Resumen Técnico: PromptPET

Declaración del Problema

La rápida adopción de agentes de IA (por ejemplo, ChatGPT, Gemini) ha desplazado la interacción del usuario de los cuadros de búsqueda hacia un lenguaje natural abierto, lo que fomenta la divulgación de información personal rica y sensible. Si bien esto mejora la utilidad mediante la personalización, introduce riesgos de privacidad significativos. A diferencia del rastreo tradicional mediante PII (Información de Identificación Personal), los agentes de IA pueden inferir atributos detallados del usuario (intereses, estado de salud, situación financiera) a partir de contextos que no son PII para construir perfiles detallados. Estos perfiles se utilizan a menudo para publicidad o se comparten con terceros.

Las soluciones de privacidad actuales enfrentan dos limitaciones principales:

1. Redacción de PII: Eliminar entidades con nombre a menudo no logra proteger los temas sensibles (por ejemplo, eliminar "Mountain View" pero dejar "buscando un terapeuta" sigue revelando el estado de salud mental).
2. Compromiso entre Utilidad y Privacidad: La ofuscación agresiva (por ejemplo, eliminar todos los detalles sensibles) degrada la calidad de la respuesta de la IA, mientras que preservar la utilidad deja al usuario vulnerable al perfilamiento.

Los enfoques existentes dependen de reglas fijas y manuales o delegan las decisiones enteramente a un LLM sin una optimización sistemática, fallando al no tener en cuenta la importancia variable de las diferentes unidades sensibles dentro de un prompt.

Metodología: PromptPET

PromptPET es un marco de trabajo del lado del usuario diseñado para ofuscar la información sensible en los prompts del usuario antes de que lleguen al agente de IA, sin requerir la cooperación del proveedor. Opera enteramente en el lado del cliente utilizando un LLM local. El marco consta de tres etapas:

1. Detección y Calificación de Información Sensible

• Detección Basada en Taxonomía: PromptPET utiliza una taxonomía sensible (específicamente la Taxonomía de Audiencia de IAB) para identificar "Unidades Sensibles" dentro de una consulta. Estas unidades se mapean a Categorías específicas (por ejemplo, Salud) y Tipos de Datos (por ejemplo, Depresión).
• Calificación de Importancia: No todas las unidades sensibles contribuyen por igual a la utilidad de la respuesta. PromptPET asigna una puntuación de importancia ($[0, 1]$) a cada unidad detectada utilizando un LLM ajustado por instrucciones. Esta puntuación estima la contribución de la unidad para generar la respuesta deseada, distinguiendo entre unidades "frágiles" de alta contribución y aquellas que pueden ofuscarse agresivamente.

2. Acciones de Ofuscación

PromptPET emplea cuatro estrategias de ofuscación distintas, aplicándolas según la importancia de la unidad y el contexto:

• Redacción (Redaction): Elimina la unidad y la reemplaza con un marcador de posición (por ejemplo, [REDACTED]). Esto maximiza la privacidad pero a menudo destruye la utilidad.
• Abstracción (Abstraction): Generaliza la unidad a una categoría de nivel superior en la taxonomía (por ejemplo, reemplazar "Depresión" con "Salud"). Esto ofrece un punto medio.
• Reemplazo (Replacement): Sustituye la unidad con una alternativa plausible de un tipo de dato diferente dentro de la misma categoría (por ejemplo, reemplazar "Mountain View" con "Palo Alto").
• Ruido (Noise - Novedoso): Mantiene la unidad sensible original intacta pero inyecta información "señuelo" plausible y contextualmente relevante bajo un tipo de dato diferente. Se le instruye al agente de IA que responda tanto a la consulta real como a la señuelo. El sistema del lado del cliente luego filtra la parte señuelo de la respuesta. Esto preserva la utilidad para las unidades de alta importancia mientras interrumpe la capacidad del perfilador para aislar la señal verdadera.

3. Optimización de Reglas mediante Aprendizaje por Refuerzo

En lugar de utilizar heurísticas fijas, PromptPET introduce un Optimizador de Reglas inspirado en la Optimización por Prompting (OPRO).

