Resumen Técnico: SurrogateShield

Planteamiento del Problema

Los asistentes de Modelos de Lenguaje de Gran Escala (LLM) transmiten las consultas de los usuarios de forma literal a los puntos de conexión (endpoints) de API de terceros, exponiendo la Información de Identificación Personal (PII) a riesgos de brechas de datos, citaciones judiciales o cambios en las políticas. La mitigación predominante, la redacción por marcadores de posición (por ejemplo, reemplazar "Juan Pérez" con [PERSONA]), preserva la privacidad por construcción pero destruye la coherencia semántica. Esta degradación estructural obliga al LLM a procesar consultas "estructuralmente degradadas", lo que resulta en respuestas correspondientemente degradadas y una pérdida de utilidad mensurable en las tareas derivadas. El desafío central es evitar que la PII real cruce el límite de la red sin sacrificar la utilidad semántica necesaria para interacciones de alta calidad con el LLM.

Metodología: SurrogateShield

SurrogateShield es un proxy del lado del cliente que intercepta las consultas de los LLM, reemplaza la PII detectada con valores sustitutos generados localmente que son consistentes con el tipo, y restaura transparentemente los valores originales en la respuesta antes de su visualización. El sistema opera bajo tres principios de diseño:

1. Ninguna PII cruza el límite de la API: La ejecución ocurre en la capa de transporte local antes de que se construya la solicitud HTTP.
2. Los sustitutos preservan la utilidad: Los valores falsos (por ejemplo, nombres, SSN) son realistas, consistentes con el tipo y estadísticamente no vinculados al original, preservando la estructura de la oración y la concordancia gramatical.
3. Restauración transparente: Los valores originales se restauran en la respuesta del LLM mediante un ResolvePass de tres pasadas antes de que el usuario vea la salida.

Arquitectura del Sistema

El flujo de trabajo consta de cuatro componentes principales:

1. SentinelLayer (Cascada de Detección de Tres Etapas)
La detección se ejecuta a través de una cascada secuencial donde cada etapa enmascara los intervalos de caracteres reclamados para evitar el doble procesamiento:

• PatternScan: Aplica expresiones regulares ordenadas por prioridad con validadores de suma de comprobación (Luhn para tarjetas de crédito, ABA para números de ruta) para detectar 16 tipos de PII estructurados (ej. SSN, email, direcciones de criptomonedas).
• EntityTrace: Utiliza spaCy (en_core_web_lg) para el Reconocimiento de Entidades Nombradas (NER) en el texto restante. Clasifica las entidades en "confirmadas" (puntuación ≥0.85) y "limítrofes" (0.60–0.85). Incluye lógica de reclasificación (ej. promover organizaciones a entidades geopolíticas si hay preposiciones de ubicación presentes) y listas de exclusión para suprimir falsos positivos comunes.
• ContextGuard: Ejecuta un modelo NER DistilBERT alojado localmente (dslim/distilbert-NER) para verificar entidades limítrofes y detectar entidades omitidas. Esta etapa se ejecuta totalmente fuera de línea tras una descarga inicial del modelo.

2. Inteligencia de Consulta de Servicio y Riesgo de Cuasi-Identificadores

• ServiceQueryDetector: Distingue entre consultas donde la ubicación es el tema (ej. "restaurantes cerca de X") frente a consultas donde la ubicación identifica al usuario. Para consultas de servicio, aplica una anonimización proporcional (ej. desplazando los números de casa en ±2–8) en lugar de un reemplazo completo para mantener la utilidad.
• Quasi-Identifier Risk Detector: Basado en el marco de k-anonimidad de Sweeney, detecta combinaciones de campos (ej. código postal + fecha de nacimiento + género) que podrían re-identificar estadísticamente a un usuario incluso si los campos individuales no son PII tradicionales.

3. MimicGen (Generación de Sustitutos)
Genera sustitutos consistentes con el tipo utilizando la biblioteca faker y lógica personalizada. Asegura la resistencia a colisiones dentro de una sesión y valida formatos (ej. sumas de comprobación Luhn válidas para tarjetas de crédito, codificación Base58 para direcciones de Bitcoin).

