Beyond Injection Detection: A Positive-Security Prompt Firewall that Closes the Scope and PHI Gap SOTA Classifiers Miss in Healthcare

Resumen Técnico: Más allá de la detección de inyecciones: Un firewall de prompts de seguridad positiva que cierra la brecha de alcance y de PHI

Declaración del Problema
La integración de Modelos de Lenguaje de Gran Escala (LLM) en agentes clínicos autónomos crea una superficie de ataque de alto riesgo donde las instrucciones de confianza y los datos no confiables comparten una única ventana de contexto. Los clasificadores de inyección de prompts de vanguardia (SOTA) (por ejemplo, PromptGuard-2 de Meta) detectan eficazmente tokens adversarios evidentes (jailbreaks, sobreescritura de instrucciones), pero fallan al detectar solicitudes "fluídas y de apariencia legítima" que no portan ninguna señal de inyección. En el sector salud, las amenazas más críticas —exfiltración de Información de Salud Protegida (PHI), acceso entre pacientes, exportación masiva de datos y asesoramiento clínico fuera de alcance— suelen estar redactadas como flujos de trabajo educados y autorizados. Un estudio de JAMA Network Open de 2025 señaló que los LLM médicos comerciales siguieron instrucciones inyectadas en el 94.4% de los encuentros simulados, pero la brecha específica identificada aquí es que los clasificadores genéricos omiten estas solicitudes que violan el alcance porque carecen de sintaxis adversaria. Además, las salvaguardas de tiempo de ejecución existentes enfrentan un compromiso: los auditores basados en modelos son precisos pero introducen una alta latencia (cientos de milisegundos), mientras que los filtros léxicos son rápidos pero ciegos ante payloads ofuscados.

Metodología: QFIRE
Los autores presentan QFIRE, un firewall de prompts agnóstico al proveedor e integrado en la línea, implementado como una herramienta de cadena de suministro de Rust autocontenida (proxy, CLI y armazón de benchmarking). QFIRE opera como un sistema de seguridad positiva de confianza cero que impone un alcance de lenguaje natural declarado y un panel de PHI bajo el estándar Safe-Harbor de HIPAA.

• Arquitectura: QFIRE funciona como un proxy inverso que normaliza las solicitudes de OpenAI, Anthropic, Gemini y Ollama en una representación interna. Evalúa los prompts contra una política declarativa en YAML controlada por versiones antes de reenviarlos al modelo de bajada.
• Mecanismos Centrales:
  1. Restricciones de Alcance de Seguridad Positiva: En lugar de simplemente detectar ataques, QFIRE restringe las llamadas al modelo a un propósito declarado (haciendo cumplir el estándar de "mínimo necesario" de HIPAA). Bloquea la "deriva fuera de alcance" incluso cuando no hay un token de ataque presente.
  2. Grafo de Detectores Asíncronos: Las reglas se organizan en pipelines que se ejecutan concurrentemente en un runtime de Tokio. El sistema emplea una estrategia de cortocircuito de "lo barato antes que lo caro": primero se ejecutan comprobaciones léxicas deterministas (regex, Aho-Corasick, entropía); si estas se abstienen, se activan nodos más costosos (clasificador DeBERTa-v3 local vía ONNX Runtime, o un juez de alcance de LLM).
  3. Normalización de Desofuscación: Antes de la detección, un paso opcional elimina caracteres de ancho cero, colapsa homógrafos y leetspeak, y decodifica Base64, hex y ROT13 para exponer payloads ocultos.
• Diseño de Políticas: A diferencia de las líneas base que codifican la política en código Python o pesos del modelo, QFIRE utiliza un lenguaje declarativo. Las reglas son datos (YAML) que pueden ser diferenciados, probados con unidades (qfire rules test) y auditados sin modificar el motor.
• Benchmarks: Los autores introducen QFIRE-HealthBench, un nuevo conjunto de datos de 2,000 prompts (1,000 adyacentes a lo clínico benignos, 1,000 maliciosos) construidos utilizando payloads reales de garak y Microsoft PyRIT. Este conjunto de datos apunta específicamente a amenazas que los clasificadores genéricos omiten.

