💻 computer science

Dependency-Aware Privacy for Multi-turn Agents

RootGuard मल्टी-टर्न LLM एजेंटों के लिए एक नवीन गोपनीयता ढांचा (privacy framework) है जो निजी रूट मानों (root values) को एक बार सैनिटाइज़ करता है और उसके बाद के आउटपुट को नियत रूप से (deterministically) व्युत्पन्न करता है, जिससे टर्न के दौरान गोपनीयता क्षरण को रोका जा सकता है और मौजूदा स्वतंत्र नॉइज़िंग विधियों की तुलना में काफी बेहतर गोपनीयता-उपयोगिता ट्रेड-ऑफ प्राप्त किया जा सकता है।

मूल लेखक: Divyam Anshumaan, Sarthak Choudhary, Nils Palumbo, Somesh Jha

प्रकाशित 2026-05-06

📖 7 मिनट में पढ़ें🧠 गहराई से पढ़ें

CC BY 4.0

मूल लेखक: Divyam Anshumaan, Sarthak Choudhary, Nils Palumbo, Somesh Jha

मूल पेपर CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) के तहत लाइसेंस किया गया है। ✨ नीचे दिए गए पेपर की यह व्याख्या AI से तैयार की गई है। इसे लेखकों ने न तो लिखा है, न इसका समर्थन किया है। तकनीकी सटीकता के लिए मूल पेपर देखें। पूरा डिस्क्लेमर पढ़ें

कल्पना कीजिए कि आप एक डिजिटल स्वास्थ्य सहायक (एक "LLM एजेंट") के पास जाने वाले एक मरीज हैं। आपको अपना संवेदनशील निजी डेटा, जैसे कि आपका रक्तचाप (ब्लड प्रेशर), वजन, या लैब रिपोर्ट साझा करने की आवश्यकता है, ताकि सहायक एक निदान (diagnosis) या जोखिम स्कोर की गणना कर सके। हालाँकि, वे सेवाएँ जिनसे सहायक बात करता है ("आक्रामक सेवाएँ" या adversarial services), अविश्वसनीय हो सकती हैं। वे हैकर्स हो सकते हैं, उन्हें कानूनी आदेशों द्वारा मजबूर किया जा सकता है, या वे केवल जिज्ञासु हो सकते हैं और आपके द्वारा साझा किए गए नंबरों से आपकी वास्तविक पहचान को जोड़ने की कोशिश कर सकते हैं।

समस्या: स्वतंत्र शोर (Independent Noise) का "लीकी बकेट" (Leaky Bucket)

वर्तमान में, अधिकांश गोपनीयता उपकरण एक लीकी बकेट (छेद वाले बर्तन) की तरह काम करते हैं। हर बार जब सहायक किसी सेवा को कोई नंबर भेजता है, तो वह वास्तविक मान को छिपाने के लिए थोड़ा सा "स्टैटिक" (शोर/noise) जोड़ देता है। इसे स्वतंत्र शोर (independent noising) कहा जाता है।

यहाँ दोष है:

टर्न 1: आप अपनी लंबाई साझा करते हैं। सहायक स्टैटिक जोड़ता है।
टर्न 2: आप अपना वजन साझा करते हैं। सहायक नया, अलग स्टैटिक जोड़ता है।
टर्न 3: सेवा आपसे BMI मांगती है। सहायक आपके शोर वाले कद और वजन से इसकी गणना करता है, और फिर परिणाम में और भी अधिक स्टैटिक जोड़ता है।

हमलावर के लिए, यह एक खजाने की खोज जैसा है। उन्हें एक ही सच्चाई की कई स्वतंत्र झलकियाँ मिलती हैं। यदि वे एक ही चीज़ को दो बार पूछते हैं, या यदि वे भागों (लंबाई/वजन) को पूछने के बाद एक व्युत्पन्न मान (जैसे BMI) मांगते हैं, तो वे स्टैटिक का औसत निकाल सकते हैं। यह एक गुप्त नंबर का अनुमान लगाने जैसा है जैसे कि दीवार के माध्यम से फुसफुसाहट सुनकर; यदि आप उसे तीन अलग-अलग बैकग्राउंड नॉइज़ के साथ तीन बार सुनते हैं, तो आप अंततः वास्तविक नंबर का पता लगा सकते हैं। हमलावर जितने अधिक टर्न करवाएगा, उतने ही अधिक "लीक" होंगे, और आपकी गोपनीयता उतनी ही कम होती जाएगी।

