💬 NLP

SlotGuard: Stop Oversharing Private Local Context in LLM Agent Transcri

SlotGuard es un sistema de límites de transcripción local que evita de forma segura que los agentes de LLM filtren contexto privado y credenciales mediante la reescritura de datos sensibles en ranuras sintéticas de formato preservado vinculadas a través de un grafo de sesión, logrando así una filtración de credenciales nula y un éxito de tareas casi perfecto sin la fragilidad de los métodos de redacción existentes.

Autores originales: Haocheng Xia, Yongjoo Park

Publicado 2026-07-21

📖 5 min de lectura🧠 Análisis profundo

CC BY 4.0

Autores originales: Haocheng Xia, Yongjoo Park

Artículo original bajo licencia CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Esta es una explicación generada por IA del artículo a continuación. No ha sido escrita ni avalada por los autores. Para mayor precisión técnica, consulte el artículo original. Leer descargo de responsabilidad completo

Imagina que tienes un asistente robot superinteligente que puede hacer casi cualquier cosa por ti: puede leer archivos en tu computadora, enviar correos electrónicos, ejecutar código e incluso hablar con otros programas. Para realizar estas tareas, el robot necesita ver tu información privada, como tus rutas de archivos, tu dirección de correo electrónico e incluso tus contraseñas secretas. Pero aquí está el truco: para determinar qué hacer a continuación, el robot a menudo tiene que enviar un resumen de su trabajo a un "cerebro" gigante basado en la nube (un modelo de lenguaje grande) propiedad de una empresa tecnológica. Este resumen se llama "transcripción".

El problema es que esta transcripción es como una entrada de diario que se le envía a un extraño. Si el robot accidentalmente escribe tu contraseña secreta o tu dirección particular en ese diario, la empresa de la nube podría verla, almacenarla o incluso usarla para entrenar a sus futuros robots. Es como pedirle ayuda a un amigo para hornear un pastel, pero tienes que enviarle una foto de tu cocina, y en esa foto, la llave de tu casa está justo al lado de la harina. Quieres que tu amigo vea la cocina para que pueda decirte cómo mezclar la masa, pero definitivamente no quieres que vea tu llave. Este artículo aborda la complicada cuestión de cómo permitir que el robot vea tu mundo privado sin dejar que el cerebro en la nube eche un vistazo a tus secretos.

Entra en escena SlotGuard, un nuevo y astuto sistema diseñado para actuar como un "portero de la privacidad" directamente dentro de tu computadora. Piensa en SlotGuard como un traductor mágico que se sienta entre tu asistente robot y el cerebro en la nube. Su trabajo es reescribir el diario del robot antes de que salga de tu casa. En lugar de dejar que el robot escriba tu contraseña secreta real (como SuperSecret123!), SlotGuard la cambia por un marcador de posición falso, pero perfectamente formado (como 🔑-SYNTHETIC-KEY-99).

Aquí está el truco de magia: el marcador de posición falso se ve y se siente exactamente igual que el real para el cerebro en la nube. Si la contraseña real era una larga cadena de letras y números, la falsa también es una larga cadena de letras y números. Si la ruta de archivo real era /Users/Alice/Secrets/Plan.pdf, la falsa podría verse como [REPO_ROOT_1]/Secrets/Plan.pdf. El cerebro en la nube aún puede leer la estructura: sabe que es un archivo, sabe que es un secreto y sabe cómo hablar de ello, pero no tiene idea de cuál es el secreto real. Es como darle al cerebro en la nube un mapa donde el tesoro está marcado con una "X" genérica en lugar de las coordenadas reales.

Pero la magia no termina ahí. Cuando el cerebro en la nube devuelve instrucciones como "Ve a abrir ese archivo", SlotGuard atrapa el mensaje antes de que llegue a tu robot. Revisa su propia lista secreta, ve que [REPO_ROOT_1] en realidad significa /Users/Alice/Secrets/Plan.pdf, y lo cambia de nuevo al original solo dentro de tu computadora de confianza. El robot entonces abre el archivo real, y el cerebro en la nube nunca supo que el nombre real existía.

Los investigadores probaron este sistema con tareas bastante serias. Crearon miles de escenarios falsos donde los robots intentaban realizar tareas que involucraban datos sensibles, como leer documentos privados o usar claves secretas. Descubrieron que sin SlotGuard, los robots filtraban casi todo: el 100% de las veces. Incluso los métodos simples de "redacción" (que simplemente reemplazan los secretos con palabras como [PASSWORD]), fueron un desastre; rompían la capacidad del robot para hacer su trabajo, haciendo que fallara el 97.5% de las veces porque el robot se confundía por la falta de detalles.

