Sintesi Tecnica: MINIM - Vista Minima Consapevole della Privacy per gli Agenti tramite Sanitizzazione Locale Affidata

1. Definizione del Problema: Osservazione Semantica Sovra-Privilegiata

Gli agenti autonomi moderni si affidano sempre più a osservazioni strutturate (ad es., alberi di accessibilità, rappresentazioni DOM) per interagire con gli ambienti digitali. Sebbene queste interfacce strutturate forniscano un ricco contesto semantico per un affidabile grounding delle azioni, i modelli di distribuzione attuali seguono spesso un design "condividi-per-primo", trasmettendo l'intero stato dell'interfaccia grezza ai server di inferenza remoti.

Gli autori identificano un modello di fallimento specifico denominato Osservazione Semantica Sovra-Privilegiata. In questo scenario, gli agenti ricevono non solo gli elementi necessari per l'attuale compito dell'utente, ma anche una vasta quantità di contesto irrilevante per il compito (ad es., notifiche nella barra laterale, finestre di applicazioni in background, schede del browser non correlate). Questa esposizione porta alla fuga di informazioni sensibili ma non necessarie, come codici di autenticazione, notifiche private e tracce comportamentali, che possono essere sfruttate per il profiling.

Le soluzioni di privacy esistenti sono inadatte a questo contesto:

• Il filtraggio agnostico rispetto al compito (ad es, la redazione di PII) rischia di rimuovere contesti critici per il compito o di non rilevare attributi sensibili non classificati come PII.
• La Differential Privacy introduce rumore stocastico che può distorcere i segnali semantici precisi richiesti per un'attuazione affidabile dell'agente.
• I metodi crittografici (ad es, FHE, MPC) proteggono il calcolo ma non impediscono al server remoto di inferire informazioni sensibili dallo stato divulgato, spesso a costo di una latenza proibitiva.

La sfida centrale è che i requisiti di privacy sono condizionati dal compito: un elemento (ad es, un codice 2FA) può essere critico per un compito, ma costituire una pura fuga di dati per un altro.

2. Metodologia: Framework MINIM

Gli autori propongono MINIM, un broker locale affidabile che esegue la minimizzazione pre-divulgazione sul dispositivo client. MINIM agisce come un collo di bottiglia strutturale, sanificando l'osservazione dell'agente prima che lasci il dispositivo. Il framework si fonda sulla Integrità Contestuale (CI), operazionalizzando il principio secondo cui il flusso di informazioni deve aderire alle norme definite dal contesto, dagli attori, dagli attributi e dai principi di trasmissione.

2.1. Rappresentazione a Doppio Punteggio

MINIM impiega un modello appreso per prevedere due punteggi scalari per ogni elemento nell'osservazione strutturata (ad es, un nodo dell'albero di accessibilità):

1. Punteggio di Sensibilità Inerente ($s$): Cattura il rischio informativo intrinseco dell'elemento, indipendentemente dal compito corrente.
2. Punteggio di Necessità Condizionato dal Compito ($n$): Cattura l'utilità dell'elemento per completare il compito specifico dell'utente $T$.

2.2. Obiettivo di Addestramento

Il modello è addestrato utilizzando un obiettivo consapevole della CI che minimizza la divulgazione di informazioni contestualmente inappropriate pur soddisfacendo un vincolo di utilità del compito. La funzione di perdita combina:

• Perdita di Sensibilità ($L_{sens}$): Minimizza l'errore nella previsione del rischio inerente.
• Perdita di Necessità ($L_{nec}$): Minimizza l'errore nella previsione della necessità del compito, ma pesata dalla sensibilità. La perdita è amplificata per i nodi che sono altamente sensibili ma irrilevanti per il compito, penalizzando pesantemente il modello per il mancato rilevamento di contenuti ad alto rischio non necessari.

2.3. Politica di Divulgazione Ternaria

In fase di deployment, i punteggi previsti guidano una politica deterministica che mappa ogni nodo a una di tre azioni:

• Mantieni (Keep - K): Se il nodo è necessario ($n \ge \tau_{nec}$) e a basso rischio ($s < \tau_{sens}$). L'elemento viene trasmesso invariato.
• Astrarre (Abstract - A): Se il nodo è necessario ($n \ge \tau_{nec}$) ma ad alto rischio ($s \ge \tau_{sens}$). Gli attributi sensibili sono sostituiti con segnaposto (ad es, [REDACTED]) preservando al contempo il ruolo strutturale (ad es, mantenendo la struttura del pulsante ma mascherando il valore del codice 2FA).
• Rimuovi (Remove - R): Se il nodo non è necessario ($n < \tau_{nec}$). L'elemento viene rimosso completamente.