समाधान: RootGuard (द "मास्टर ब्लूप्रिंट")

यह शोध पत्र RootGuard नामक एक नई प्रणाली का प्रस्ताव करता है। हर बार कोई नंबर भेजे जाने पर शोर जोड़ने के बजाय, RootGuard अपनी रणनीति पूरी तरह से बदल देता है।

उपमा: द मास्टर ब्लूप्रिंट (मुख्य खाका)
कल्पना कीजिए कि आपके पास एक गुप्त रेसिपी (आपका निजी डेटा) है।

पुराना तरीका (स्वतंत्र शोर): हर बार जब आप किसी शेफ को रेसिपी की एक प्रति भेजते हैं, तो आप मूल कागज पर रैंडम नोट्स लिखते हैं, एक कोना फाड़ देते हैं, और स्याही को धुंधला कर देते हैं। यदि आप 10 शेफ को भेजते हैं, तो आपके पास 10 अलग-अलग धुंधले संस्करण होते हैं। एक चतुर पर्यवेक्षक उन सभी की तुलना करके मूल रेसिपी का अनुमान लगा सकता है।
RootGuard का तरीका: आप अपनी गुप्त रेसिपी लेते हैं और मूल कॉपी पर केवल एक बार नोट्स लिखते हैं। फिर आप इस "शोर वाली मास्टर कॉपी" को एक तिजोरी में बंद कर देते हैं।
- जब शेफ A सामग्री मांगता है, तो आप उसे शोर वाली मास्टर कॉपी की एक फोटोकॉपी देते हैं।
- जब शेफ B अंतिम व्यंजन मांगता है, तो आप उस शोर वाली मास्टर कॉपी का उपयोग करके इसकी गणना करते हैं और परिणाम देते हैं।
- यदि शेफ A फिर से पूछता है, तो आप उसे वही सटीक फोटोकॉपी देते हैं।

क्योंकि हमलावर द्वारा देखी जाने वाली हर जानकारी उस एक शोर वाली मास्टर कॉपी से आती है, वे अधिक प्रश्न पूछकर कुछ भी नया नहीं जान सकते। चाहे वे 1 बार पूछें या 1,000 बार, वे केवल उसी स्टैटिक-भरे चित्र को देख रहे हैं। गोपनीयता की गारंटी शुरुआत में ही लॉक कर दी जाती है।

"डबल एसिमेट्री" (Double Asymmetry) का लाभ

यह शोध पत्र एक दिलचस्प मोड़ को उजागर करता है जिसे डबल एसिमेट्री कहा जाता है:

हमलावर के लिए (स्वतंत्र शोर): उनके द्वारा पूछा गया हर अतिरिक्त प्रश्न उनके काम को आसान बनाता है। उन्हें शोर का औसत निकालने के लिए अधिक डेटा पॉइंट मिलते हैं। हर टर्न के साथ आपके वास्तविक डेटा का अनुमान लगाने की उनकी क्षमता मजबूत होती जाती है।
आपके लिए (RootGuard): हर अतिरिक्त प्रश्न जो हमलावर पूछता है, वास्तव में आपके लिए सिस्टम को बेहतर बनाता है (उपयोगिता के मामले में)। चूंकि हमलावर को अधिक "प्राइवेसी बजट" (अधिक शोर की अनुमति) का उपयोग करने के लिए मजबूर करता है, RootGuard उस बड़े बजट को आपके डेटा रूट्स के बीच फैला सकता है। इसका मतलब है कि रूट के लिए शोर कम हो सकता है, जिससे चिकित्सा गणना अधिक सटीक हो जाती है, जबकि आपकी गोपनीयता बिल्कुल वैसी ही रहती है।