SlotGuard, sin embargo, fue un cambio radical. En sus pruebas, la versión completa del sistema (que incluye un gráfico de seguimiento inteligente) logró ocultar todos los datos de identificación plantados y detuvo todas las filtraciones de credenciales (0.0% de filtración). Para datos estructurales como rutas y correos electrónicos, eliminó el 100% de los caracteres sensibles visibles, con la excepción de un caso específico relacionado con rutas absolutas propiedad de la raíz (root), que sigue siendo una pequeña brecha en el prototipo actual. Mejor aún, no rompió el cerebro del robot. Los robots que usaban SlotGuard eran casi tan buenos en sus tareas como si hubieran visto los secretos reales, manteniendo sus tasas de éxito altas en diferentes modelos. El sistema es también increíblemente rápido, tomando menos de un parpadeo (unos 14 microsegundos) para reescribir un solo turno de conversación, por lo que no ralentiza nada.

El artículo también señala lo que SlotGuard no hace. No es un escudo de lectura de mente; si el cerebro en la nube es lo suficientemente inteligente como para adivinar tu secreto basándose solo en el contexto de la conversación, SlotGuard no puede detenerlo. Tampoco te protege si tu propia computadora ya ha sido hackeada. Pero para el problema específico de evitar que tus datos privados se filtren en las transcripciones de la nube, SlotGuard ofrece una solución robusta, rápida y astuta que mantiene tus secretos a salvo mientras permite que tu robot haga su trabajo.

Resumen Técnico: SlotGuard

Declaración del Problema

Los agentes de Modelos de Lenguaje Extensos (LLM) filtran con frecuencia información local sensible, incluyendo rutas de archivos, correos electrónicos, nombres de host y credenciales (por ejemplo, claves API), en las transcripciones enviadas a los proveedores de modelos ascendentes. Esta filtración ocurre no solo a través de los prompts del usuario, sino también mediante las observaciones de las herramientas, como registros de la shell, lecturas de archivos y listados de procesos (por ejemplo, la salida de ps que contiene valores de respaldo de variables de entorno). Una vez que estos registros entran en las transcripciones destinadas al proveedor, pueden ser retenidos para el entrenamiento del modelo, registrados por sistemas de servicio o expuestos mediante fallos operativos.

Las estrategias de mitigación existentes, principalmente la redacción basada en marcadores de posición (placeholders), son frágiles. A menudo fallan al detectar referencias incrustadas o entre turnos, sobre-redactan elementos benignos con apariencia similar y, crucialmente, destruyen la sintaxis estructural (por ejemplo, la forma de las rutas, extensiones de archivo, gramática de URI) en la que los agentes dependen para razonar y ejecutar llamadas a herramientas válidas. Esto crea un compromiso donde una redacción fuerte protege la privacidad pero rompió el flujo de trabajo del agente, mientras que una redacción débil preserva la utilidad pero expone datos sensibles.

Metodología: SlotGuard

SlotGuard es un límite de transcripción local diseñado para situarse entre el tiempo de ejecución del agente y el proveedor de modelo ascendente. Opera reescribiendo las transcripciones antes de su envío y restaurando los valores originales únicamente dentro del entorno de ejecución local de confianza antes de la ejecución. El sistema emplea cuatro mecanismos principales:

Abstracción Estructural Tipada: En lugar de marcadores de posición genéricos, SlotGuard convierte las vinculaciones estructurales (rutas, nombres de host, correos electrónicos) en espacios (slots) estables y tipados (por ejemplo, [REPO_ROOT_1], [EMAIL_1]). Estos espacios son deterministas dentro de una sesión (usando HMAC con un secreto de sesión) pero no vinculables entre sesiones. Crucialmente, el sistema realiza una abstracción consciente de sufijos, preservando la extensión del archivo y un sufijo limitado y relevante para la tarea, mientras reemplaza los componentes sensibles de la raíz y el medio (por ejemplo, /Users/alice/acme/legal/... $\rightarrow$ [REPO_ROOT_1]/legal/[SENSITIVE_DOC_1].pdf).
Sustitución Sintética de Preservación de Formato (FPS): Para los valores secretos (claves API, tokens), SlotGuard reemplaza las credenciales reales con tokens sintéticos que se adhieren estrictamente a la clase de formato original (por ejemplo, una URI de base de datos o una cadena de clave API con apariencia válida) pero que no contienen ningún carácter derivado del secreto original. Esto asegura que el modelo vea manejadores sintácticamente válidos y de "apariencia ejecutable" en lugar de etiquetas opacas como API_KEY.
Seguimiento por Ámbito de Sesión: SlotGuard mantiene una tabla de espacios de ámbito de sesión ( $T$ ) que mapea los valores reales con los manejadores y un Grafo de Entidades Semánticas (SEG) ligero. El SEG rastrea la correferencia, derivación y referencias basadas en palabras clave y de embedding a través de los turnos, lo que permite al sistema proteger valores que aparecen de forma indirecta o como formas derivadas, no solo coincidencias exactas de cadenas.
Revinculación Protegida: Los valores reales nunca se envían al proveedor. Solo se restauran dentro del tiempo de ejecución de confianza cuando se solicita la ejecución de una herramienta. SlotGuard valida que los manejadores existan en la tabla de la sesión, coincidan con los tipos esperados y se encuentren dentro de los ámbitos permitidos. Rechaza manejadores suplantados, rutas fuera de alcance e intentos de inyección de metacaracteres de shell.

