Resumen Técnico: Llamadas de Herramientas Fantasma: Privacidad en el Momento de la Emisión para Herramientas de Agentes Especulativos

1. Declaración del Problema

Los agentes de lenguaje aumentados con herramientas emplean cada vez más la ejecución especulativa para reducir la latencia. En este paradigma, un tiempo de ejecución de agente predice posibles llamadas a herramientas futuras y las despacha en paralelo mientras el planificador aún está decidiendo a qué rama de ejecución comprometerse. Si bien esto mejora el rendimiento, introduce un modo de falla de privacidad novedoso que los autores denominan Llamadas de Herramientas Fantasma (Ghost Tool Calls).

Una llamada de herramienta fantasma es una invocación especulativa abandonada que fue despachada a un observador externo (por ejemplo, un proveedor de búsqueda, un punto de conexión API o un monitor de red) pero que nunca fue promovida al plan final y comprometido del agente. Debido a que estas llamadas se emiten antes de que el agente se comprometa con un flujo de trabajo específico, filtran la intención inferida del usuario (temas, entidades y posibles acciones de seguimiento) a los servicios externos.

El problema central es temporal: una vez que un observador externo recibe una llamada especulativa, la información se retiene en los registros, cachés o trazas de red del proveedor. Los mecanismos de privacidad estándar fallan en abordar esto porque:

• La limpieza en el momento del compromiso (commit-time cleanup) es ineficaz; el observador ya posee los datos.
• Las restricciones de solo lectura (por ejemplo, permitir la especulación solo para herramientas de solo lectura) no impiden la filtración de la intención a través de los argumentos o los puntos de destino.
• Las listas de permitidos de control de acceso permiten la llamada si la herramienta está autorizada, independientemente de si la rama es abandonada posteriormente.

Los autores argumentan que la privacidad para los agentes especulativos requiere una decisión de política en el momento de la emisión (issue-time), tomada antes de que la llamada salga del límite del tiempo de ejecución confiable, en lugar de una decisión en el momento del compromiso.

2. Metodología y Marco de Trabajo

El Modelo de Traza

Los autores formalizan la brecha de privacidad utilizando un modelo de traza que compara dos secuencias:

• Traza Emitida ($S$): El registro ordenado de todos los eventos de herramientas despachados, incluyendo los especulativos.
• Traza Comprometida ($C$): La subsecuencia ordenada de eventos que el agente utiliza finalmente.
• Llamadas Fantasma: Eventos en $S \setminus C$.
• Exposición Marginal ($\Delta_i$): La diferencia entre lo que un observador $i$ ve en la traza especulativa ($O_i(S)$) frente al contrafáctico de solo comprometidos ($O_i(C)$). Esto representa la información adicional filtrada únicamente debido a la especulación.

El modelo identifica tres canales de divulgación:

1. Argumentos: La carga útil literal (por ejemplo, consultas de búsqueda).
2. Destino: El punto de conexión o la colección accedida (por ejemplo, una API de licencias de RR.HH. frente a una búsqueda general).
3. Metadatos: Tiempo, orden, recuentos de reintentos y estados de caché.

Contratos de Privacidad de Herramientas Especulativas

Para aplicar la privacidad en el límite del momento de la emisión, el artículo propone Contratos de Privacidad de Herramientas Especulativas. Este es una abstracción de tiempo de ejecución que trata la "observación antes del compromiso" como un efecto de primera clase, distinto de la mutación de estado.

Componentes Clave:

• Etiquetas: Cada evento especulativo se etiqueta con modo de ejecución, clase de efecto, clase de observador, sensibilidad de argumentos, sensibilidad de destino y confianza de la rama.
• El Monitor: Un componente confiable situado entre el planificador y las rutas de E/S externas. Evalúa cada evento especulativo antes del despacho.
• Función de Decisión: El monitor mapea los eventos a una de cinco acciones:
  1. PERMITIR (ALLOW): Despachar sin cambios.
  2. REESCRIBIR (REWRITE): Transformar argumentos sensibles en equivalentes genéricos antes del despacho.
  3. SOMBREAR (SHADOW): Ejecutar un sustituto local confiable en lugar de la llamada externa; el resultado se utiliza si la rama es promovida, pero el observador externo nunca ve la solicitud original.
  4. POSPONER (DEFER): Poner en cola el evento para una reevaluación solo si la rama es promovida al plan comprometido.
  5. BLOQUEAR (BLOCK): Descartar el evento por completo.

Invariante de Solidez: Bajo el supuesto de mediación completa (sin fugas de datos brutos antes del monitor) y etiquetado correcto, el monitor evita que cualquier campo prohibido entre en la exposición marginal ($\Delta_i$) del observador, independientemente de si el evento es comprometido o abandonado posteriormente.

