Separating Disclosure from Authorization: Field-Tier Minimization for Agent Action Mediation

Nel moderno mondo digitale, gli agenti software autonomi agiscono per conto di persone e aziende, inviando email, spostando denaro e accedendo a registri sensibili. Per mantenere questi agenti sicuri ed onesti, le organizzazioni utilizzano due sistemi distinti che spesso lavorano in direzioni opposte. Il primo è un guardiano, un motore di policy che deve esaminare i dettagli di un'azione per decidere se sia consentita. Se un agente vuole inviare un'email a un destinatario, il guardiano deve vedere l'indirizzo per sapere se quella persona è all'interno o all'esterno dell'azienda. Il secondo sistema è un registro permanente, un log immutabile che annota ogni decisione presa, creando una traccia che gli auditor possono ispezionare anni dopo per provare cosa è accaduto. Il problema sorge perché entrambi i sistemi tradizionalmente richiedono la stessa cosa: i dati grezzi, non filtrati. Il guardiano ha bisogno dei dettagli completi per prendere una decisione equa, e il registro ha bisogno dei dettagli completi per essere un testimone affidabile. Ma questo crea un pericoloso collo di bottiglia dove le informazioni più private — nomi, indirizzi e dettagli medici — rimangono intrappolate in un registro permanente e inalterabile, violando proprio le regole sulla privacy che l'organizzazione sta cercando di seguire.

Un team di ricercatori di Aurite AI ha trovato un modo per scogliere queste due necessità senza sacrificare la sicurezza o la privacy. Hanno scoperto che il guardiano e il custode del registro non hanno in realtà bisogno di vedere le stesse cose. Il guardiano ha solo bisogno di conoscere la forma dei dati per prendere una decisione basata su regole, mentre il custode del registro ha solo bisogno di sapere che una specifica decisione è stata presa riguardo a un determinato set di dati. Separando questi requisiti, i ricercatori hanno creato un sistema in cui i dettagli privati non lasciano mai il computer dell'utente, eppure l'organizzazione può ancora applicare le regole e mantenere una traccia di audit incrollabile.

Il nucleo della loro soluzione è un metodo chiamato minimizzazione per livelli di campo (field-tier minimization). Invece di trattare un'intera azione, come "inviare un'email", come un singolo blocco di dati sensibili, il sistema la suddivide nelle sue singole parti, o campi. Successivamente, classifica ogni campo in una di tre categorie. La prima categoria contiene informazioni che sono necessarie per le regole ma che non identificano una persona, come la dimensione di un allegato o il numero di file. Questi dati possono passare nella loro forma originale. La seconda categoria contiene informazioni che sono necessarie per le regole ma che sono anche identificative, come un indirizzo email. Per questi campi, il sistema non trasmette l'indirizzo completo. Invece, trasmette una versione semplificata e non identificativa, come solo il nome del dominio dopo la "@". Ciò consente al guardiano di verificare se l'email è diretta a un'azienda esterna senza rivelare la persona specifica. La terza categoria contiene informazioni che non sono mai necessarie per le regole, come l'oggetto di un'email o le note di un pagamento. Questi dati rimangono interamente all'interno del computer dell'utente e non attraversano mai il confine verso il mondo esterno.

La genialità di questo design risiede nel modo in cui gestisce il registro permanente. In molti tentativi precedenti di proteggere la privacy, i sistemi cercavano di nascondere o eliminare i dati sensibili prima di scriverli nel log. Tuttavia, ciò crea un nuovo problema: se il log viene alterato, un auditor non può capire cosa sia stato rimosso o se il record sia affidabile. I ricercatori hanno risolto questo problema facendo in modo che il computer calcoli un'impronta digitale digitale unica dei dati originali, inalterati, prima che avvenga qualsiasi occultamento o semplificazione. Questa impronta digitale viene poi scritta nel registro permanente. In seguito, quando i dati semplificati vengono inviati al guardiano, il sistema può comunque dimostrare che la versione semplificata proviene dai dati originali perché l'impronta digitale corrisponde. Ciò significa che l'organizzazione può cambiare le sue regole su come nascondere i dati in qualsiasi momento, anche anni dopo, senza rompere l'integrità dei vecchi record. Il registro rimane un testimone solido e immutabile dell'evento originale, mentre il flusso di informazioni verso il guardiano diventa flessibile e rispettoso della privacy.

Per garantire che questo sistema funzioni correttamente, i ricercatori hanno dovuto risolvere una questione delicata sulla fiducia: chi ha il diritto di dire cosa è accaduto? Poiché i dati sensibili non lasciano mai il computer dell'utente, il computer dell'utente è l'unico che può calcolare l'impronta digitale dei dati originali. I ricercatori hanno deciso che il computer dell'utente dovrebbe essere colui che crea questa impronta digitale e la riporta al registro. Hanno ragionato sul fatto che se un utente cercasse di mentire sull'impronta digitale, starebbe falsificando prove contro se stesso, il che costituisce un forte deterrente. Tuttavia, il computer dell'utente non può essere ritenuto affidabile nel dichiarare quali regole siano state usate per semplificare i dati, poiché potrebbe semplicemente affermare di aver usato regole diverse per nascondere più informazioni. Per evitare questo, il sistema richiede al computer dell'utente di inviare un'impronta digitale delle regole utilizzate, e il server centrale controlla questo dato rispetto alle regole ufficiali. Se le due impronte digitali non corrispondono, il sistema sa che qualcosa non va e rifiuta l'azione. Questo crea un equilibrio in cui l'utente è fidato per riportare i dati che possiede, ma il server è incaricato di verificare le regole applicate.

I ricercatori hanno testato questo sistema con scenari reali, tra cui l'invio di email e l'accesso a cartelle cliniche. Hanno scoperto che il loro metodo ha impedito con successo che gli identificatori sensibili lasciassero l'ambiente dell'utente, pur permettendo al motore delle policy di prendere decisioni accurate. In un test specifico, hanno esaminato un percorso di una risorsa che includeva il numero di cartella clinica di un paziente. Il loro tentativo iniziale di semplificare questo percorso è fallito perché lasciava il numero visibile nel testo. Lo hanno risolto cambiando la regola per rimuovere l'intera parte finale del percorso invece di cercare di pulire il testo, garantendo che nessuna informazione identificativa trapolasse. La loro analisi ha mostrato che, per le azioni studiate, quasi la metà dei campi dati non ha mai attraversato il confine nella loro forma grezza e i campi rimanenti sono stati ridotti a riassunti non identificativi.

Il team riconosce che il loro sistema non è uno scudo perfetto contro ogni possibile minaccia. Se il computer dell'utente viene hackerato, l'attaccante potrebbe comunque inviare i dati che desidera. Il sistema è progettato per proteggere i dati mentre si muovono dall'utente all'organizzazione, non per proteggere il computer dell'utente da un compromesso. Inoltre, i ricercatori osservano che le loro regole attuali sono statiche; non possono cambiare facilmente in base a situazioni complesse, come decidere che un campo è sensibile solo se il destinatario si trova in un altro paese. Nonostante questi limiti, l'approccio offre un modo pratico e strutturale per gestire la tensione tra privacy e responsabilità. Dimostra che non è necessario scegliere tra un audit trail rigido e immutabile e una policy flessibile e rispettosa della privacy. Calcolando l'impegno verso i dati prima della semplificazione, e assegnando con cura chi deve verificare cosa, il sistema permette alle organizzazioni di governare i propri agenti efficacemente senza esporre la vita privata dei propri clienti al registro permanente.