संक्षेप में: हमलावर जितना अधिक खोदने की कोशिश करेगा, RootGuard के तहत आपके चिकित्सा परिणाम उतने ही सटीक होंगे, जबकि आपकी गुप्त जानकारी जानने की उनकी क्षमता स्थिर रहेगी। पुराने तरीके के तहत, वे जितना अधिक खोदेंगे, वे उतना ही अधिक जान लेंगे।

"डोमेन नॉलेज" का उपयोग करके स्मार्ट बनना

RootGuard केवल एक स्थिर लॉक नहीं है; यह एक स्मार्ट लॉक है जो आपके डेटा के संबंधों को समझता है।

स्तर 1 (निर्भरताएँ): यदि आप जानते हैं कि BMI केवल लंबाई और वजन पर आधारित एक गणितीय सूत्र है, तो RootGuard महसूस करता है कि इसे BMI के लिए अलग से शोर जोड़ने की आवश्यकता नहीं है। यह बस शोर वाले कद और वजन से BMI की गणना करता है। यह "प्राइवेसी बजट" (कितना शोर जोड़ा जा सकता है इसकी अनुमति) बचाता है ताकि इसे वहां उपयोग किया जा सके जहां इसकी सबसे अधिक आवश्यकता है।
स्तर 2 (संवेदनशीलता): कुछ नंबर किसी विशेष निदान के लिए अधिक महत्वपूर्ण होते हैं। RootGuard चिकित्सा सूत्र (जैसे, "लिवर फाइब्रोसिस स्कोर") को देखता है और पूछता है: "कौन सा इनपुट परिणाम में सबसे बड़ा बदलाव लाता है?" फिर यह सबसे संवेदनशील इनपुट को अधिक प्राइवेसी बजट (अधिक शोर) और कम महत्वपूर्ण इनपुट को कम बजट देता है। यह सबसे महत्वपूर्ण रहस्यों की रक्षा करते हुए अंतिम निदान को सटीक रखता है।

परिणाम: शोध पत्र ने क्या पाया

लेखकों ने CDC के वास्तविक स्वास्थ्य डेटा का उपयोग करके 8 अलग-अलग चिकित्सा परिदृश्यों (जैसे लिवर जोखिम, हृदय रोग का जोखिम, या एनीमिया की गणना) पर RootGuard का परीक्षण किया।

सटीकता: RootGuard पुराने "स्वतंत्र शोर" पद्धति की तुलना में सही चिकित्सा निदान उत्पन्न करने में 2.6 से 3.8 गुना अधिक सटीक था।
गोपनीयता: जब हमलावरों ने कई प्रश्न पूछकर आपके वास्तविक डेटा को पुनर्गठित करने की कोशिश की, तो पुराना तरीका बुरी तरह विफल रहा (उनके अनुमान हर प्रश्न के साथ बेहतर होते गए)। RootGuard पूरी तरह से अपरिवर्तनीय (invariant) रहा; हमलावर 16 प्रश्नों के बाद भी उतना ही जानता था जितना कि पहले प्रश्न के बाद।
वास्तविक दुनिया का परीक्षण: उन्होंने इसे एक वास्तविक AI एजेंट (GPT-5.4 nano) के माध्यम से भी चलाया जो टूल कॉल कर रहा था। परिणाम पूरी तरह से सफल रहे, जिससे सिद्ध हुआ कि यह केवल सिद्धांत नहीं है—यह वास्तव में काम करता है।

मुख्य निष्कर्ष

RootGuard आपके निजी डेटा के साथ एक एकल सत्य के स्रोत (single source of truth) की तरह व्यवहार करता है जिसे रूट पर एक बार सुरक्षित किया जाता है। बाकी सब कुछ उस सुरक्षित स्रोत से निकाला गया एक गणना मात्र है। यह हमलावरों को एक ही सवाल को अलग-अलग तरीकों से पूछकर "कोड तोड़ने" से रोकता है, यह सुनिश्चित करता है कि आपकी गोपनीयता केवल इसलिए कम न हो जाए क्योंकि आपको एक डिजिटल सहायक के साथ लंबी बातचीत करने की आवश्यकता है।