3. Principales Contribuciones

1. Concepto de Llamada de Herramienta Fantasma: La formalización de las invocaciones especulativas abandonadas como una amenaza de privacidad distinta, distinguiendo entre la divulgación en el momento de la emisión y la mutación de estado en el momento del compromiso.
2. Contratos de Privacidad de Herramientas Especulativas: Una abstracción de tiempo de ejecución con etiquetas concretas, un flujo de decisión de cinco acciones y una invariante de solidez que trata la observación previa al compromiso como un efecto distinto.
3. Evaluación Empírica: Una evaluación exhaustiva de 12 políticas sobre tres corpus generados (estático de 30 tareas, emparejado de 150 tareas y AgentDojo de 66 tareas) y un estudio con un proveedor real (Brave Search/DuckDuckGo). La evaluación utiliza múltiples modelos adversarios (LLMs, coincidencia de palabras clave, TF-IDF) para medir la recuperación de etiquetas sensibles ocultas.

4. Resultados

La evaluación compara las políticas basadas en la recuperación adversaria (la probabilidad de que un adversario infiera correctamente una etiqueta sensible de la proyección del observador) y el éxito de la tarea.

• Confirmación de Filtración: Las trazas especulativas aumentan significamente la filtración. En un benchmark de plan estático, las tasas de recuperación saltaron de 0.44 (Sin Especulación) a 0.97 (Especulación Ingenua).
• Ineficacia de los Controles Post-Hoc: Las políticas que actúan después del despacho o que dependen de restricciones de solo lectura fallan en reducir la filtración:
  • Late-Scrub, ACL y SIA (Agentes de Interacción Especulativa): Estas políticas dejan la exposición marginal intacta. SIA, que restringe la especulación a herramientas de solo lectura, se desempeña tan mal como la línea base Ingenua porque las llamadas de solo lectura siguen revelando la intención a través de los argumentos y los destinos.
  • Pre-Scrub: La redacción de texto libre de los argumentos antes del despacho es insuficiente si los campos estructurados o los destinos permanecen intactos.
• Efectividad de las Transformaciones en el Momento de la Emisión: Solo las políticas que transforman la proyección antes del despacho reducen la filtración:
  • Rewrite (Reescribir): Parafrasear argumentos sensibles en equivalentes genéricos redujo la recuperación a niveles cercanos al suelo (por ejemplo, 0.04 en escenarios de real-planner).
  • Shadow (Sombrear): Dirigir las llamadas a sustitutos locales redujo la recuperación a 0.00 en varios benchmarks.
  • Gate (Puerta): Posponer las llamadas de baja confianza hasta la promoción de la rama redujo la filtración, aunque con un compromiso en la utilidad si el umbral es demasiado estricto.
• Señal Residual: Los principales portadores de filtración son los campos de argumentos estructurados y las URLs de destino. Enmascarar los nombres de las herramientas o usar redacción de texto libre por sí solo no detiene la filtración si el destino o los argumentos estructurados revelan el tema.
• Utilidad vs. Privacidad: El éxito de la tarea se mantuvo alto en la mayoría de las políticas (0.77–0.83). Shadow y Rewrite lograron una filtración cercana a cero con un impacto insignificante en el éxito de la tarea, mientras que los filtros post-hoc no ofrecieron ningún beneficio de privacidad.
• Latencia: El mecanismo de aplicación de contratos no se convirtió en un cuello de botella de latencia. En cargas de trabajo asíncronas de múltiples herramientas, las políticas que preservan la privacidad (Rewrite, Gate) mantuvieron ventajas de latencia similares a la línea base Ingenua.

5. Significado y Reivindicaciones

El artículo afirma que la especulación crea una falla de privacidad en el momento de la emisión que no puede resolverse mediante la autorización tradicional o la limpieza en el momento del compromiso. El significado de este trabajo radica en:

• Desplazamiento del Límite de Privacidad: Mover el punto de decisión de privacidad de "cuando el agente se compromete" a "cuando el agente emite". Los autores argumentan que una vez que un observador posee una llamada especulativa, el daño está hecho; por lo tanto, el tiempo de ejecución debe decidir qué enviar antes de enviarlo.
• Redefinición de la Especulación "Segura": El artículo demuestra que restringir la especulación a herramientas de "solo lectura" (un patrón de seguridad común) es insuficiente para la privacidad, ya que las llamadas de solo lectura aún filtran la intención. La verdadera privacidad requiere transformar o suprimir la proyección observable.
• Abstracción Práctica: Los contratos propuestos proporcionan un marco concreto e implementable (Rewrite, Shadow, Defer) que permite a los sistemas de tiempo de ejecución equilibrar los beneficios de latencia de la especulación con los requisitos de privacidad sin sacrificar la utilidad de la tarea.

Los autores concluyen que, si bien la especulación es atractiva para el rendimiento, requiere políticas en el momento de la emisión que cambien activamente o supriman la proyección de los argumentos o el destino de la llamada especulativa para evitar la filtración de la intención inferida del usuario.