Technische Samenvatting: Afhankelijkheidsbewuste Privacy voor Multi-Turn LLM-Agenten

Probleemstelling

De integratie van Large Language Model (LLM)-agenten in gevoelige domeinen (gezondheidszorg, financiën, juridisch) creëert een nieuw privacy-aanvalsoppervlak. Gebruikers delegeren taken aan agenten die via protocollen zoals het Model Context Protocol (MCP) met meerdere externe diensten interageren. In multi-turn workflows kan een adversary afzonderlijke data-publicaties combineren om privé-gebruikersattributen te reconstrueren.

Bestaande saneringsmethoden, zoals Prϵmpt en CAPE, vertrouwen op metrische differentieelprivacy (mDP) maar behandelen elke data-publicatie onafhankelijk. Deze onafhankelijkheidsaanname faalt in multi-turn scenario's:

1. Onschadelijke Lekkage: Cross-platform redundantie (het verzenden van dezelfde wortelwaarde naar twee diensten) of structurele redundantie (het afzonderlijk verzenden van een wortel en een afgeleide waarde) zorgt ervoor dat het privacybudget lineair schaalt met het aantal diensten of afgeleide functies.
2. Adversariële Lekkage: Een adversary kan herhaalde queries forceren om ruis te middelen ($1/\sqrt{q}$) of willekeurige afgeleide functies aanvragen. Voor niet-lineaire functies die veel voorkomen in medische en financiële workflows (bijv. BMI, FIB-4), versterkt onafhankelijke ruisopdracht aan een afgeleide waarde de onderscheidbaarheid van de onderliggende wortel met de Lipschitz-constante ($L$) van de functie, wat potentieel de nominale privacyparameter met grotenorde overschrijdt.

Het kernprobleem is dat zonder het bijhouden van afhankelijkheden tussen publicaties, elke extra interactie de privacy van de gebruiker verslechtert buiten het nominale budget om, ongeacht of de lekkage onschadelijk of kwaadaardig is.

Methodologie: RootGuard

De auteurs stellen RootGuard voor, een afhankelijkheidsbewust privacymechanisme ontworpen voor multi-turn agentieke interacties. Het kernprincipe is om privé-wortelwaarden precies één keer te saneren en alle daaropvolgende publicaties deterministisch te berekenen uit deze verstoord wortels.

Systeemarchitectuur

1. Initialisatie: De user-agent identificeert gevoelige wortelwaarden ($X$) en saniteert ze één keer met een differentieel-privacy mechanisme ($M_\epsilon$). Deze verstoord waarden ($\hat{X}$) worden opgeslagen in een gesaniteerde cache.
2. Operatie per Turn: Wanneer een adversary een waarde aanvraagt:
   • Als de aanvraag voor een wortel is, wordt de gecachte verstoord waarde teruggegeven.
   • Als de aanvraag voor een afgeleide waarde is, wordt deze deterministisch berekend uit de gecachte verstoord wortels.
   • Er wordt na initialisatie geen nieuwe ruis getrokken.
3. Vertrouwensgrens: De adversary communiceert alleen met de gesaniteerde cache. Volgens het Post-Processing Theorem van differentieelprivacy is het perspectief van de adversary niet informatiever dan de initiële wortelsanering, ongeacht het aantal turns ($t$) of de gevraagde functies ($f$).

Exploitatie van Structurele Kennis

RootGuard maakt gebruik van publieke domeinkennis om de afweging tussen privacy en bruikbaarheid te optimaliseren zonder garanties te verzwakken:

• Niveau 1 (Inter-wortel Afhankelijkheden): Als een gedeclareerde wortel een deterministische functie is van anderen (bijv. BMI van lengte en gewicht), identificeert de agent de ware onafhankelijke wortels. Afhankelijke wortels worden opnieuw berekend uit verstoord ouders, waarbij privacy wordt geërfd tegen nul marginale kosten (Stelling 3).
• Niveau 2 (Doelgevoeligheid): Als de tussenliggende doelfunctie $g$ (bijv. een klinische formule zoals FIB-4) bekend is, wijst de agent het privacybudget $\epsilon_i$ toe aan wortels op basis van hun gevoeligheid voor het doel. De toewijzing volgt een gevoeligheid-gewogen regel: $\epsilon_i \propto (|h_i| \cdot D_i)^{1/2}$, waarbij $h_i$ de partiële afgeleide is van de doelfunctie met betrekking tot wortel $i$, en $D_i$ de domeinbreedte is. Dit minimaliseert de verwachte fout in de uiteindelijke klinische beslissing.

Theoretische Garanties

• Stelling 1 (DAG Privacy Garantie): De privacygarantie hangt uitsluitend af van de parameters van de wortelsanering en is onafhankelijk van de keuze van functies of het aantal interactie-turns door de adversary.
• Stelling 2 (Versterking van Onderscheidbaarheid): Bewijst dat het onafhankelijk verstoren van een afgeleide waarde de onderscheidbaarheid van de ouderwortel versterkt met de Lipschitz-constante $L$ van de functie.
• Stelling 3 (Afgeleide Privacy): Bewijst dat het toevoegen van ruis aan wortels en het post-processeren ervan om waarden af te leiden, ten minste even sterke privacy biedt als het direct verstoren van de afgeleide waarden.