तकनीकी सारांश: मल्टी-टर्न LLM एजेंटों के लिए डिपेंडेंसी-अवेयर प्राइवेसी (Dependency-Aware Privacy)

समस्या विवरण (Problem Statement)

संवेदनशील डोमेन (स्वास्थ्य सेवा, वित्त, कानूनी) में लार्ज लैंग्वेज मॉडल (LLM) एजेंटों का एकीकरण एक नया गोपनीयता हमला सतह (privacy attack surface) बनाता है। उपयोगकर्ता एजेंटों को कार्यों को निष्पादित करने के लिए सौंपते हैं जो मॉडल कॉन्टेक्स्ट प्रोटोकॉल (MCP) जैसे प्रोटोकॉल के माध्यम से कई बाहरी सेवाओं के साथ इंटरैक्ट करते हैं। मल्टी-टर्न वर्कफ़्लो में, एक हमलावर निजी विशेषताओं (attributes) को पुनर्गठित करने के लिए स्वतंत्र डेटा रिलीज को संयोजित कर सकता है।

मौजूदा सैनिटाइजेशन विधियाँ, जैसे कि Prϵmpt और CAPE, मेट्रिक डिफरेंशियल प्राइवेसी (mDP) पर निर्भर करती हैं लेकिन प्रत्येक डेटा रिलीज को स्वतंत्र मानती हैं। यह स्वतंत्रता की धारणा मल्टी-टर्न परिदृश्यों में विफल हो जाती है:

बेनाइन लीकेज (Benign Leakage): क्रॉस-प्लेटफॉर्म रिडंडेंसी (दो सेवाओं को एक ही रूट वैल्यू भेजना) या स्ट्रक्चरल रिडंडेंसी (एक रूट और एक व्युत्पन्न [derived] वैल्यू को अलग-अलग भेजना) के कारण प्राइवेसी बजट सेवाओं की संख्या या व्युत्पन्न कार्यों की संख्या के साथ रैखिक रूप से (linearly) बढ़ता है।
एडवर्सरियल लीकेज (Adversarial Leakage): एक हमलावर शोर (noise) को औसत करने के लिए बार-बार क्वेरी करने ( $1/\sqrt{q}$ ) के लिए मजबूर कर सकता है या मनमाने व्युत्पन्न कार्यों की मांग कर सकता है। मेडिकल और फाइनेंशियल वर्कफ़्लो में सामान्य गैर-रैखिक (nonlinear) कार्यों (जैसे, BMI, FIB-4) के लिए, एक व्युत्पन्न मान का स्वतंत्र नोइजिंग, फंक्शन के लिप्सचिट्ज़ कांस्टेंट ( $L$ ) द्वारा अंडरलाइंग रूट की विभेदन क्षमता (distinguishability) को बढ़ा देता है, जिससे यह नाममात्र के प्राइवेसी पैरामीटर से कई गुना अधिक हो सकता है।

मुख्य समस्या यह है कि रिलीज के बीच निर्भरता (dependencies) को ट्रैक किए बिना, प्रत्येक अतिरिक्त इंटरैक्शन नामित बजट के बावजूद उपयोगकर्ता की गोपनीयता को कम करता है, चाहे वह लीकेज बेनाइन हो या मैलिसियस।

कार्यप्रणाली: RootGuard

लेखक RootGuard का प्रस्ताव करते हैं, जो मल्टी-टर्न एजेंटिक इंटरैक्शन के लिए डिज़ाइन किया गया एक डिपेंडेंसी-अवेयर प्राइवेसी मैकेनिज्म है। मुख्य सिद्धांत यह है कि निजी "रूट" (root) मानों को ठीक एक बार सैनिटाइज किया जाए और सभी बाद के रिलीज इन नोइस्ड रूट्स से नियत रूप से (deterministically) कंप्यूट किए जाएं।

