💻 computer science

BodhiPromptShield: Pre-Inference Prompt Mediation for Suppressing Privacy Propagation in LLM/VLM Agents

Het paper introduceert BodhiPromptShield, een beleidsbewust framework dat privacyrisico's in LLM/VLM-agenten beperkt door gevoelige informatie te detecteren en te routeren via tijdelijke vervangingen, waardoor de verspreiding van privacygevoelige data over verschillende agentstappen effectief wordt onderdrukt.

Oorspronkelijke auteurs: Bo Ma, Jinsong Wu, Weiqi Yan

Gepubliceerd 2026-04-08

📖 4 min leestijd☕ Koffiepauze-leesvoer

CC BY 4.0

Oorspronkelijke auteurs: Bo Ma, Jinsong Wu, Weiqi Yan

Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer

BodhiPromptShield: De Privacy-Bewaker voor AI-Assistenten

Stel je voor dat je een zeer slimme, maar nieuwsgierige assistent hebt die je helpt met complexe taken, zoals het regelen van een reis, het schrijven van een juridisch document of het analyseren van medische gegevens. Je noemt dit een "AI-agent".

Het probleem is dat deze assistent soms te nieuwsgierig is. Als jij hem een opdracht geeft met gevoelige informatie (zoals je bankrekeningnummer, adres of medische geschiedenis), kan die informatie niet alleen in het antwoord verschijnen, maar ook "lekken" naar andere plekken waar hij niet thuishoort:

In de zoekopdrachten die hij intern doet.
In zijn geheugen (waar hij dingen onthoudt).
In de logboeken die hij bijhoudt.
In de gesprekken die hij voert met andere computerprogramma's.

Dit is alsof je een geheim vertelt aan een boodschapper, maar die boodschapper schrijft het geheim ook op in zijn dagboek, stuurt het naar zijn chef, en plakkt het op de muur van het kantoor, voordat hij het antwoord aan jou geeft.

Wat is BodhiPromptShield?

De auteurs van dit paper hebben een slimme oplossing bedacht, genaamd BodhiPromptShield. Je kunt dit zien als een slimme poortwachter of een veiligheidschef die staat tussen jou en de AI.

Hier is hoe het werkt, vertaald naar alledaagse metaforen:

1. De "Voor-de-Deur" Check (Pre-Inference)

Voordat je boodschap de AI überhaupt bereikt, stopt de poortwachter hem. Hij kijkt niet alleen naar wat er op papier staat, maar denkt na over waar die informatie straks naartoe gaat.

Oude manier: Een beveiligingsfirma die alleen de voordeur afsluit. Als de boodschapper de deur uit is, is het te laat.
BodhiPromptShield: Een inspecteur die de boodschapper voor het vertrek controleert en zegt: "Wacht even, deze informatie mag niet in je dagboek, maar wel in je antwoord."

2. De "Vermomming" (Sanitization)

Als de poortwachter een gevoelig stukje tekst ziet (bijvoorbeeld je huisadres), vervangt hij dit niet zomaar door "XXX" (wat de AI vaak verwarrend vindt). Hij gebruikt drie slimme tactieken:

De Type-Plaatje: Hij vervangt je naam door <PERSOON_1>. De AI weet nog steeds dat het om een persoon gaat, maar weet niet wie. Dit is alsof je een pakje verpakt in bruin papier met een label "BRIEF", zodat de bezorger weet wat het is, maar niet wie erin zit.
De Samenvatting: Hij vervangt je exacte adres door "een woonadres in Amsterdam". De AI kan nog steeds redeneren ("Ah, iemand in Amsterdam"), maar weet niet het exacte huisnummer.
De Geheime Sleutel: Voor dingen die echt nodig zijn (zoals een bankrekeningnummer om een betaling te doen), vervangt hij het door een willekeurige code (bijv. TOKEN_99). Deze code is nutteloos voor iedereen, behalve op het exacte moment dat de betaling gedaan moet worden. Dan haalt de poortwachter de echte code weer uit een veilig kluisje en vult hij hem in.

3. De "Tijdbom" voor Geheimen (Restoration Timing)

Dit is het meest innovatieve deel. In het verleden werd gevoelige informatie vaak te vroeg weer zichtbaar gemaakt. BodhiPromptShield zorgt ervoor dat de echte gegevens pas worden onthuld op het moment dat het echt nodig is.