Belangrijkste Bijdragen

1. Formalisatie van Multi-Turn Agentieke Privacy: Het artikel formaliseert het privacyspel voor multi-turn interacties en bewijst dat de garantie van RootGuard invariant is voor het aantal queries en de keuze van functies door de adversary.
2. Bewijs van Versterking en Erfenis: Het toont aan dat onafhankelijke ruisopdracht aan afgeleide waarden privacyverlies versterkt (Stelling 2), terwijl gecoördineerde wortelruis toelaat dat afgeleide waarden gratis privacy erven (Stelling 3).
3. Gevoeligheid-Gewogen Toewijzing: Een methode voor het toewijzen van privacybudgetten op basis van de gevoeligheid van de doelfunctie, waarbij de doelwitfout wordt geminimaliseerd terwijl formele garanties worden behouden.
4. Empirische Validatie: Uitgebreide experimenten op 8 medische diagnostische sjablonen (afgeleid van NHANES-data) en een volledige end-to-end LLM-implementatie (GPT-5.4 nano) ter validatie van het mechanisme.

Experimentele Resultaten

De evaluatie vergelijkt RootGuard-configuraties (M-Roots, M-Opt) met onafhankelijke ruisopdracht (M-All) over drie onderzoeksvragen:

RQ1: Doelbruikbaarheid

• Maatstaf: Weighted Mean Absolute Percentage Error (wMAPE) en Risk Class Error (RCE).
• Vondsten: RootGuard presteert aanzienlijk beter dan onafhankelijke ruisopdracht. Bij $\epsilon = 0.1$ en een budget van $B = (2k+1)\epsilon$, bereikt M-Opt 2,6$\times$ lagere wMAPE (7,8% versus 20,3%) en 2,2$\times$ lagere Risk Class Error (7,0% versus 15,7%) in vergelijking met M-All.
• Dubbele Asymmetrie: Naarmate de adversary meer turns forceert ($t$), verbetert de bruikbaarheid van RootGuard (meer budget beschikbaar per wortel), terwijl de privacy van M-All verslechtert (accumulatie van onafhankelijke waarnemingen).

RQ2: Reconstructie-aanvallen

• Maatstaf: Reconstructie wMAPE onder een Maximum A Posteriori (MAP) adversary.
• Vondsten: Onder M-All neemt de reconstructiefout af naarmate het aantal queries ($q$) toeneemt (bijv. dalend van 10,2% naar 3,2% terwijl $q$ van 1 naar 16 gaat bij $\epsilon_r=0.1$). Onder RootGuard blijft de reconstructiefout invariant ten opzichte van $q$, omdat herhaalde queries dezelfde gecachte waarde teruggeven.

RQ3: Structurele Analyse

• Vondsten: Het voordeel van RootGuard is het meest uitgesproken voor "compresserende" formules (bijv. FIB-4, HOMA) waarbij de doelfunctie wortelruis dempt. De budgettoewijzing volgt de voorspelde machtswet $\epsilon_i \propto (|h_i| \cdot D_i)^{0.5}$, wat de gevoeligheid-gewogen strategie bevestigt.

RQ4: End-to-End Implementatie

• Opzet: Een realistische simulatie met een GPT-5.4 nano-agent over 21.600 sessies.
• Vondsten: De mechanismeniveau-vondsten vertalen zich naar de LLM-implementatie. De volgorde van prestaties (M-Opt > M-Roots > M-All) blijft gelden, en er waren nul compliance-fouten op sessieniveau (geen parse-fouten of misvormde antwoorden).

Betekenis en Claims

Het artikel beweert dat RootGuard de afweging tussen privacy en bruikbaarheid in multi-turn agentieke interacties fundamenteel verandert. Door te verschuiven van stateless, onafhankelijke sanering naar een stateful, afhankelijkheidsbewuste aanpak, zorgt RootGuard ervoor dat:

1. Privacy Constant is: De adversary krijgt geen extra informatie, ongeacht hoeveel turns ze forceren of welke functies ze berekenen.
2. Bruikbaarheid Verbeterd met Turns: Extra interactie-turns staan toe dat een groter totaal privacybudget over wortels wordt verdeeld, waardoor de nauwkeurigheid verbetert zonder het privacyrisico te verhogen.
3. Robuustheid: De aanpak blijft gelden zelfs onder adversariële prompt-injectie of kwaadaardig dienstontwerp, aangezien alle publicaties post-processings zijn van de initiële verstoord wortels.

De auteurs concluderen dat onafhankelijke ruisopdracht fundamenteel ontoereikend is voor multi-turn workflows die gecorreleerde privé-waarden betrekken, en dat afhankelijkheidsbewuste sanering een noodzakelijke verdediging is voor het implementeren van LLM-agenten in hoog-risico domeinen. Het werk gaat uit van perfecte Named Entity Recognition (NER) voor wortelidentificatie en richt zich op gestructureerde numerieke data, waarbij vrij-vorm tekst en ruwe NER-integratie worden gelaten voor toekomstig werk.