Riepilogo Tecnico: Privacy Consapevole delle Dipendenze per Agenti LLM Multi-Turn

Enunciato del Problema

L'integrazione di agenti basati su Modelli Linguistici di Grande Dimensione (LLM) in domini sensibili (sanità, finanza, legale) crea una nuova superficie di attacco per la privacy. Gli utenti delegano compiti ad agenti che interagiscono con molteplici servizi esterni tramite protocolli come il Protocollo di Contesto del Modello (MCP). Nei flussi di lavoro multi-turn, un avversario può combinare rilasci di dati indipendenti per ricostruire attributi privati dell'utente.

I metodi di sanificazione esistenti, come Prϵmpt e CAPE, si basano sulla privacy differenziale metrica (mDP) ma trattano ogni rilascio di dati in modo indipendente. Questa assunzione di indipendenza fallisce negli scenari multi-turn:

1. Fuga Benigna: La ridondanza cross-piattaforma (invio dello stesso valore radice a due servizi) o la ridondanza strutturale (invio di un valore radice e di un valore derivato separatamente) causano un aumento lineare del budget di privacy in funzione del numero di servizi o funzioni derivate.
2. Fuga Avversariale: Un avversario può forzare query ripetute per mediare il rumore ($1/\sqrt{q}$) o richiedere funzioni derivate arbitrarie. Per funzioni non lineari comuni nei flussi di lavoro medici e finanziari (ad es. BMI, FIB-4), l'aggiunta indipendente di rumore a un valore derivato amplifica la distinguibilità del valore radice sottostante tramite la costante di Lipschitz della funzione ($L$), potenzialmente superando il parametro di privacy nominale di ordini di grandezza.

Il problema fondamentale è che, senza tracciare le dipendenze tra i rilasci, ogni interazione aggiuntiva degrada la privacy dell'utente oltre il budget nominale, indipendentemente dal fatto che la fuga sia benigna o maliziosa.

Metodologia: RootGuard

Gli autori propongono RootGuard, un meccanismo di privacy consapevole delle dipendenze progettato per interazioni agentiche multi-turn. Il principio fondamentale è sanificare esattamente una volta i valori "radice" privati e calcolare tutti i successivi rilasci in modo deterministico a partire da queste radici rumorose.

Architettura del Sistema

1. Inizializzazione: L'agente utente identifica i valori radice sensibili ($X$) e li sanifica una sola volta utilizzando un meccanismo di privacy differenziale ($M_\epsilon$). Questi valori rumorosi ($\hat{X}$) vengono archiviati in una cache sanificata.
2. Operazione per Turno: Quando un avversario richiede un valore:
   • Se la richiesta è per una radice, viene restituito il valore rumoroso memorizzato nella cache.
   • Se la richiesta è per un valore derivato, questo viene calcolato in modo deterministico a partire dalle radici rumorose memorizzate nella cache.
   • Non viene estratto nuovo rumore dopo l'inizializzazione.
3. Confine di Fiducia: L'avversario interagisce solo con la cache sanificata. Per il Teorema del Post-Processing della privacy differenziale, la visione dell'avversario non è più informativa della sanificazione iniziale delle radici, indipendentemente dal numero di turni ($t$) o dalle funzioni ($f$) richieste.

Sfruttamento della Conoscenza Strutturale

RootGuard utilizza conoscenze del dominio pubblico per ottimizzare il compromesso privacy-utilità senza indebolire le garanzie:

• Livello 1 (Dipendenze Inter-radice): Se una radice dichiarata è una funzione deterministica di altre (ad es. BMI da altezza e peso), l'agente identifica le vere radici indipendenti. Le radici dipendenti vengono ricalcolate a partire dai genitori rumorosi, ereditando la privacy a costo marginale zero (Teorema 3).
• Livello 2 (Sensibilità dell'Obiettivo): Se la funzione target intermedia $g$ (ad es. una formula clinica come FIB-4) è nota, l'agente alloca il budget di privacy $\epsilon_i$ alle radici in base alla loro sensibilità verso l'obiettivo. L'allocazione segue una regola ponderata sulla sensibilità: $\epsilon_i \propto (|h_i| \cdot D_i)^{1/2}$, dove $h_i$ è la derivata parziale della funzione target rispetto alla radice $i$, e $D_i$ è la larghezza del dominio. Questo minimizza l'errore atteso nella decisione clinica finale.

Garanzie Teoriche

• Teorema 1 (Garanzia di Privacy DAG): La garanzia di privacy dipende esclusivamente dai parametri di sanificazione delle radici ed è indipendente dalla scelta delle funzioni dell'avversario o dal numero di turni di interazione.
• Teorema 2 (Amplificazione della Distinguibilità): Dimostra che l'aggiunta indipendente di rumore a un valore derivato amplifica la distinguibilità della radice genitore tramite la costante di Lipschitz della funzione $L$.
• Teorema 3 (Privacy Implicita): Dimostra che aggiungere rumore alle radici e sottoporle a post-elaborazione per derivare valori fornisce una privacy almeno forte quanto l'aggiunta diretta di rumore ai valori derivati.