Voorbeeld: Stel je voor dat je een reisboeking maakt. De AI moet weten dat je naar Parijs gaat (dat is oké), maar hij hoeft je creditcardnummer niet te zien terwijl hij zoekt naar hotels. BodhiPromptShield houdt je creditcardnummer "op slot" tot het moment dat de AI daadwerkelijk de betaling moet verwerken. Pas dan wordt de sleutel gebruikt.

Waarom is dit belangrijk?

Vroeger dachten we dat privacy alleen ging over het beschermen van de data terwijl de AI leert (tijdens het trainen) of na het opslaan van bestanden. Maar in moderne AI-systemen die allerlei tools gebruiken, is het gevaar dat de data "meereist" naar andere systemen.

De resultaten:
De onderzoekers hebben dit getest in een gecontroleerde omgeving. Ze zagen dat:

De kans dat gevoelige data "lekt" naar zoekopdrachten, geheugen of tools drastisch daalde (van ongeveer 10% naar 7% in hun tests).
De AI nog steeds heel goed zijn werk kon doen (hij raakte niet in de war door de vermommingen).
Het systeem sneller was dan je zou denken, ondanks alle extra controle.

Samenvattend

BodhiPromptShield is als een slimme vertaler die je boodschappen naar een AI omzet in een "veilige versie". Hij verwijdert de gevaarlijke details, vervangt ze door veilige symbolen, en zorgt ervoor dat de echte geheimen pas worden onthuld op het allerlaatste moment dat het echt nodig is. Hierdoor blijft je privacy gewaarborgd, zelfs als de AI-assistent met tientallen andere systemen praat.

Het is geen magisch schild dat alles onzichtbaar maakt, maar een slimme, bewuste tussenpersoon die weet wanneer en waar een geheim veilig is, en wanneer het beter is om het te verbergen.

1. Het Probleem: Privacypropagatie in Agent-systemen

Traditionele privacybeveiliging voor Large Language Models (LLM) en Vision-Language Models (VLM) richt zich voornamelijk op twee fasen:

Training: Het beschermen van de trainingsdata (bijv. via differentiaal privacy).
Documentgrenzen: Het verwijderen van gevoelige informatie uit een document voordat het wordt opgeslagen of verwerkt.

Het paper identificeert echter een kritieke lacune in moderne LLM/VLM-agent-systemen. In deze systemen wordt een gebruikersprompt niet alleen verwerkt door één model, maar doorloopt het een complexe pijplijn (agent workflow) die bestaat uit:

Zoekopdrachten (Retrieval)
Geheugenschrijvingen (Memory)
Tool-aanroepen (Tool calls)
Logging en derde partijen

Het kernprobleem: Als een prompt gevoelige informatie bevat (zoals persoonsgegevens, financiële data of medische informatie), kan deze "raw" (onbewerkte) informatie zich propageren door deze verschillende fasen. Zelfs als de initiële prompt wordt geredigeerd, kan de gevoelige data al zijn gekopieerd naar zoekvragen, geheugenrecords of tool-argumenten voordat de definitieve uitvoering plaatsvindt. Bestaande methoden voor document-gebaseerde anonimisering zijn ontoereikend omdat ze niet kijken naar deze cross-stage propagatie.

2. Methodologie: BodhiPromptShield

De auteurs stellen BodhiPromptShield voor, een framework dat werkt als een pre-inference mediation layer (tussenlaag vóór de inferentie). Het doel is niet alleen het maskeren van tekst, maar het controleren van de verspreiding van gevoelige data door de agent-architectuur.

De werkflow bestaat uit vier fasen:

Extractie: Detectie van privacygevoelige spans (tekstfragmenten) in de ruwe prompt, inclusief data uit afbeeldingen (via OCR/VLM).
Sanitatie: Toepassing van een beleidsbewuste (policy-aware) transformatie. Er worden drie modi gebruikt, afhankelijk van de context en het risico:
- Getypeerde placeholders: Vervanging door tokens zoals <PERSON_1> (behoudt de rol voor redenering).
- Semantische abstractie: Vervanging door een algemene beschrijving (bijv. "een adres in Auckland") om de betekenis te behouden zonder de exacte waarde.
- Veilige symbolische mapping: Vervanging door een ondoorzichtige token die gekoppeld is aan een beveiligde tabel, met herstel alleen op geautoriseerde momenten.
Inferentie: De gesanitized prompt ( $\tilde{x}$ ) wordt naar de downstream agent gestuurd voor retrieval, geheugen en tool-gebruik.
Beveiligd Herstel: Gevoelige waarden worden pas hersteld op het exacte moment van uitvoering (bijv. bij een tool-aanroep die de exacte waarde nodig heeft), en niet eerder in de pijplijn.