Resultados Clave

• Desempeño de Inyección Genérica: En conjuntos de datos públicos de inyección de prompts (1,968 prompts), el híbrido determinista de QFIRE logra un F1 score de 0.86, empatando estadísticamente con PromptGuard-2 de Meta (0.86) y siendo superior al clasificador independiente DeBERTa-v3 (0.83). Las líneas base léxicas rezagan significativamente (F1 0.16–0.50).
• Brecha de Cobertura de Salud (Resultado Central): En QFIRE-HealthBench, la brecha de desempeño se amplía drásticamente. El recall de PromptGuard-2 colapsa a 0.40, y DeBERTa-v3 alcanza solo 0.57, debido a que la mayoría de las amenazas clínicas carecen de señales de inyección. La cadena combinada de alcance+PHI de QFIRE logra un recall de 0.83 (F1 0.87) con una tasa de falsos positivos (FPR) calibrada de 0.08.
• Robustez Adaptativa: Bajo ataques adaptativos (parafraseo, codificación y refraseo en el bucle), los clasificadores SOTA y los frameworks de stack completo (ej. NeMo Guardrails) caen a un 0–71% de recall. La cadena de alcance+PHI de seguridad positiva de QFIRE mantiene un 100% de recall contra estas familias adaptativas, ya que el objetivo estructural (ej. "exportar todos los registros") permanece fuera de alcance independientemente del fraseo.
• Reducción de Daños de Extremo a Extremo: En un sandbox de EHR simulado con un agente que usa herramientas, QFIRE redujo la tasa de acciones dañinas de 0.38 a 0.00. La utilidad benigna disminuyó solo ligeramente (0.95 a 0.825), con el costo concentrado en solicitudes de correo electrónico salientes bloqueadas de forma conservadora.
• Latencia y Despliegue: QFIRE se ejecuta localmente con latencia acotada. La ruta híbrida determinista (cortocircuito) logra una latencia p95 de ~242 ms. El sistema evita Python en el camino crítico, ejecutándose enteramente en Rust con ONNX embebido.

Significancia y Reivindicaciones
El artículo argumenta que la detección de inyección de prompts genérica es necesaria pero no suficiente para los agentes de salud. La contribución principal es demostrar que la "brecha de alcance y PHI" no puede cerrarse solo con clasificadores más fuertes; requiere un enfoque estructural de seguridad positiva que imponga propósitos declarados y protección de identificadores.

• Alineación Regulatoria: QFIRE operacionaliza el Marco Regulatorio de Agentes de IA de Salud (HAARF) al proporcionar evidencia medible para la restricción de alcance, la protección de PHI y el rechazo auditable. Se mapea directamente con el estándar de mínimo necesario de HIPAA (45 CFR 164.502(b)) y los requisitos propuestos de la Regla de Seguridad para el monitoreo continuo y los registros de auditoría inmutables.
• Auditabilidad: Al desacoplar la política de los pesos del modelo, QFIRE ofrece un mecanismo de "fallo cerrado" donde cada decisión se registra con un rastro explicable, permitiendo a los oficiales de cumplimiento revisar y diferenciar políticas sin confiar en los internos opacos de los modelos.
• Limitaciones: Los autores reconocen que QFIRE se centra en prompts de texto (no multimodal) y que su componente de juez de LLM hereda los sesgos y las necesidades de calibración del modelo subyacente. Señalan que, aunque el sistema es robusto contra ataques adaptativos, un adversario de "firewall en el bucle" eventualmente puede erosionar el recall si el punto de operación no se ajusta para la robustez sobre la utilidad.

En resumen, QFIRE proporciona una capa de cumplimiento de baja latencia, determinista y auditable que cierra la brecha crítica de seguridad en los agentes de IA clínica donde la detección tradicional de inyecciones falla.