Contributi Chiave

1. Formalizzazione della Privacy Agente Multi-Turn: Il documento formalizza il gioco della privacy per interazioni multi-turn e dimostra che la garanzia di RootGuard è invariante rispetto al numero di query e alle scelte di funzione dell'avversario.
2. Dimostrazione di Amplificazione ed Eredità: Dimostra che l'aggiunta indipendente di rumore ai valori derivati amplifica la perdita di privacy (Teorema 2), mentre l'aggiunta coordinata di rumore alle radici permette ai valori derivati di ereditare la privacy gratuitamente (Teorema 3).
3. Allocazione Ponderata sulla Sensibilità: Un metodo per allocare i budget di privacy in base alla sensibilità della funzione target, minimizzando l'errore sull'obiettivo mantenendo al contempo garanzie formali.
4. Validazione Empirica: Estesi esperimenti su 8 template diagnostici medici (derivati dai dati NHANES) e un completo deployment end-to-end di LLM (GPT-5.4 nano) che validano il meccanismo.

Risultati Sperimentali

La valutazione confronta le configurazioni di RootGuard (M-Roots, M-Opt) con l'aggiunta indipendente di rumore (M-All) attraverso tre domande di ricerca:

RQ1: Utilità dell'Obiettivo

• Metrica: Errore Percentuale Assoluto Medio Ponderato (wMAPE) ed Errore di Classe di Rischio (RCE).
• Risultati: RootGuard supera significativamente l'aggiunta indipendente di rumore. A $\epsilon = 0.1$ e con un budget di $B = (2k+1)\epsilon$, M-Opt ottiene un wMAPE 2.6 volte inferiore (7.8% vs 20.3%) e un Errore di Classe di Rischio 2.2 volte inferiore (7.0% vs 15.7%) rispetto a M-All.
• Doppia Asimmetria: Mentre l'avversario forza più turni ($t$), l'utilità di RootGuard migliora (più budget disponibile per radice), mentre la privacy di M-All peggiora (accumulo di osservazioni indipendenti).

RQ2: Attacchi di Ricostruzione

• Metrica: wMAPE di ricostruzione sotto un avversario Maximum A Posteriori (MAP).
• Risultati: Con M-All, l'errore di ricostruzione diminuisce all'aumentare del numero di query ($q$) (ad es. scende dal 10.2% al 3.2% quando $q$ passa da 1 a 16 a $\epsilon_r=0.1$). Con RootGuard, l'errore di ricostruzione rimane invariato rispetto a $q$ perché le query ripetute restituiscono lo stesso valore memorizzato nella cache.

RQ3: Analisi Strutturale

• Risultati: Il vantaggio di RootGuard è più pronunciato per formule "compattanti" (ad es. FIB-4, HOMA) dove la funzione target attenua il rumore delle radici. L'allocazione del budget segue la legge di potenza prevista $\epsilon_i \propto (|h_i| \cdot D_i)^{0.5}$, confermando la strategia ponderata sulla sensibilità.

RQ4: Deployment End-to-End

• Configurazione: Una simulazione reale che utilizza un agente GPT-5.4 nano su 21.600 sessioni.
• Risultati: I risultati a livello di meccanismo si trasferiscono al deployment LLM. L'ordinamento delle prestazioni (M-Opt > M-Roots > M-All) rimane valido e non si sono verificati fallimenti di conformità a livello di sessione (nessun errore di parsing o risposta malformata).

Significato e Affermazioni

Il documento afferma che RootGuard cambia fondamentalmente il compromesso privacy-utilità nelle interazioni multi-turn con agenti. Spostandosi da una sanificazione stateless e indipendente a un approccio stateful e consapevole delle dipendenze, RootGuard garantisce che:

1. La Privacy è Costante: L'avversario non ottiene informazioni aggiuntive indipendentemente da quanti turni forza o quali funzioni calcola.
2. L'Utilità Migliora con i Turni: I turni di interazione aggiuntivi permettono di distribuire un budget di privacy totale più ampio tra le radici, migliorando l'accuratezza senza aumentare il rischio per la privacy.
3. Robustezza: L'approccio regge anche sotto iniezione di prompt avversariale o progettazione di servizi maliziosi, poiché tutti i rilasci sono post-elaborazioni delle radici rumorose iniziali.

Gli autori concludono che l'aggiunta indipendente di rumore è fondamentalmente insufficiente per flussi di lavoro multi-turn che coinvolgono valori privati correlati, e che la sanificazione consapevole delle dipendenze è una difesa necessaria per il deployment di agenti LLM in domini ad alto rischio. Il lavoro assume un riconoscimento perfetto delle entità nominate (NER) per l'identificazione delle radici e si concentra su dati numerici strutturati, lasciando il testo libero e l'integrazione di NER rumoroso come lavoro futuro.