Belangrijkste concept: Het behandelen van hersteltiming als een beveiligingsvariabele. Gevoelige data mag niet terugkeren naar de retrieval- of geheugenfasen; herstel gebeurt alleen op de "authorized boundary".

3. Belangrijkste Bijdragen

Herformulering van het probleem: Privacy in agent-systemen wordt gezien als een propagatie-control probleem in plaats van een enkelvoudig maskeringsprobleem.
Beleidsbewuste Mediatie: Een mechanisme dat gevoelige spans detecteert, de juiste sanitatiemodus kiest op basis van risico en taakvereisten, en het herstel van data controleert.
Propagatie-bewuste Evaluatie: De introductie van een nieuw evaluatieprotocol (CPPB - Controlled Prompt-Privacy Benchmark) dat niet alleen kijkt naar directe blootstelling, maar ook naar Stage-wise Propagation Exposure (SPE). Dit meet hoeveel gevoelige data overleeft bij de overgangen naar retrieval, geheugen en tools.
Duidelijke Scope: Het paper onderscheidt zich door geen cryptografische garanties te claimen, maar een praktische, interface-laag oplossing te bieden die compatibel is met bestaande agent-systemen.

4. Resultaten

De evaluatie vond plaats op de CPPB-benchmark met 256 prompts (tekst en multimodaal).

Onderdrukking van Propagatie:
- Zonder bescherming: 100% van de gevoelige data verspreidt zich naar alle fasen.
- Met BodhiPromptShield (boundary restoration): De propagatie daalt significant.
  - Retrieval-fase: Van 10,7% naar 7,1% (in vergelijking met andere methoden).
  - Tool-fase: De data blijft onderdrukt tot het moment van uitvoering.
Privacy Exposure Rate (PER): Het systeem bereikte een PER van 9,3%, wat beter is dan generieke de-identificatie (12,4%) en vergelijkbaar met geavanceerde enterprise redaction (8,1%), maar dan met veel betere behoud van functionaliteit.
Behoud van Nut (Utility):
- Answer Consistency (AC): 0,94 (zeer hoog).
- Task Success Rate (TSR): 0,92.
- In tegenstelling tot generieke methoden die alle data verwijderen (wat de taak onmogelijk maakt), behoudt BodhiPromptShield de semantische structuur nodig voor redenering.
Adversariale Robuustheid: Het systeem is getest tegen oppervlakte-vorm manipulaties (zoals Unicode-verwarring en parafrasing). Hoewel het niet perfect is tegen alle vormen van evasie, verlaagt het de blootstelling aanzienlijk (bijv. van 94,1% naar 43,9% bij homoglyph-substitutie).
Latentie: De overhead is bescheiden (gemiddeld 41ms voor de "balanced" modus), wat acceptabel is voor real-time agent-toepassingen.

5. Betekenis en Conclusie

Dit paper is significant omdat het de focus verschuift van "wat staat er in het document" naar "waar gaat de data naartoe in het agent-systeem".

Praktische Toepasbaarheid: Het biedt een werkende architectuur voor bedrijven die LLM-agenten willen inzetten zonder dat gevoelige data onbedoeld in logs, zoekindexen of geheugen terechtkomt.
Balans: Het lost het klassieke compromis op tussen privacy en bruikbaarheid. Door slimme abstractie en vertraagd herstel, blijft de agent effectief terwijl de privacyrisico's worden geminimaliseerd.
Toekomstige Richting: Het paper erkent dat het geen formele cryptografische garantie biedt en dat er nog werk moet worden gedaan aan robuustheid tegen geavanceerde aanvallen en uitbreiding naar bredere publieke benchmarks.

Samenvattend introduceert BodhiPromptShield een nieuwe standaard voor privacy in agent-systemen: privacy moet worden beheerd als een stroom die door het systeem vloeit, niet als een statisch gegeven dat één keer wordt gewist.