Contribuciones Clave

El artículo identifica dos superficies de privacidad ortogonales en las transcripciones de los agentes: vinculaciones estructurales (identificadores como rutas y correos electrónicos) y valores secretos (credenciales). Las contribuciones principales son:

Integración Sistemática: La integración de la abstracción estructural tipada, la sustitución sintética de preservación de formato, el seguimiento entre turnos (SEG) y la revinculación local protegida en un único límite ejecutable.
Preservación de la Compatibilidad: Demostrar que preservar la estructura relevante para la ejecución (forma de la ruta, tipo de archivo, sintaxis de credenciales) es crítico para el rendimiento posterior del agente, un factor a menudo pasado por alto por las herramientas de redacción genéricas.
Límite Ejecutable: Posicionar el sistema como una salvaguarda en el entorno del agente (o en las capas de gateway de sistema de archivos/modelo) que interpone en las salidas de las herramientas y las observaciones del tiempo de ejecución, en lugar de depender únicamente de los prompts del usuario.

Resultados de la Evaluación

Los autores evaluaron SlotGuard utilizando corpora de privacidad sintéticos, sondas de flujo de trabajo controladas y un conjunto de reproducción derivado de TheAgentCompany (TAC-lite) a través de cuatro modelos ascendentes (DeepSeek, gpt-5.4, Kimi, Llama).

Filtración de Privacidad:
- Estructural: SlotGuard eliminó todos los 20,814 caracteres sensibles anotados en 9,229 rutas, logrando un 0.0% de filtración estructural.
- Credenciales: A través de 852 valores de credenciales plantados, SlotGuard redujo la filtración al 0.0%. En contraste, las líneas base que utilizaban solo marcadores de posición tipados o FPS sin el SEG filtraron el 23.5% de las credenciales debido a exposiciones de división/incrustadas reconstruibles.
Compatibilidad de Flujo de Trabajo y Éxito de la Tarea:
- La redacción genérica causó que las tasas de éxito de las tareas colapsaran al 2.5% en todos los modelos.
- SlotGuard mantuvo el rendimiento cercano a las transcripciones originales: igualando las puntuaciones de los datos brutos para Kimi y Llama, manteniéndose dentro de 2.0 puntos para gpt-5.4 y dentro de 10.5 puntos para DeepSeek.
- En el benchmark de reproducción TAC-lite, SlotGuard igualó las puntuaciones de los datos brutos para tres de cuatro modelos, mientras que la redacción genérica falló completamente (0.0%).
Sobrecarga de Tiempo de Ejecución: El proceso de reescritura es altamente eficiente, con una latencia mediana de 14.424 µs por turno del agente. El detector semántico opcional (utilizado para nombres de archivos difíciles de detectar) añade latencia (~742 ms en caliente) pero no es requerido para la ruta rápida.

Significancia y Reivindicaciones

El artículo afirma que SlotGuard establece un "límite local de preservación de compatibilidad" que media eficazmente entre la privacidad de la transcripción y el acceso a las herramientas. Argumenta que la clave para la privacidad en los sistemas de agentes no es simplemente ocultar valores, sino hacerlo sin destruir las pistas sintácticas y estructurales necesarias para el razonamiento.

Los autores señalan explícitamente las limitaciones y las modestas reivindicaciones:

SlotGuard no es un sistema de anonimización completo; no puede prevenir la inferencia semántica a partir del contexto no literal ni proteger contra un tiempo de ejecución local comprometido.
La evaluación actual depende de cargas de trabajo sintéticas y de tipo reproducción con verdades de base plantadas; la validación en trazas de producción con datos sensibles que ocurren naturalmente es un paso futuro necesario.
El Grafo de Entidades Semánticas (SEG) es una implementación temprana que depende de enlaces de palabras clave/patrones en lugar de una comprensión semántica completa, representando un primer paso conservador hacia el manejo de la filtración indirecta.
El sistema no mide la reconstrucción adversaria por parte de atacantes capaces que intenten activamente recuperar valores a partir del contexto residual.

Consecuentemente, los autores posicionan a SlotGuard como una capa necesaria en una postura de privacidad más amplia, diseñada para reducir la exposición innecesaria de identificadores locales y credenciales a los proveedores ascendentes manteniendo la utilidad del agente.