सिस्टम आर्किटेक्चर

इनिशियलाइजेशन (Initialization): यूजर एजेंट संवेदनशील रूट मानों ( $X$ ) की पहचान करता है और उन्हें एक डिफरेंशियल प्राइवेसी मैकेनिज्म ( $M_\epsilon$ ) का उपयोग करके एक बार सैनिटाइज करता है। इन नोइस्ड मानों ( $\hat{X}$ ) को एक सैनिटाइज्ड कैश में स्टोर किया जाता है।
पर-टर्न ऑपरेशन (Per-Turn Operation): जब कोई एडवर्सरी किसी मान की मांग करती है:
- यदि अनुरोध एक रूट के लिए है, तो कैश किया गया नोइस्ड मान वापस किया जाता है।
- यदि अनुरोध एक व्युत्पन्न (derived) मान के लिए है, तो इसे कैश किए गए नोइस्ड रूट्स से नियत रूप से कंप्यूट किया जाता है।
- इनिशियलाइजेशन के बाद कोई नया शोर (fresh noise) नहीं निकाला जाता है।
ट्रस्ट बाउंड्री (Trust Boundary): एडवर्सरी केवल सैनिटाइज्ड कैश के साथ इंटरैक्ट करती है। डिफरेंशियल प्राइवेसी के पोस्ट-प्रोसेसिंग थ्योरम के अनुसार, एडवर्सरी का व्यू (view) प्रारंभिक रूट सैनिटाइजेशन से अधिक सूचनात्मक नहीं है, चाहे टर्न की संख्या ( $t$ ) या फंक्शन्स ( $f$ ) कुछ भी हों।

स्ट्रक्चरल नॉलेज का लाभ उठाना

RootGuard प्राइवेसी-यूटिलिटी ट्रेड-ऑफ को कमजोर किए बिना सार्वजनिक डोमेन ज्ञान का उपयोग करता है:

लेवल 1 (इंटर-रूट डिपेंडेंसीज): यदि घोषित रूट अन्य का एक नियत फंक्शन है (जैसे, हाइट और वेट से BMI), तो एजेंट वास्तविक स्वतंत्र रूट्स की पहचान करता है। डिपेंडेंट रूट्स को नोइस्ड पेरेंट्स से पुन: कंप्यूट किया जाता है, जिससे वे शून्य मार्जिनल कॉस्ट पर प्राइवेसी प्राप्त करते हैं (थ्योरम 3)।
लेवल 2 (टारगेट सेंसिटिविटी): यदि इंटरमीडिएट टारगेट फंक्शन $g$ (जैसे, एक क्लिनिकल फॉर्मूला जैसे FIB-4) ज्ञात है, तो एजेंट अपने रूट $i$ के प्रति संवेदनशीलता के आधार पर प्राइवेसी बजट $\epsilon_i$ आवंटित करता है। आवंटन एक सेंसिटिविटी-वेटेड नियम का पालन करता है: $\epsilon_i \propto (|h_i| \cdot D_i)^{1/2}$ , जहाँ $h_i$ टारगेट फंक्शन का रूट $i$ के सापेक्ष पार्शियल डेरिवेटिव है, और $D_i$ डोमेन विड्थ है। यह अंतिम क्लिनिकल निर्णय में अपेक्षित त्रुटि को कम करता है।

सैद्धांतिक गारंटी (Theoretical Guarantees)

