Resumen Técnico: MINIM - Vista Mínima Consciente de la Privacidad para Agentes mediante Sanitización Local Confiable

1. Declaración del Problema: Observación Semánticamente Sobre-Privilegiada

Los agentes autónomos modernos dependen cada vez más de observaciones estructuradas (por ejemplo, árboles de accesibilidad, representaciones del DOM) para interactuar con entornos digitales. Si bien estas interfaces estructuradas proporcionan un rico contexto semántico para un anclaje de acciones fiable, los paradigmas de despliegue actuales suelen seguir un diseño de "compartir primero", transmitiendo el estado completo de la interfaz bruta a servidores de inferencia remotos.

Los autores identifican un modo de fallo específico denominado Observación Semánticamente Sobre-Privilegiada. En este escenario, los agentes reciben no solo los elementos necesarios para la tarea actual del usuario, sino también una gran cantidad de contexto irrelevante para la tarea (por ejemplo, notificaciones de la barra lateral, ventanas de aplicaciones en segundo plano, pestañas del navegador no relacionadas). Esta exposición conduce a la filtración de información sensible pero innecesaria, como códigos de autenticación, notificaciones privadas y trazas de comportamiento, que pueden ser explotadas para la creación de perfiles.

Las soluciones de privacidad existentes no son adecuadas para este entorno:

• El filtrado agnóstico a la tarea (por ejemplo, la redacción de PII) corre el riesgo de eliminar contexto crítico para la tarea o de omitir atributos sensibles que no sean PII.
• La Privacidad Diferencial introduce ruido estocástico que puede distorsionar las señales semánticas precisas requeridas para la actuación fiable del agente.
• Los métodos criptográficos (por ejemplo, FHE, MPC) protegen la computación, pero no impiden que el servidor remoto infiera información sensible a partir del estado divulgado, a menudo a costa de una latencia prohibitiva.

El desafío central es que los requisitos de privacidad están condicionados por la tarea: un elemento (por ejemplo, un código 2FA) puede ser crítico para una tarea, pero constituye una filtración pura para otra.

2. Metodología: Marco de Trabajo MINIM

Los autores proponen MINIM, un intermediario local confiable que realiza una minimización previa a la divulgación en el dispositivo del cliente. MINIM actúa como un cuello de botella estructural, sanitizando la observación del agente antes de que salga del dispositivo. El marco se fundamenta en la Integridad Contextual (CI), operacionalizando el principio de que el flujo de información debe adherirse a las normas definidas por el contexto, los actores, los atributos y los principios de transmisión.

2.1. Representación de Doble Puntuación

MINIM emplea un modelo aprendido para predecir dos puntuaciones escalares para cada elemento en la observación estructurada (por ejemplo, un nodo del árbol de accesibilidad):

1. Puntuación de Sensibilidad Inherente ($s$): Captura el riesgo de información intrínseco del elemento, independiente de la tarea actual.
2. Puntuación de Necesidad Condicionada por la Tarea ($n$): Captura la utilidad del elemento para completar la tarea específica del usuario $T$.

2.2. Objetivo de Entrenamiento

El modelo se entrena utilizando un objetivo consciente de la CI que minimiza la divulgación de información contextualmente inapropiada mientras satisface una restricción de utilidad de la tarea. La función de pérdida combina:

• Pérdida de Sensibilidad ($L_{sens}$): Minimiza el error en la predicción del riesgo inherente.
• Pérdida de Necesidad ($L_{nec}$): Minimiza el error en la predicción de la necesidad de la tarea, pero ponderada por la sensibilidad. La pérdida se amplifica para los nodos que son altamente sensibles pero irrelevantes para la tarea, penalizando fuertemente al modelo por no identificar contenido de alto riesgo innecesario.

2.3. Política de Divulgación Ternaria

En el despliegue, las puntuaciones predichas impulsan una política determinista que mapea cada nodo a una de tres acciones:

• Mantener (K): Si el nodo es necesario ($n \ge \tau_{nec}$) y de bajo riesgo ($s < \tau_{sens}$). El elemento se transmite sin cambios.
• Abstraer (A): Si el nodo es necesario ($n \ge \tau_{nec}$) pero de alto riesgo ($s \ge \tau_{sens}$). Los atributos sensibles se reemplazan con marcadores de posición (por ejemplo, [REDACTADO]) mientras se preserva el rol estructural (por ejemplo, manteniendo la estructura del botón pero enmascarando el valor del código 2FA).
• Eliminar (R): Si el nodo es innecesario ($n < \tau_{nec}$). El elemento se poda por completo.

