Separating Disclosure from Authorization: Field-Tier Minimization for Agent Action Mediation

En el mundo digital moderno, los agentes de software autónomos actúan en nombre de personas y empresas, enviando correos electrónicos, moviendo dinero y accediendo a registros confidenciales. Para mantener estos agentes seguros y honestos, las organizaciones utilizan dos sistemas distintos que a menudo trabajan en direcciones opuestas. El primero es un guardián, un motor de políticas que debe observar los detalles de una acción para decidir si está permitida. Si un agente quiere enviar un correo electrónico a un destinatario, el guardián necesita ver la dirección para saber si esa persona está dentro o fuera de la empresa. El segundo sistema es un registro permanente, un diario inalterable que anota cada decisión tomada, creando un rastro que los auditores pueden inspeccionar años después para probar qué sucedió. El problema surge porque ambos sistemas tradicionalmente exigen lo mismo: los datos brutos y sin filtrar. El guardián necesita los detalles completos para tomar una decisión justa, y el registro necesita los detalles completos para ser un testigo confiable. Pero esto crea un cuello de botella peligroso donde la información más privada —nombres, direcciones y detalles médicos— queda atrapada en un libro de contabilidad permanente e imborrable, violando las mismas reglas de privacidad que la organización intenta seguir.

Un equipo de investigadores de Aurite AI ha encontrado una forma de desenredar estas dos necesidades sin sacrificar la seguridad ni la privacidad. Descubrieron que el guardián y el registrador no necesitan realmente ver lo mismo. El guardián solo necesita conocer la forma de los datos para tomar una decisión basada en reglas, mientras que el registrador solo necesita saber que se tomó una decisión específica sobre un conjunto de datos determinado. Al separar estos requisitos, los investigadores crearon un sistema donde los detalles privados nunca salen de la computadora del usuario, pero la organización aún puede aplicar reglas y mantener un rastro de auditoría inquebrantable.

El núcleo de su solución es un método llamado minimización por niveles de campos (field-tier minimization). En lugar de tratar toda una acción, como "enviar un correo electrónico", como un único bloque de datos sensibles, el sistema la descompone en sus partes individuales, o campos. Luego, clasifica cada campo en una de tres categorías. La primera categoría contiene información que es necesaria para las reglas pero que no identifica a una persona, como el tamaño de un archivo adjunto o el número de archivos. Estos datos se permiten pasar en su forma original. La segunda categoría contiene información que es necesaria para las reglas pero que también es de identificación personal, como una dirección de correo electrónico. Para estos campos, el sistema no pasa la dirección completa. En su lugar, pasa una versión simplificada y no identificable, como solo el nombre de dominio después del símbolo "@". Esto permite al guardián verificar si el correo electrónico va dirigido a una empresa externa sin revelar a la persona específica. La tercera categoría contiene información que nunca es necesaria para las reglas, como el asunto de un correo electrónico o las notas de un pago. Estos datos permanecen enteramente dentro de la computadora del usuario y nunca cruzan la frontera hacia el mundo exterior.

La brillantez de este diseño reside en cómo maneja el registro permanente. En muchos intentos previos para proteger la privacidad, los sistemas intentaban ocultar o eliminar los datos sensibles antes de escribirlos en el registro. Sin embargo, esto crea un nuevo problema: si el registro es alterado, un auditor no puede saber qué se eliminó o si el registro es confiable. Los investigadores resolvieron esto haciendo que la computadora compute una huella digital única de los datos originales y sin alterar antes de que ocurra cualquier ocultación o simplificación. Esta huella digital se escribe entonces en el registro permanente. Más tarde, cuando los datos simplificados se envían al guardián, el sistema aún puede probar que la versión simplificada proviene de los datos originales porque la huella digital coincide. Esto significa que la organización puede cambiar sus reglas sobre qué datos ocultar en cualquier momento, incluso años después, sin romper la integridad de los registros antiguos. El registro sigue siendo un testigo sólido e inalterable del evento original, mientras que el flujo de información hacia el guardián se vuelve flexible y respetuoso con la privacidad.

Para asegurar que este sistema funcione correctamente, los investigadores tuvieron que resolver una pregunta difícil sobre la confianza: ¿quién tiene la autoridad para decir qué sucedió? Dado que los datos sensibles nunca salen de la computadora del usuario, la computadora del usuario es la única que puede computar la huella digital de los datos originales. Los investigadores decidieron que la computadora del usuario debería ser la que cree esta huella digital y la reporte al registro. Razonaron que si un usuario intentara mentir sobre la huella digital, estaría falsificando evidencia contra sí mismo, lo cual es un fuerte disuasivo. Sin embargo, la computadora del usuario no puede ser confiada para decir qué reglas se usaron para simplificar los datos, porque simplemente podría afirmar que usó un conjunto de reglas diferente para ocultar más información. Para prevenir esto, el sistema requiere que la computadora del usuario envíe una huella digital de las reglas que utilizó, y el servidor central verifica esto contra las reglas oficiales. Si las dos huellas digitales no coinciden, el sistema sabe que algo anda mal y rechaza la acción. Esto crea un equilibrio donde se confía al usuario para reportar los datos que posee, pero se confía al servidor para verificar las reglas aplicadas.

Los investigadores probaron este sistema con escenarios del mundo real, incluyendo el envío de correos electrónicos y el acceso a registros médicos. Encontraron que su método evitó con éxito que los identificadores sensibles salieran de su entorno de usuario, permitiendo al mismo tiempo que el motor de políticas tomara decisiones precisas. En una prueba específica, examinaron una ruta de recurso que incluía el número de registro de un paciente. Su intento inicial de simplificar esta ruta falló porque dejó el número visible en el texto. Corrigieron esto cambiando la regla para eliminar la parte final completa de la ruta en lugar de intentar limpiar el texto, asegurando que ninguna información identificable se filtrara. Su análisis mostró que, para las acciones que estudiaron, casi la mitad de los campos de datos nunca cruzaron la frontera en su forma bruta y los campos restantes fueron reducidos a resúmenes no identificables.

El equipo reconoce que su sistema no es un escudo perfecto contra todas las amenazas posibles. Si la propia computadora del usuario es hackeada, el atacante aún podría enviar los datos que desee. El sistema está diseñado para proteger los datos a medida que se mueven del usuario a la organización, no para proteger la computadora del usuario de ser comprometida. Además, los investigadores señalan que sus reglas actuales son estáticas; no pueden cambiar fácilmente según situaciones complejas, como decidir que un campo es sensible solo si el destinatario está en un país diferente. A pesar de estos límites, el enfoque ofrece una forma práctica y estructural para manejar la tensión entre la privacidad y la rendición de cuentas. Demuestra que no es necesario elegir entre un rastro de auditoría estricto e inalterable y una política flexible que respete la privacidad. Al computar el compromiso con los datos antes de simplificarlos, y al asignar cuidadosamente quién verifica qué, el sistema permite a las organizaciones gobernar a sus agentes de manera efectiva sin exponer la vida privada de sus clientes al registro permanente.