4. ShadowMap y ResolvePass

• ShadowMap: Un diccionario en memoria por conversación que mapea los sustitutos con los originales, persistido como un archivo binario cifrado mediante AES-256-GCM. Las claves se derivan vía HKDF-SHA256 a partir de un secreto a nivel de dispositivo.
• Dual History: El sistema mantiene dos historiales de mensajes: api_messages (solo sustitutos, enviados a la API) y messages (valores reales restaurados, mostrados al usuario). Esto evita la acumulación de PII en contextos de múltiples turnos.
• ResolvePass: Restaura los originales en la respuesta del LLM utilizando tres pasadas: coincidencia exacta (primero la más larga), coincidencia de componentes (para uso de nombres parciales) y coincidencia difusa (usando rapidfuzz).

Contribuciones Clave

1. Sistema SurrogateShield: El primer proxy de extremo a extremo del lado del cliente que implementa el reemplazo de sustitutos consistentes con el tipo con mapeo asegurado criptográficamente y reconstrucción transparente de la respuesta.
2. Cascada de Detección: Un novedoso flujo de tres etapas que combina regex, NER de spaCy y NER de DistilBERT local, aumentado por una suite de post-procesamiento para la deduplicación y el filtrado topográfico.
3. Validación de Utilidad Empírica: Demostración de que la sustitución por sustitutos supera significativamente a la redacción por marcadores de posición en utilidad semántica, medida mediante BERTScore.
4. Robustez Adversaria: Evidencia empírica de que los mensajes sustituidos por SurrogateShield resisten la recuperación adversaria basada en LLM, mientras que los tokens de marcador de posición exponen las ubicaciones de los espacios para la inferencia.
5. Análisis de Ablación: Cuantificación de la contribución marginal de F1 de cada etapa de detección, identificando el rol específico de PatternScan (PII estructurada), EntityTrace (entidades nombradas) y ContextGuard (ubicaciones limítrofes).

Resultados Experimentales

Evaluado en un corpus de 1,124 consultas anotadas (sintéticas pero estructuralmente realistas):

• Calidad de la Detección: La cascada completa logró un F1 score de 98.87%. SurrogateShield igualó o superó a Microsoft Presidio en los 11 tipos de entidades comparables, con ganancias significativas en identificadores estructurados como licencias de conducir de EE. UU. (+50.00 pp F1) y direcciones de criptomonedas (+45.45 pp F1).
• Utilidad Semántica: SurrogateShield preservó el 94.85% de la utilidad semántica (BERTScore F1), en comparación con el 81.59% de la redacción por marcadores de posición (una mejora de 13.26 puntos porcentuales, $p < 0.001$).
• Garantías de Privacidad:
  • Tasa de Fuga de PII: 0.00% (ninguna PII real llegó a la API en el corpus de 1,124 consultas).
  • Tasa de Fuga de Resolución: 0.00% (ningún sustituto permaneció sin restaurar en la visualización final).
  • Recuperación Adversaria: En un ensayo de 100 consultas contra un adversario de LLM provocado (Claude Haiku), la tasa de recuperación para los mensajes sustituidos por SurrogateShield fue del 0.00%, en comparación con el 1.53% para los mensajes redactados con marcadores de posición.
• Rendimiento: La sobrecarga total de procesamiento local fue de 25.89 ms por consulta (dominada por spaCy NER con 24.60 ms), lo cual es insignificante en comparación con las latencias típicas de las API de LLM (600–2,000 ms).

Significado y Reivindicaciones

El artículo argumenta que el compromiso entre privacidad y utilidad en las interacciones con LLM no es fundamental. SurrogateShield demuestra que la privacidad requiere la ausencia de valores reales de PII, no la ausencia de la estructura con forma de PII.

Al reemplazar los valores reales con sustitutos consistentes con el tipo, el sistema satisface la restricción de contención (ninguna PII real sale del dispositivo) mientras preserva la integridad estructural y semántica requerida para respuestas de alta calidad del LLM. Los autores afirman que este es el primer sistema que valida empíricamente que este espacio de diseño es viable, logizando una mayor utilidad y una resistencia adversaria más fuerte que el enfoque de redacción por marcadores de posición predominante, todo operando enteramente de forma local con una sobrecarga de latencia mínima. El trabajo desafía la suposición de que la degradación semántica es un costo necesario de las interacciones con LLM que preservan la privacidad.