💬 NLP

SlotGuard: Stop Oversharing Private Local Context in LLM Agent Transcri

SlotGuard è un sistema locale di delimitazione delle trascrizioni che impedisce in modo sicuro agli agenti LLM di far trapelare contesti privati e credenziali riscrivendo i dati sensibili in slot sintetici a conservazione del formato collegati tramite un grafo di sessione, ottenendo così uno zero leakage di credenziali e un successo operativo quasi perfetto senza la fragilità degli esistenti metodi di redazione.

Autori originali: Haocheng Xia, Yongjoo Park

Pubblicato 2026-07-21

📖 5 min di lettura🧠 Approfondimento

CC BY 4.0

Autori originali: Haocheng Xia, Yongjoo Park

Articolo originale sotto licenza CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Questa è una spiegazione generata dall'IA dell'articolo qui sotto. Non è stata scritta né approvata dagli autori. Per precisione tecnica, consulta l'articolo originale. Leggi il disclaimer completo

Immagina di avere un assistente robotico super intelligente che può fare quasi tutto per te: può leggere i file sul tuo computer, inviare email, eseguire codice e persino parlare con altri software. Per svolgere questi lavori, il robot deve vedere le tue informazioni private, come i percorsi dei tuoi file, il tuo indirizzo email e persino le tue password segrete. Ma ecco il problema: per capire cosa fare dopo, il robot spesso deve inviare un riassunto del suo lavoro a un "cervello" gigante basato sul cloud (un grande modello linguistico) di proprietà di un'azienda tecnologica. Questo riassunto è chiamato "trascrizione".

Il problema è che questa trascrizione è come la voce di un diario che viene inviata a uno sconosciuto. Se il robot accidentalmente scrive la tua password segreta o il tuo indirizzo di casa nella trascrizione, l'azienda del cloud potrebbe vederlo, memorizzarlo o persino usarlo per addestrare i suoi futuri robot. È come chiedere a un amico di aiutarti a cuocere una torta, ma devi inviargli una foto della tua cucina, e in quella foto la chiave di casa tua è appoggiata proprio accanto alla farina. Vuoi che l'amico veda la cucina in modo che possa dirti come mescolare l'impasto, ma non vuoi assolutamente che veda la tua chiave. Questo articolo affronta la complicata questione di come permettere al robot di vedere il tuo mondo privato senza lasciare che il cervello nel cloud sbirci i tuoi segreti.

Entra in gioco SlotGuard, un nuovo e intelligente sistema progettato per agire come un "buttafuori della privacy" proprio all'interno del tuo computer. Pensa a SlotGuard come a un magico traduttore che siede tra il tuo assistente robotico e il cervello nel cloud. Il suo compito è riscrivere il diario del robot prima che lasci casa tua. Invece di lasciare che il robot scriva la tua vera password segreta (come SuperSecret123!), SlotGuard la sostituisce con un segnaposto finto, ma perfettamente strutturato (come 🔑-SYNTHETIC-KEY-99).

Ecco il trucco magico: il segnaposto falso sembra e si comporta esattamente come quello vero per il cervello nel cloud. Se la vera password era una lunga sequenza di lettere e numeri, il falso è anch'esso una lunga sequenza di lettere e numeri. Se il vero percorso del file era /Users/Alice/Secrets/Plan.pdf, il falso potrebbe apparire come [REPO_ROOT_1]/Secrets/Plan.pdf. Il cervello nel cloud può ancora leggere la struttura — sa che si tratta di un file, sa che è un segreto e sa di cosa parlarne — ma non ha idea di quale sia il segreto reale. È come dare al cervello nel cloud una mappa dove il tesoro è contrassegnato con una generica "X" invece delle coordinate reali.

Ma la magia non finisce qui. Quando il cervello nel cloud invia istruzioni come "Vai ad aprire quel file", SlotGuard intercetta il messaggio prima che raggiunga il tuo robot. Controlla la sua lista segreta, vede che [REPO_ROOT_1] in realtà significa /Users/Alice/Secrets/Plan.pdf, e sostituisce il falso con il vero solo all'interno del tuo computer fidato. Il robot apre quindi il file reale, e il cervello nel cloud non ha mai saputo l'esistenza del nome reale.

I ricercatori hanno testato questo sistema con dei compiti davvero impegnativi. Hanno creato migliaia di scenari finti in cui i robot cercavano di svolgere compiti che coinvolgevano dati sensibili, come leggere documenti privati o utilizzare chiavi segrete. Hanno scoperto che senza SlotGuard, i robot perdevano quasi tutto — il 100% delle volte. Persino i semplici metodi di "redazione", che sostituiscono semplicemente i segreti con parole come [PASSWORD], sono stati un disastro; hanno compromesso la capacità del robot di svolgere il suo lavoro, causandone il fallimento nel 97,5% dei casi perché il robot rimaneva confuso dalla mancanza di dettagli.

