Safe, or Simply Incapable? Rethinking Safety Evaluation for Phone-Use Agents

Resumen Técnico: ¿Seguro o Simplemente Incapaz? Replanteando la Evaluación de Seguridad para Agentes de Uso Telefónico

Enunciado del Problema
Las evaluaciones de seguridad actuales para agentes de uso telefónico adolecen de una ambigüedad fundamental: un resultado inofensivo no indica necesariamente un comportamiento seguro. Cuando un agente evita causar daño en un momento riesgoso, puede deberse a un juicio seguro (reconocer el riesgo y elegir la acción segura correcta) o a una incapacidad para actuar (no comprender la interfaz, no localizar los controles o no ejecutar ninguna acción relevante). Las puntuaciones de referencia existentes a menudo confunden estas causas distintas bajo métricas agregadas como "éxito en la tarea", "rechazo" o "resultado final dañino". Esta confusión genera dos problemas críticos:

1. Sobreestimación de modelos débiles: Los agentes que no logran actuar reciben incorrectamente crédito por seguridad porque no se produjo daño.
2. Diagnóstico erróneo de modelos fuertes: Los agentes que comprenden la interfaz pero toman malas decisiones de seguridad no se distinguen de aquellos que simplemente no pueden actuar.

A medida que los agentes pasan de ser asistentes pasivos a sistemas capaces de operar directamente teléfonos inteligentes, un solo toque equivocado puede exponer datos privados, autorizar pagos o conceder permisos. Evaluar si un agente toma la decisión correcta en el momento en que un límite de seguridad se vuelve relevante para la acción es distinto a evaluar si puede completar una tarea.

Metodología: PHONESAFETY
Para abordar esto, los autores introducen PHONESAFETY, una puntuación de referencia diseñada para evaluar a los agentes en momentos críticos para la seguridad en lugar de a lo largo de episodios completos de tareas.

• Construcción de Datos: La puntuación de referencia consta de 700 momentos críticos para la seguridad extraídos de 4.512 trayectorias en dispositivos reales a través de más de 130 aplicaciones móviles chinas. Estas trayectorias abarcan diversos escenarios, incluidas aplicaciones nativas, mini-programas y flujos de trabajo entre aplicaciones.
• Unidad de Evaluación: La unidad de análisis es el punto de decisión específico donde la siguiente acción puede determinar directamente la seguridad de la interacción. Se proporciona al modelo la instrucción del usuario, el historial de interacción y el contexto actual de la pantalla, y luego se le pide que prediga la siguiente acción en el teléfono.
• Descomposición de Tres Vías: En lugar de una etiqueta binaria seguro/inseguro, los resultados se categorizan en tres clases mutuamente excluyentes:
  1. Acción Segura: El modelo se involucra en la decisión y elige el lado seguro (por ejemplo, pedir confirmación, rechazar una instrucción dañina, cerrar una ventana emergente engañosa).
  2. Acción Insegura: El modelo se involucra en la decisión pero cruza el límite de seguridad (por ejemplo, proceder con un pago sin confirmación, conceder permisos innecesarios).
  3. Fallo en Hacer Algo Útil (Fallo de Capacidad): El modelo no logra realizar ni el comportamiento seguro ni el inseguro. Esto incluye tocar áreas irrelevantes, abandonar la página o producir acciones malformadas. Esta categoría se trata como una señal operativa de incapacidad para actuar en lugar de una afirmación sobre los internos profundos del modelo.
• Métricas: Los autores reportan la tasa de acción segura, la tasa de acción insegura y la Tasa de Fallo de Capacidad (CFR). También rastrean $1 - \text{CFR}$ (la tasa de producir cualquier acción relevante) como un proxy para la capacidad operativa general.

Resultados Clave
El artículo evalúa ocho agentes representativos de uso telefónico (incluidos Gemini 3.1 Pro, Claude Opus 4.6 y AutoGLM 9B) y revela dos patrones principales:

1. La Capacidad General No Predice Decisiones Seguras:
   No existe una correlación confiable entre el rendimiento general de un modelo en el uso del teléfono y su juicio de seguridad en momentos críticos.

   • Evidencia: Los modelos que ocupan un lugar alto en tareas generales (por ejemplo, Seed 2.0 Pro) no necesariamente tienen las tasas de acción segura más altas. Por el contrario, los modelos con puntuaciones generales más bajas a veces muestran una toma de decisiones más segura cuando el límite es explícito.
   • Implicación: Una alta capacidad operativa no garantiza un comportamiento seguro; se requiere una evaluación de seguridad dedicada.

2. Modos de Fallo Distintos:
   Los fallos no son monolíticos; se dividen en dos patrones distintos según el escenario:

   • Decisiones Inseguras: En escenarios que requieren un simple rechazo (por ejemplo, la familia "Seguridad"), los fallos son predominantemente acciones inseguras. El modelo entiende la interfaz pero elige el lado incorrecto de la decisión (por ejemplo, proceder con una instrucción dañina).
   • Incapacidad para Actuar: En escenarios visual y operativamente exigentes (por ejemplo, "Resistencia a Trampas", "Minimización de Permisos"), los fallos son predominantemente fallos en hacer algo útil. El modelo no puede anclar la interfaz ni ejecutar la acción necesaria.
   • Correlación: La tasa de "fallo en hacer algo útil" (CFR) se correlaciona fuertemente con la capacidad general de uso del teléfono ($\rho = 0.922$), mientras que las tasas de acción segura no lo hacen.

3. Invarianza del Protocolo de la Incapacidad:
   Cuando se varía el protocolo de evaluación (definiendo qué constituye una acción segura frente a una insegura), la tasa de acción segura cambia significativamente. Sin embargo, la Tasa de Fallo de Capacidad (CFR) permanece estable ($\Delta \text{CFR} = 0.0$). Esto confirma que "fallo en hacer algo útil" es una señal de incapacidad operativa en lugar de una sensibilidad a definiciones específicas de seguridad.

Significado y Afirmaciones
El artículo argumenta que, para los agentes que toman acciones, la inofensividad no es evidencia suficiente de seguridad. Un sistema no debe recibir crédito por seguridad simplemente porque no se produjo daño si ese resultado fue el resultado de una incapacidad para actuar.

• Contribución Central: La introducción de un marco de evaluación de tres vías que separa el juicio inseguro de la incapacidad para actuar.
• Cambio Metodológico: Pasar de resultados a nivel de episodio a momentos críticos para la seguridad permite aislar el punto de decisión específico donde se determina la seguridad.
• Implicación Práctica: La evaluación de seguridad debe distinguir entre un modelo que elige mal y un modelo que no puede actuar. Tratar "ninguna acción relevante" como un éxito de seguridad es un error metodológico que oscurece la verdadera naturaleza de los riesgos de los agentes.

El estudio se limita a una evaluación dentro de un ecosistema móvil chino, pero los autores postulan que el principio subyacente —que los resultados inofensivos deben interpretarse y no simplemente observarse— se aplica ampliamente a los agentes capaces de actuar en el mundo real.