuard cambia fundamentalmente la compensación entre privacidad y utilidad en las interacciones de agentes de múltiples vueltas. Al pasar de un saneamiento sin estado e independiente a un enfoque con estado y consciente de dependencias, RootGuard asegura que:

1. La Privacidad es Constante: El adversario no obtiene información adicional independientemente de cuántas vueltas fuerce o qué funciones calcule.
2. La Utilidad Mejora con las Vueltas: Las vueltas de interacción adicionales permiten distribuir un presupuesto de privacidad total mayor entre las raíces, mejorando la precisión sin aumentar el riesgo de privacidad.
3. Robustez: El enfoque se mantiene incluso bajo inyección de prompts adversarios o diseño malicioso de servicios, ya que todas las liberaciones son post-procesamientos de las raíces iniciales con ruido.

Los autores concluyen que el ruido independiente es fundamentalmente insuficiente para flujos de trabajo de múltiples vueltas que involucran valores privados correlacionados, y que el saneamiento consciente de dependencias es una defensa necesaria para desplegar agentes LLM en dominios de alto riesgo. El trabajo asume un Reconocimiento de Entidades Nombradas (NER) perfecto para la identificación de raíces y se centra en datos numéricos estructurados, dejando el texto libre y la integración de NER ruidoso como trabajo futuro.