थ्योरम 1 (DAG प्राइवेसी गारंटी): प्राइवेसी गारंटी केवल रूट सैनिटाइजेशन मापदंडों पर निर्भर करती है और एडवर्सरी के फंक्शन चयन या इंटरैक्शन टर्न की संख्या से स्वतंत्र है।
थ्योरम 2 (डिस्टिंग्विशेबिलिटी एम्प्लीफिकेशन): यह सिद्ध करता है कि एक व्युत्पन्न मान को स्वतंत्र रूप से नोइज करने से पैरेंट रूट की विभेदन क्षमता फंक्शन के लिप्सचिट्ज़ कांस्टेंट $L$ द्वारा बढ़ जाती है।
थ्योरम 3 (इम्प्लाइड प्राइवेसी): यह सिद्ध करता है कि रूट्स में शोर जोड़ने और उनसे वैल्यूज को डेरिव करने से, सीधे तौर पर व्युत्पन्न मानों को नोइज करने की तुलना में कम से कम उतनी ही मजबूत प्राइवेसी मिलती है।

मुख्य योगदान (Key Contributions)

मल्टी-टर्न एजेंटिक प्राइवेसी का औपचारिकीकरण: पेपर मल्टी-टर्न इंटरैक्शन के लिए प्राइवेसी गेम को औपचारिक रूप देता है और सिद्ध करता है कि RootGuard की गारंटी एडवर्सरी के क्वेरी काउंट और फंक्शन चॉइस के प्रति इनवेरिएंट (invariant) है।
एम्प्लीफिकेशन और इनहेरिटेंस का प्रमाण: यह प्रदर्शित करता है कि स्वतंत्र नोइजिंग व्युत्पन्न मानों से प्राइवेसी लॉस को बढ़ा देती है (थ्योरम 2), जबकि समन्वित रूट नोइजिंग से व्युत्पन्न मान मुफ्त में प्राइवेसी प्राप्त करते हैं (थ्योरम 3)।
सेंसिटिविटी-वेटेड एलोकेशन: टारगेट फंक्शन के आधार पर प्राइवेसी बजट आवंटित करने का एक तरीका, जो औपचारिक गारंटी बनाए रखते हुए टारगेट एरर को कम करता है।
अनुभवजन्य सत्यापन (Empirical Validation): 8 मेडिकल डायग्नोस्टिक टेम्पलेट्स (NHANES डेटा से प्राप्त) और एक फुल एंड-टू-एंड LLM डिप्लॉयमेंट (GPT-5.4 nano) पर व्यापक प्रयोगों के माध्यम से सत्यापन।

प्रयोगात्मक परिणाम (Experimental Results)

मूल्यांकन तीन शोध प्रश्नों के तहत स्वतंत्र नोइजिंग (M-All) के विरुद्ध RootGuard कॉन्फ़िगरेशन (M-Roots, M-Opt) की तुलना करता है:

RQ1: टारगेट यूटिलिटी (Target Utility)

मेट्रिक: वेटेड मीन एब्सोल्यूट परसेंटेज एरर (wMAPE) और रिस्क क्लास एरर (RCE)।
निष्कर्ष: RootGuard, स्वतंत्र नोइजिंग की तुलना में काफी बेहतर प्रदर्शन करता है। $\epsilon = 0.1$ और बजट $B = (2k+1)\epsilon$ पर, M-Opt, M-All की तुलना में 2.6 $\times$ कम wMAPE (20.3% बनाम 7.8%) और 2.2 $\times$ कम रिस्क क्लास एरर (15.7% बनाम 7.0%) प्राप्त करता है।
डबल एसिमेट्री (Double Asymmetry): जैसे-जैसे एडवर्सरी अधिक टर्न फोर्स करता है ( $t$ ), RootGuard की यूटिलिटी सुधरती है (प्रत्येक रूट के लिए अधिक बजट उपलब्ध होता है), जबकि M-All की प्राइवेसी घटती है (स्वतंत्र ऑब्जर्वेशन का संचय)।

RQ2: रिकंस्ट्रक्शन अटैक्स (Reconstruction Attacks)

मेट्रिक: मैक्सिमम ए पोस्टीरियर (MAP) एडवर्सरी के तहत रिकंस्ट्रक्शन wMAPE।
निष्कर्ष: M-All के तहत, क्वेरीज़ ( $q$ ) की संख्या बढ़ने के साथ रिकंस्ट्रक्शन एरर कम होता जाता है (उदाहरण के लिए, $\epsilon_r=0.1$ पर $q$ के 1 से 16 होने पर 10.2% से गिरकर 3.2% हो जाना)। RootGuard के तहत, रिकंस्ट्रक्शन एरर $q$ के प्रति इनवेरिएंट रहता है क्योंकि बार-बार की जाने वाली क्वेरीज़ समान कैश किया गया मान लौटाती हैं।