SlotGuard, tuttavia, è stato un punto di svolta. Nei loro test, la versione completa del sistema (che include un grafo di tracciamento intelligente) ha nascosto con successo tutte le credenziali inserite e ha bloccato tutte le fughe di credenziali (0,0% di leakage). Per i dati strutturali come percorsi ed email, ha rimosso il 100% dei caratteri sensibili visibili, con l'eccezione di un caso specifico riguardante i percorsi assoluti di proprietà del root che rimane una piccola lacuna nel prototipo attuale. Ancora meglio, non ha "rotto" il cervello del robot. I robot che utilizzavano SlotGuard erano quasi altrettanto bravi nei loro compiti come se avessero visto i segreti reali, mantenendo alti i tassi di successo attraverso diversi modelli. Il sistema è anche incredibilmente veloce, impiegando meno di un battito di ciglia (circa 14 microsecondi) per riscrivere un singolo turno di conversazione, quindi non rallenta nulla.

L'articolo evidenzia anche ciò che SlotGuard non fa. Non è uno scudo per la lettura del pensiero; se il cervello nel cloud è abbastanza intelligente da indovinare il tuo segreto solo dal contesto della conversazione, SlotGuard non può fermarlo. Inoltre, non ti protegge se il tuo computer è già stato hackerato. Ma per il problema specifico di impedire ai tuoi dati privati di trapelare nelle trascrizioni nel cloud, SlotGuard offre una soluzione robusta, veloce e intelligente che mantiene i tuoi segreti al sicuro pur permettendo al tuo robot di svolgere il suo lavoro.

Sintesi Tecnica: SlotGuard

Problematica

Gli agenti basati su Large Language Model (LLM) spesso perdono informazioni locali sensibili, tra cui percorsi di file, email, hostname e credenziali (ad esempio, chiavi API), nei trascorsi inviati ai provider di modelli a monte. Questa fuga di dati avviene non solo attraverso i prompt dell'utente, ma anche attraverso le osservazioni degli strumenti, come i log della shell, le letture di file e gli elenchi di processi (ad esempio, l'output di ps che contiene fallback di variabili d'ambiente). Una volta che questi record entrano nei trascorsi destinati al provider, possono essere conservati per l'addestramento del modello, registrati dai sistemi di serving o esposti tramite guasti operativi.

Le strategie di mitigazione esistenti, principalmente basate sulla redazione tramite segnaposto, sono fragili. Spesso non riescono a rilevare riferimenti incorporati o tra turni diversi, sovra-redagono somiglianze innocue e, cosa cruciale, distruggono la sintassi strutturale (ad esempio, la forma dei percorsi, le estensioni dei file, la grammatica URI) su cui gli agenti si affidano per ragionare ed eseguire chiamate agli strumenti valide. Ciò crea un compromesso in cui una redazione forte protegge la privacy ma interrompe i flussi di lavoro degli agenti, mentre una redazione debole preserva l'utilità ma espone dati sensibili.

Metodologia: SlotGuard

SlotGuard è un confine di trascrizione locale progettato per situarsi tra il runtime dell'agente e il provider del modello a monte. Opera riscrivendo i trascorsi prima della sottomissione e ripristinando i valori grezzi solo all'interno del runtime locale fidato prima dell'esecuzione. Il sistema impiega quattro meccanismi principali:

Astrazione Strutturale Tipizzata: Invece di segnaposto generici, SlotGuard converte i legami strutturali (percorsi, hostname, email) in slot tipizzati stabili (ad esempio, [REPO_ROOT_1], [EMAIL_1]). Questi slot sono deterministici all'interno di una sessione (usando HMAC con un segreto di sessione) ma non collegabili tra sessioni diverse. Fondamentalmente, il sistema esegue un'astrazione consapevole del suffisso, preservando l'estensione del file e un suffisso limitato e pertinente al compito, sostituendo al contempo la parte radice e intermedia sensibile (ad esempio, /Users/alice/acme/legal/... $\rightarrow$ [REPO_ROOT_1]/legal/[SENSITIVE_DOC_1].pdf).
Sostituzione Sintetica a Preservazione del Formato (FPS): Per i valori segreti (chiavi API, token), SlotGuard sostituisce le credenziali grezze con token sintetici che aderiscono rigorosamente alla classe di formato originale (ad esempio, un URI di database o una stringa di chiave API dall'aspetto valido) ma che non contengono caratteri derivati dal segreto originale. Ciò assicura che il modello veda handle sintatticamente validi e "dall'aspetto eseguibile" piuttosto che etichette opache come API_KEY.
Tracciamento per Sessione: SlotGuard mantiene una tabella di slot per sessione ( $T$ ) che mappa i valori grezzi agli handle e un leggero Grafo Semantico delle Entità (SEG). Il SEG traccia coreferenza, derivazione ed embedding, nonché riferimenti basati su parole chiave tra i turni, consentendo al sistema di proteggere valori che appaiono indirettamente o come forme derivate, non solo come corrispondenze esatte di stringhe.
Ricollegamento Protetto: I valori grezzi non vengono mai inviati al provider. Vengono ripristinati solo all'interno del runtime fidato quando viene richiesta l'esecuzione di uno strumento. SlotGuard valida che gli handle esistano nella tabella di sessione, corrispondano ai tipi attesi e rientrino negli scope consentiti. Rifiuta handle contraffatti, percorsi fuori ambito e tentativi di iniezione di metacaratteri della shell.