3. Contributi Chiave

1. Formalizzazione del Problema: Il documento identifica e formalizza l'"Osservazione Semantica Sovra-Privilegiata" come un rischio di privacy distinto nei sistemi agentici che si affidano a input strutturati, proponendo la minimizzazione pre-divulgazione come soluzione.
2. Architettura MINIM: Gli autori introducono un broker locale affidabile che separa la valutazione contestuale dall'applicazione della policy. Utilizza un meccanismo a doppio punteggio (sensibilità e necessità) addestrato con un obiettivo consapevole della CI per imporre una regola di divulgazione "need-to-know" (necessità di conoscere).
3. Validazione Empirica: Il framework è valutato su alberi di accessibilità reali derivati da WebArena attraverso i domini Shopping, Reddit e Gmail, dimostrando una significativa riduzione delle fughe di dati senza compromettere l'esecuzione dei compiti.

4. Risultati Sperimentali

Gli esperimenti sono stati condotti su un dataset di 662 varianti di test derivate da WebArena, aumentate con contesti sensibili sintetizzati (ad es, codici 2FA, password).

4.1. Metriche di Prestazione

• Preservazione dei Nodi Critici per il Compito (TCNP): MINIM conserva il 94,91% del contesto critico per il compito e il 99,31% degli elementi interattivi critici per il compito (TCNP-I).
• Fuga di Dati Sensibili Irrilevanti per il Compito (TISL): MINIM riduce la fuga di dati sensibili a 0,101 (normalizzato), che è circa il 10% della fuga osservata nelle osservazioni complete. Si tratta di una riduzione del 50% rispetto a un baseline "Solo Necessità" (0,2032) e supera significativamente i baseline "Solo Sensibilità" o "Casuale".

4.2. Confronto con i Baseline LLM

Gli autori hanno confrontato MINIM con diversi modelli linguistici di grandi dimensioni (LLM) open-weight istruiti per agire come scorer.

• Limitazioni degli LLM: Sebbene gli LLM generici abbiano ottenuto un'alta utilità (TCNP-I $\approx$ 0,99), hanno mostrato una fuga di dati significativamente più alta (TISL compresa tra 0,194 e 0,312). Tendono a mantenere contenuti sensibili irrilevanti per il compito insieme agli elementi utili.
• Efficienza: MINIM ha mantenuto solo il 12% dei nodi (rispetto al ~26–35% degli LLM) ottenendo al contempo un richiamo azionabile comparabile o superiore. Ciò evidenzia che l'instruction tuning generale non impone intrinsecamente la minimizzazione condizionata dal compito.

4.3. Ablazione e Robustezza

• Valore dell'Astrazione: Sostituire l'azione "Astrarre" (A) con l'azione "Rimuovi" (R) ha causato un calo del richiamo azionabile (TCNP-I) da 0,9931 a 0,9650, dimostrando che preservare le affordance strutturali mascherando i valori è cruciale per l'esecuzione del compito.
• Semantica del Compito: Il modello ha adattato il suo tasso di compressione in base al tipo di compito, mantenendo più nodi per i compiti "Sensibili/Amministrativi" (15,84%) rispetto a quelli "Informativi" (8,66%) per garantire che i flussi di sicurezza rimanessero funzionali.

5. Significato e Rivendicazioni

Il documento sostiene che MINIM dimostra che garanzie di privacy forti possono coesistere con un'attuazione affidabile degli agenti. Passando da un paradigma "condividi-per-primo" a un paradigma "need-to-know" tramite la sanitizzazione locale affidata, MINIM affronta il "Gap di Giudizio-Azione della Privacy" dove gli agenti non riescono a proteggere il contesto anche quando lo riconoscono come sensibile.

Gli autori sottolineano che il loro approccio è agnostico rispetto alla rappresentazione; sebbene valutato su alberi di accessibilità, il meccanismo di scoring strutturale guidato dalla CI si applica ad altri formati di osservazione strutturata (DOM, grafi di scena, schemi di strumenti). Posizionano MINIM non come una soluzione di sicurezza completa contro avversari attivi, ma come un componente critico di mitigazione della privacy per il canale di osservazione degli agenti autonomi, consentendo un deployment più sicuro in ambienti sensibili alla privacy.