3. Contribuciones Clave

1. Formalización del Problema: El artículo identifica y formaliza la "Observación Semánticamente Sobre-Privilegiada" como un riesgo de privacidad distinto en los sistemas agénticos que dependen de entradas estructuradas, proponiendo la minimización previa a la divulgación como la solución.
2. Arquitectura MINIM: Los autores introducen un intermediario local confiable que desacopla la puntuación contextual de la ejecución de la política. Utiliza un mecanismo de doble puntuación (sensibilidad y necesidad) entrenado con un objetivo consciente de la CI para aplicar una regla de divulgación de "necesidad de conocer".
3. Validación Empírica: El marco es evaluado en árboles de accesibilidad del mundo real derivados de WebArena a través de los dominios de Shopping, Reddit y Gmail, demostrando una reducción significativa de la filtración sin comprometer la ejecución de tareas.

4. Resultados Experimentales

Los experimentos se realizaron en un conjunto de datos de 662 variantes de prueba derivadas de WebArena, aumentadas con contextos sensibles sintetizados (por ejemplo, códigos 2FA, contraseñas).

4.1. Métricas de Desempeño

• Preservación de Nodos Críticos para la Tarea (TCNP): MINIM retiene el 94.91% del contexto crítico para la tarea y el 99.31% de los elementos interactivos críticos para la tarea (TCNP-I).
• Filtración de Información Sensible Irrelevante para la Tarea (TISL): MINIM reduce la filtración sensible a 0.101 (normalizado), lo que es aproximadamente el 10% de la filtración observada en las observaciones completas. Esto es una reducción del 50% en comparación con una línea base de "Solo Necesidad" (0.2032) y supera significativamente a las líneas base de "Solo Sensibilidad" o "Aleatoria".

4.2. Comparación con Líneas Base de LLM

Los autores compararon MINIM contra varias LLM de pesos abiertos instruidas para actuar como calificadores.

• Limitaciones de los LLM: Aunque los LLM generales lograron una alta utilidad (TCNP-I $\approx$ 0.99), exhibieron una filtración significativamente mayor (TISL entre 0.194 y 0.312). Tendieron a retener contenido sensible irrelevante para la tarea junto con elementos útiles.
• Eficiencia: MINIM retuvo solo el 12% de los nodos (en comparación con el ~26–35% de los LLM) mientras lograba un recuerdo accionable comparable o superior. Esto resalta que el ajuste de instrucciones general no impone inherentemente la minimización condicionada por la tarea.

4.3. Ablación y Robustez

• Valor de la Abstracción: Reemplazar la acción "Abstraer" (A) por "Eliminar" (R) causó una caída en el recuerdo accionable (TCNP-I) de 0.9931 a 0.9650, demostando que preservar las prestaciones estructurales mientras se enmascaran los valores es crucial para la ejecución de tareas.
• Semántica de la Tarea: El modelo adaptó su tasa de compresión según el tipo de tarea, reteniendo más nodos para tareas de "Sensibles/Administrativas" (15.84%) en comparación con tareas "Informativas" (8.66%) para asegurar que los flujos de seguridad fueran funcionales.

5. Significado y Reivindicaciones

El artículo afirma que MINIM demuestra que las fuertes garantías de privacidad pueden coexistir con una actuación de agentes fiable. Al pasar de un paradigma de "compartir primero" a uno de "necesidad de saber" mediante la sanitización local confiable, MINIM aborda la "Brecha de Juicio-Acción de la Privacidad" donde los agentes fallan en proteger el contexto incluso cuando este es reconocido como sensible.

Los autores enfatizan que su enfoque es agnóstico a la representación; aunque se evaluó en árboles de accesibilidad, el mecanismo de puntuación estructural impulsado por la CI se aplica a otros formatos de observación estructurada (DOM, grafos de escena, esquemas de herramientas). Posicionan a MINIM no como una solución de seguridad completa contra adversarios activos, sino como un componente crítico de mitigación de la privacidad para el canal de observación de agentes autónomos, permitiendo un despliegue más seguro en entornos sensibles a la privacidad.