Resumen Técnico: 𝜋Creds: Credenciales Inferidas Privadamente

Planteamiento del Problema

Los sistemas de credenciales verificables descentralizadas se han visto históricamente limitados por su dependencia de las pruebas de conocimiento cero (ZKP) y los datos estructurados. Aunque son efectivos para predicados simples (p. ej., "edad > 18"), estos sistemas tienen dificultades con los datos no estructurados (p. ej., extractos bancarios, registros médicos, publicaciones en redes sociales) y carecen del razonamiento semántico necesario para derivar afirmaciones compleas como "pericia en un producto" o "seguridad del código" sin revelar los datos subyacentes. Las soluciones existentes requieren una lógica codificada para cada fuente de datos y formato, lo que las hace inflexibles e incapaces de manejar relaciones semánticas a través de fuentes de datos divergentes. Además, el uso de Modelos de Lenguaje de Gran Escala (LLM) para la emisión de credenciales introduce nuevas amenazas a nivel de aplicación: actores malintencionados podrían manipular datos autenticados para generar credenciales engañosas, o proveedores de modelos malintencionados podrían codificar canales encubiertos para filtrar información privada a través de las salidas del modelo.

Metodología

El artículo propone 𝜋Creds (Credenciales Inferidas Privadamente), un sistema que genera credenciales preservadoras de la privacidad, compatibles con sistemas heredados y descentralizadas, mediante la inferencia de un LLM de confianza sobre datos autenticados.

Arquitectura del Sistema

El flujo de trabajo central opera dentro de un Entorno de Ejecución Confiable (TEE) (específicamente Intel TDX con GPUs NVIDIA H100 en el prototipo) para garantizar la confidencialidad e integridad tanto de la recuperación de datos como de la inferencia. El proceso involucra a cuatro partes: el TEE, las fuentes de datos, un probador y un verificador.

1. Recuperación por Oráculo (Oracle Fetch): El TEE actúa como un oráculo, iniciando sesión en fuentes de datos de usuarios permitidas (p. ej., bancos, mercados) utilizando credenciales proporcionadas por el usuario para recuperar documentos.
2. Inferencia Privada: Un LLM procesa los documentos recuperados dentro del TEE utilizando un prompt específico para generar una afirmación.
3. Atestación: El TEE firma la afirmación resultante con una clave respaldada por hardware, incrustando una atestación remota que verifica el código y la configuración utilizados.
4. Verificación: El verificador comprueba la atestación del TEE y la firma. No se requiere interacción con el TEE tras la emisión.

Formalización de la Seguridad

Los autores identifican dos modelos de amenazas críticas a nivel de aplicación, distintos de la seguridad estándar a nivel de sistema:

1. Ejemplo Adversario Limitado por la Fuente (SCAE): Este modela a un adversario que manipula fuentes de datos autenticadas (p. ej., realizando compras estratégicas) para inducir una salida de LLM engañosa. A diferencia de los ejemplos adversarios estándar, la perturbación está limitada por el costo real de modificar la fuente de datos y el requisito de que los datos sigan siendo consistentes con la lógica de autenticación de la fuente.
2. Envenenamiento de Predicado Encubierto Autenticado (ACPP): Este modela a un adversario (un verificador o proveedor de modelos) que ajusta finamente (fine-tuning) un modelo para codificar información sensible (p. ej., género, compras específicas) en la salida de la credencial. El ataque está limitado por el requisito de que la salida debe permanecer como una afirmación "válida" dentro del conjunto de verdad de base (es decir, debe pasar la auditoría del probador) y que los datos de ajuste fino deben parecer legítimos.

