APrivacy-Preserving Architecture for On-Device Intelligent Computing Using a Small Language Model with Input and Output Guardrails: Prototype Implementation and Preliminary Evaluation

En el mundo moderno, a menudo pedimos a las computadoras que piensen por nosotros, utilizando una potente inteligencia artificial para escribir correos electrónicos, resolver problemas o responder preguntas. La mayoría de estos sistemas inteligentes viven en la nube, lo que significa que tus palabras viajan a través de internet hacia un servidor distante para ser procesadas. Si bien esto funciona bien, plantea una preocupación silenciosa: cada vez que escribes un detalle personal como una dirección de correo electrónico o un número de teléfono, esa información sale de tu dispositivo y entra en el sistema de otra persona. Para solucionar esto, los investigadores han desarrollado versiones más pequeñas y compactas de estas máquinas pensantes que pueden ejecutarse directamente en tu propia computadora o teléfono. Esto mantiene tus datos justo donde pertenecen, en tu dispositivo. Sin embargo, el hecho de que una computadora sea local no significa que sea segura. Un truco ingenioso conocido como "inyección de prompts" puede todavía engañar a la máquina para que ignore sus reglas o revele secretos, y la máquina podría escupir accidentalmente información privada que debía mantener oculta. El desafío, entonces, es construir un sistema que sea local pero que también actúe como un guardián vigilante, revisando lo que entra y lo que sale.

Un investigador llamado Harshal Gadekar, de la Universidad Sanjivani en la India, ha construido un prototipo funcional para probar exactamente esta idea. Creó un asistente centrado en la privacidad que ejecuta un modelo de lenguaje pequeño llamado Phi-3 Mini enteramente en una computadora local, utilizando una herramienta llamada Ollama para gestionar el proceso. El sistema está diseñado con una doble capa de seguridad, como un control de seguridad que escanea a los pasajeros antes de abordar y nuevamente después de llegar. Antes de que la computadora siquiera piense en una respuesta, un "guardrail de entrada" (barrera de entrada) escanea el mensaje del usuario. Busca señales de que alguien esté intentando engañar al sistema, como comandos para ignorar instrucciones previas o para revelar las reglas ocultas de la máquina. Si encuentra tal truco, detiene la solicitud inmediatamente. También escanea detalles personales sensibles, como direcciones de correo electrónico, y los oculta antes de que la computadora los lea. Una vez que la computadora local genera una respuesta, un segundo "guardrail de salida" escanea la respuesta para asegurar que ninguna información privada se haya filtrado accidentalmente.

El investigador probó este sistema con un pequeño conjunto de preguntas cuidadosamente seleccionadas para ver cómo se comportaba en el mundo real. Cuando se le hizo una pregunta simple e inofensiva como "¿Qué es la inteligencia artificial?", el sistema funcionó perfectamente. Procesó la solicitud localmente, pasó todas las verificaciones de seguridad y devolvió una respuesta en poco más de tres segundos. La pantalla mostró que la entrada estaba limpia, no se detectaron trucos y la respuesta final era segura para mostrar. El sistema luego enfrentó una serie de cuatro intentos diferentes para engañarlo, donde los usuarios intentaron ordenar a la máquina que revelara sus instrucciones secretas o ignorara sus reglas de seguridad. En cada uno de estos casos, el guardrail de entrada detectó el intento. El sistema identificó el truco, bloqueó la solicitud y mostró un mensaje de advertencia en lugar de permitir que la computadora generara una respuesta. Esto demostró que incluso cuando la computadora se está ejecutando en tu propio escritorio, todavía necesita un guardián para evitar que sea manipulada.

La prueba también incluyó una pregunta que contenía datos personales falsos, específicamente una dirección de correo electrónico inventada y un número de teléfono. Aquí, el sistema mostró tanto su fortaleza como una debilidad clara. Cuando el usuario escribió la dirección de correo electrónico, el sistema la detectó, reemplazó el texto con un marcador de posición que decía "correo electrónico redactado" y pasó el mensaje a la computadora. La respuesta final mostró el texto redactado, lo que significa que el correo electrónico fue protegido con éxito. Sin embargo, el sistema falló al detectar el número de teléfono de ocho dígitos. Dejó pasar el número sin cambios, y la salida final mostró el número de teléfono completo como si nada hubiera pasado. El guardrail de salida también lo pasó por alto, informando que no se encontró información sensible en la respuesta. Este resultado resalta que, si bien la idea de la computación local y segura es viable, las reglas actuales para detectar información privada aún no son perfectas. El sistema bloqueó con éxito el engaño y detectó el correo electrónico, pero dejó expuesto el número de teléfono.

El estudio concluye que es posible combinar la computación local con verificaciones de seguridad en un flujo de trabajo ligero. El sistema demostró que puede ejecutarse en un dispositivo personal, bloquear intentos comunes de engaño y ocultar algunos tipos de datos privados. Sin embargo, el investigador señala cuidadosamente que estos hallazgos son preliminares. El conjunto de pruebas fue muy pequeño, consistiendo solo en un puñado de preguntas, y los resultados se observaron en una sola máquina sin medir qué tan seguido el sistema podría cometer errores o qué tan rápido sería bajo una carga pesada. El fallo al detectar el número de teléfono sugiere que las reglas de detección deben expandirse para cubrir más formatos de datos personales. Antes de que este enfoque pueda considerarse totalmente confiable para el uso diario, el sistema necesita ser probado en una variedad mucho mayor de entradas, incluyendo trucos más complejos y diferentes tipos de información personal. Por ahora, el trabajo se mantiene como una prometedora prueba de concepto, mostrando que un asistente de IA seguro y privado está al alcance, siempre y cuando los guardias de seguridad sean mejorados constantemente.