Contributi Chiave

Il documento identifica due superfici di privacy ortogonali nei trascorsi degli agenti: legami strutturali (identificatori come percorsi ed email) e valori segreti (credenziali). I contributi primari sono:

Integrazione Sistematica: L'integrazione dell'astrazione strutturale tipizzata, della sostituzione sintetica a preservazione del formato, del tracciamento tra turni (SEG) e del ricollegamento locale protetto in un unico confine applicabile.
Preservazione della Compatibilità: Dimostrare che preservare la struttura rilevante per l'esecuzione (forma del percorso, tipo di file, sintassi delle credenziali) è critico per le prestazioni a valle dell'agente, un fattore spesso trascurato dagli strumenti di redazione generici.
Confine Applicabile: Posizionare il sistema come un guardrail nel harness dell'agente (o nei livelli di filesystem/gateway del modello) che si interpone sulle uscite degli strumenti e sulle osservazioni del runtime, invece di fare affidamento esclusivamente sui prompt dell'utente.

Risultati della Valutazione

Gli autori hanno valutato SlotGuard utilizzando corpora di privacy sintetici, probe di workflow controllati e un set di replay derivato da TheAgentCompany (TAC-lite) su quattro modelli a monte (DeepSeek, gpt-5.4, Kimi, Llama).

Fuga di Privacy:
- Strutturale: SlotGuard ha rimosso tutti i 20.814 caratteri sensibili annotati in 9.229 percorsi, raggiungendo lo 0,0% di fuga strutturale.
- Credenziali: Tra 852 valori di credenziali piantati, SlotGuard ha ridotto la fuga allo 0,0%. Al contrario, i baseline che utilizzavano solo segnaposto tipizzati o FPS senza il SEG hanno esposto il 23,5% delle credenziali a causa di esposizioni ricostruibili divise o incorporate.
Compatibilità del Workflow e Successo del Compito:
- La redazione generica ha causato il crollo dei tassi di successo dei compiti al 2,5% in tutti i modelli.
- SlotGuard ha mantenuto prestazioni vicine ai trascorsi grezzi: eguagliando i punteggi grezzi per Kimi e Llama, rimanendo entro 2,0 punti per gpt-5.4 e entro 10,5 punti per DeepSeek.
- Nel benchmark di replay TAC-lite, SlotGuard ha eguagliato i punteggi grezzi per tre modelli su quattro, mentre la redazione generica è fallita completamente (0,0%).
Overhead del Runtime: Il processo di riscrittura è altamente efficiente, con una latenza mediana di 14,424 µs per ogni turno dell'agente. Il rilevatore semantico opzionale (usato per nomi di file difficili da rilevare) aggiunge latenza (~742 ms a caldo) ma non è richiesto per il percorso veloce.

Significato e Rivendicazioni

Il documento afferma che SlotGuard stabilisce un "confine locale che preserva la compatibilità" che media efficacemente tra la privacy del trascorso e l'accesso agli strumenti. Sostiene che la chiave per la privacy nei sistemi di agenti non sia semplicemente nascondere i valori, ma farlo senza distruggere gli indizi sintattici e strutturali necessari per il ragionamento.

Gli autori sottolineano esplicitamente i limiti e le rivendicazioni modeste:

SlotGuard non è un sistema di anonimizzazione completo; non può prevenire l'inferenza semantica da contesti non letterali o proteggere contro un runtime locale compromesso.
L'attuale valutazione si basa su carichi di lavoro sintetici e di tipo replay con verità di base piantata; la validazione su tracce di produzione con dati sensibili naturalmente occorrenti è un passo futuro necessario.
Il Grafo Semantico delle Entità (SEG) è un'implementazione precoce che si affida a collegamenti basati su parole chiave/pattern piuttosto che a una piena comprensione semantica, rappresentando un primo passo conservativo verso la gestione della fuga indiretta.
Il sistema non misura la ricostruzione avversaria da parte di attaccanti capaci che tentano attivamente di recuperare i valori dal contesto residuo.

Di conseguenza, gli autori posizionano SlotGuard come uno strato necessario in una più ampia postura di privacy, progettato per ridurre l'esposizione non necessaria di identificatori locali e credenziali ai provider a monte, mantenendo al contempo l'utilità dell'agente.