Contribuciones Clave

1. El Protocolo 𝜋Creds: Un flujo de trabajo completo de emisión y verificación que combina oráculos con inferencia de LLM. El sistema está formalizado en el marco de la Componibilidad Universal, asegurando la solidez (ejecución fiel) y la privacidad (los datos no se exponen más allá de la salida).
2. Modelado de Amenazas: La formalización de los problemas SCAE y ACPP, proporcionando un marco para analizar la robustez contra la manipulación estratégica de datos y la filtración de privacidad mediante la selección de modelos adversarios.
3. Nuevas Aplicaciones: El artículo caracteriza aplicaciones para datos de usuario (p. ej., pericia en productos, solvencia crediticia) e introduce una nueva clase de credenciales para software. Esto permite que un servicio atestigue propiedades de su código propietario (p. ej., "no hay claves de API codificadas en texto plano") sin revelar el código fuente, haciendo que un LLM audite el código dentro de un TEE.
4. Evaluación Empírica: Una implementación de prototipo que soporta fuentes financieras, de salud, de correo electrónico y de código. Los autores estudian empíricamente SCAE y ACPP en una credencial de "pericia en productos" utilizando datos reales de transacciones de Amazon.

Resultados

• Precisión de la Línea Base: Utilizando modelos de código abierto (p. ej., Qwen2.5-7B-Instruct), el sistema logra una alta precisión en tareas semánticas. Para la pericia en productos, la desviación absoluta media respecto a una verdad de base de "consenso de modelo de frontera" fue de 0.45 puntos en una escala de 10.
• Evaluación SCAE: La autenticación de la fuente impone un costo real a los adversarios. Con un presupuesto de $20 (aprox. 5% del gasto promedio), un ataque desplazó la puntuación de pericia en una media de 1.24 puntos. Con $100 (20% del gasto), el desplazamiento fue de 1.75 puntos. Aunque el ataque está limitado por el costo, un presupuesto modesto aún puede alterar significativamente la puntuación de la credencial, lo que indica vulnerabilidad ante la manipulación motivada.
• Evaluación ACPP: El estudio probó canales encubiertos utilizando paridad de puntuación (números pares/impares) para codificar predicados sensibles (género, compra de un artículo específico).
  • Sin Restricciones: Sin restricciones de salida, el adversario logró una recuperación casi perfecta del predicado oculto.
  • Con Restricciones: Cuando la salida fue forzada a permanecer dentro de un rango de tolerancia válido (±5 puntos), la precisión de recuperación cayó a niveles cercanos al azar (55–65% para demografía, 45–55% para comportamiento).
  • Conclusión: El requisito de que la salida permanezca como una afirmación "válida" limita significamente la capacidad de los canales encubiertos, aunque las credenciales más expresivas (p. ej., justificaciones de texto libre) serían más vulnerables.

Significancia y Reivindicaciones

El artículo afirma que 𝜋Creds representa un paso significativo al permitir el razonamiento semántico sobre datos no estructurados de manera preservadora de la privacidad, una capacidad que carecen los sistemas actuales basados en ZKP. Al aprovechar los LLM dentro de los TEE, el sistema soporta fuentes de datos heredadas sin requerir modificaciones en los bancos o mercados.

Los autores posicionan este trabajo como una exploración inicial más que como un veredicto de seguridad definitivo. Enfatizan que:

• La formalización de SCAE y ACPP proporciona un punto de partida para el análisis sistemático de la seguridad de los LLM en credenciales.
• Los resultados empíricos sirven como una demostración de cómo estos ataques pueden operacionalizarse, mostrando que, si bien la autenticación de la fuente y las restricciones de salida proporcionan cierta defensa, los adversarios motivados aún pueden influir en los resultados.
• La aplicación a la auditoría de software propietario ofrece un camino concreto para fomentar la confianza en agentes de código cerrado (en el contexto de los estándares ERC-8004) sin revelar el código fuente.

El artículo concluye que, si bien los LLM introducen nuevas superficies de ataque, la combinación de TEE, autenticación de la fuente y espacios de salida restringidos ofrece una base viable, aunque imperfecta, para la próxima generación de credenciales descentralizadas y preservadoras de la privacidad.