• Mecanismo: Un agente basado en LLM (el Decisor de Acción de Ofuscación) asigna una acción a cada unidad sensible basándose en un conjunto de reglas de decisión. Un segundo agente (el Optimizador de Reglas) refina iterativamente estas reglas.
• Bucle de Retroalimentación: El optimizador evalúa los conjuntos de reglas en un conjunto de validación utilizando una función de recompensa: $\alpha \cdot \text{Privacidad} + (1-\alpha) \cdot \text{Utilidad} - \lambda \cdot |R|$, donde $|R|$ es la longitud del conjunto de reglas. Retiene las reglas fuertes, revisa las mediocres y poda las débiles.
• Resultado: El sistema aprende una política dinámica que selecciona la acción de ofuscación óptima para cada unidad específica, en lugar de aplicar una única estrategia globalmente.

Resultados Clave

Los autores evaluaron PromptPET en el conjunto de datos WildChat-1M (filtrado para contenido sensible) contra un servicio de agente de IA de producción (simulado mediante GPT-4.1).

Análisis de Acción Única

• Superioridad del Ruido: Entre las estrategias de acción única, el esquema de Ruido logró el mejor equilibrio entre privacidad y utilidad. Con su máxima potencia, alcanzó un 73.7% de éxito (alta privacidad, alta utilidad), superando significativamente a la Redacción (39.4%) y la Abstracción (51.2%). El Ruido preservó la utilidad manteniendo la señal original intacta mientras abrumaba al perfilador con señuelos.
• Dependencia del Contexto: Ninguna acción única era óptima para todas las consultas. La Redacción fue mejor para unidades sensibles incidentales, mientras que el Ruido era esencial para los componentes centrales de la consulta.

Rendimiento de PromptPET

• Comparación con el Estado del Arte: PromptPET superó significativamente a las bases automatizadas previas (Ngong et al. y Zhou et et al.).
  • Entregó 3.3 veces más privacidad por unidad de costo de utilidad en comparación con la base previa más fuerte.
  • Logró 1.4 veces más privacidad total (0.78 vs. 0.55) manteniendo una alta utilidad.
• Logro de la Frontera: El conjunto de reglas aprendido permitió a PromptPET igualar el límite superior de la mejor estrategia de acción única en cada punto operativo (por ejemplo, usando Abstracción para necesidades de baja privacidad y Ruido para alta privacidad), efectivamente "cooperando" en lugar de competir.
• Modos de Fallo: El sistema falló principalmente de dos maneras distintas:
  1. Fallo de Privacidad (17.5%): El perfilador recuperó el perfil a partir del contexto residual a pesar de la ofuscación.
  2. Colapso de Utilidad (7.6%): Ocurrió principalmente cuando se aplicó incorrectamente la Redacción a unidades de alta importancia.
  • El fallo simultáneo de ambos ejes fue raro (1.1%).

Eficiencia

• Latencia: PromptPET añade una latencia mediana del lado del cliente de 11.6 segundos por consulta (dominada por el paso de detección usando un modelo de 12 mil millones de parámetros), lo que resulta en un tiempo total de extremo a extremo de ~17.1 segundos. Los autores señalan que esto es una preocupación secundaria frente al compromiso entre privacidad y utilidad, y podría reducirse con detectores más pequeños y especializados.

Significado y Reivindicaciones

El artículo afirma que PromptPET representa un marco de trabajo unificador y principista para la ofuscación de prompts. Sus principales contribuciones son:

1. Control del Lado del Usuario: Demuestra que controlar los datos en el punto de divulgación (lado del cliente) es una tecnología de Mejora de la Privacidad (PET) viable y poderosa que no depende de la confianza en el proveedor.
2. Mecanismo de Ruido Novedoso: La introducción del esquema Ruido/Denoise proporciona un nuevo método para preservar la utilidad mientras se interrumpe el perfilamiento, superando los métodos tradicionales basados en la eliminación.
3. Optimización Sistemática: Al alejarse de las reglas estáticas hacia un optimizador de reglas inspirado en el aprendizaje por refuerzo, PromptPET se adapta dinámicamente a los matices de diferentes consultas, alcanzando una frontera de privacidad-utilidad que los métodos estáticos no pueden alcanzar.
4. Evaluación Exhaustiva: El trabajo proporciona la primera comparación sistemática de redacción, abstracción, reemplazo y ruido, estableciendo que la estrategia óptima depende del contexto y debe ser aprendida en lugar de codificada de forma fija.

Los autores concluyen que PromptPET ofrece un camino práctico para que los usuarios interactúen con agentes de IA manteniendo el control sobre su privacidad, subvirtiendo efectivamente el perfilado de usuarios sin sacrificar la utilidad de la interacción.