RQ3: स्ट्रक्चरल एनालिसिस (Structural Analysis)

निष्कर्ष: RootGuard का लाभ "कंप्रेसिंग" फॉर्मूला (जैसे, FIB-4, HOMA) के लिए सबसे अधिक स्पष्ट है जहाँ टारगेट फंक्शन रूट नॉइज़ को कम (attenuate) करता है। बजट एलोकेशन अनुमानित पावर लॉ $\epsilon_i \propto (|h_i| \cdot D_i)^{0.5}$ का पालन करता है, जो सेंसिटिविटी-वेटेड रणनीति की पुष्टि करता है।

RQ4: एंड-टू-एंड डिप्लॉयमेंट (End-to-End Deployment)

सेटअप: 21,600 सत्रों में एक GPT-5.4 nano एजेंट का उपयोग करके एक वास्तविक दुनिया का सिमुलेशन।
निष्कर्ष: मैकेनिज्म-लेवल निष्कर्ष LLM डिप्लॉयमेंट में भी स्थानांतरित होते हैं। प्रदर्शन का क्रम (M-Opt > M-Roots > M-All) बना रहता है, और शून्य सत्र-स्तरीय अनुपालन विफलताएं (कोई पार्स एरर या मेलफोर्मड रिस्पॉन्स नहीं) दर्ज की गईं।

महत्व और दावे (Significance and Claims)

पेपर दावा करता है कि RootGuard मल्टी-टर्न एजेंट इंटरैक्शन में प्राइवेसी-यटिलिटी ट्रेड-ऑफ को मौलिक रूप से बदल देता है। स्टेटलेस, स्वतंत्र सैनिटाइजेशन से स्टेटफुल, डिपेंडेंसी-अवेयर दृष्टिकोण की ओर शिफ्ट होकर, RootGuard यह सुनिश्चित करता है कि:

प्राइवेसी स्थिर है: एडवर्सरी को कोई अतिरिक्त जानकारी नहीं मिलती, चाहे वे कितने भी टर्न फोर्स करें या क्या भी फंक्शन कंप्यूट करें।
यूटिलिटी टर्न्स के साथ सुधरती है: अतिरिक्त इंटरैक्शन टर्न रूट के लिए अधिक कुल प्राइवेसी बजट वितरित करने की अनुमति देते हैं, जिससे प्राइवेसी रिस्क बढ़ाए बिना सटीकता में सुधार होता है।
मजबूती (Robustness): यह दृष्टिकोण एडवर्सरियल प्रॉम्प्ट इंजेक्शन या दुर्भावनापूर्ण सर्विस डिज़ाइन के तहत भी प्रभावी रहता है, क्योंकि सभी रिलीज प्रारंभिक नोइस्ड रूट्स के पोस्ट-प्रोसेसिंग हैं।

लेखक निष्कर्ष निकालते हैं कि सह-संबंधित प्राइवेट वैल्यूज वाले मल्टी-टर्न वर्कफ़्लो के लिए स्वतंत्र नोइजिंग मौलिक रूप से अपर्याप्त है, और डिपेंडेंसी-अवेयर सैनिटाइजेशन उच्च-जोखिम वाले डोमेन में LLM एजेंटों को तैनात करने के लिए एक आवश्यक रक्षा है। यह कार्य रूट आइडेंटिफिकेशन के लिए पूर्ण नेमड एंटिटी रिकग्निशन (NER) मानता है और स्ट्रक्चर्ड न्यूमेरिक डेटा पर केंद्रित है, फ्री-फॉर्म टेक्स्ट और नॉइजी NER इंटीग्रेशन को भविष्य के कार्य के रूप में छोड़ देता है।