Technische Samenvatting: PRIVSCOPE

Probleemstelling

Hybride lokale-cloud agentarchitecturen bieden een praktische balans tussen autonomie en capaciteit. In deze systemen beheert een vertrouwd lokaal apparaatbesturingssysteem (Local Controller, LC) planning en routinematige redenering, en delegeren taakintensieve subtaken (bijv. real-time ophalen, complexe redenering) naar een onbetrouwbare Cloud Taalmodel (CLM). Deze delegatie creëert echter een kritieke privacygrens.

De LC stelt payloads voor de CLM samen door de huidige gebruikersaanvraag te combineren met een persistent werkende staat die zich over workflows opstapelt. Dit leidt tot over-openbaarmaking, waarbij de cloud-gerichte payload meer informatie bevat dan de gedelegeerde subtaak vereist. Het artikel identificeert drie specifieke vormen van dit risico:

1. Restanten van eerdere taken: Context van vorige workflows (bijv. beschikbaarheidsvensters, namen van eerdere aanbieders) die in de huidige payload zijn opgenomen, ondanks dat ze irrelevant zijn voor de nieuwe taak.
2. Opname van taak-irrelevante informatie: Profielgegevens (bijv. lidnummers, geboortedata) die geen functionele rol spelen in de gedelegeerde subtaak.
3. Overmatige specificiteit: Het openbaar maken van informatie met een fijnere granulariteit dan nodig is (bijv. exact adres versus wijk, precieze symptoom versus brede categorie).

Bestaande oplossingen isoleren workflows of passen algemene zuivering toe (zoals redactie), maar falen in het redeneren over de specifieke reikwijdte van de door de LC samengestelde payload, wat vaak de taaknuttigheid ondermijnt of het voorkomen van heridentificatie via context faalt.

Methodologie: PRIVSCOPE

De auteurs stellen PRIVSCOPE voor, een vertrouwd lokaal payloadregulator die taak-gescopeerde openbaarmaking afdwingt op de LC→CLM-grens, zonder wijzigingen aan de cloudprovider te vereisen. Het systeem werkt op het principe dat gevoelige informatie de cloud alleen mag bereiken wanneer deze vereist is voor de subtaak, en dan alleen in de minst onthullende vorm die voldoende is voor taaknuttigheid.

PRIVSCOPE implementeert een vierstaps lokaal proces:

1. Extractie van Openbaarmakingsunits en Lokale Binding:

   • De door de LC samengestelde payload wordt ontleed in getypeerde openbaarmakingsunits ($U_t$).
   • Er wordt een gelaagd extractieproces gebruikt: deterministische regels voor gestructureerde patronen (e-mails, ID's), profielmatching voor aan rekeningen gekoppelde waarden, en lichtgewicht parsing (bijv. spaCy) voor open-class semantische inhoud.
   • Lokale Binding: Exacte aan rekeningen gekoppelde waarden (bijv. verzekeringslidnummers, betalingsgegevens) worden naar een lokale bindingstabel ($B_t$) geleid en uit de payload verwijderd. Deze blijven lokaal voor latere lokale uitvoering maar bereiken nooit de cloud.

2. Cloud-noodzaak en Doorvoercontrole:

   • Elke unit krijgt een rol toegewezen: cloud (nodig voor de subtaak) of lokaal (terughoudend).
   • Deze beslissing wordt genomen via een gebatchte lokale modeloproep die units evalueert in de context van de gedelegeerde taak.
   • Provenance-bewuste bewaking wordt toegepast:
     • Huidige Aanvraag: Gefilterd op basis van taaknoodzaak.
     • Werkende Staat (Vorige Doorvoer): Strenger gefilterd; alleen behouden als de huidige aanvraag expliciet afhankelijk is ervan (bijv. "doorgaan vanaf vorige").
     • Onbekende Bron: Nooit naar de cloud gepromoveerd om LC-geïnferreerde lekken te voorkomen.

3. Taak-voldoende Abstractie:

   • Units die de rol "cloud" krijgen, worden niet noodzakelijk in hun exacte vorm vrijgegeven.
   • PRIVSCOPE past getypeerde abstractiehiërarchieën toe (bijv. $Regio \prec Stad \prec Wijk \prec Exact Adres$).
   • Een offline gekalibreerd beleid selecteert de ruwste representatie die voldoende is voor de gedelegeerde taak (bijv. vervanging van een exacte datum door een "week-venster" of een specifiek symptoom door een "servicecategorie").
   • Deze fase zorgt ervoor dat de CLM een geminimaliseerd overzicht ontvangt dat voldoende is voor kandidaatontdekking.

4. Lokale Resolutie en Voltooiing van de Workflow:

   • De gezuiverde payload ($\hat{P}_t$) wordt naar de CLM verzonden.
   • Bij ontvangst van kandidaatresultaten gebruikt de LC de achtergehouden private staat (van $B_t$ en werkende staat) om het antwoord te verankeren, kandidaten te rangschikken en de workflow lokaal af te ronden.

Belangrijkste Bijdragen

Het artikel schetst vier primaire bijdragen:

1. Probleemkarakterisering: Identificatie en karakterisering van persistent-staat over-openbaarmaking als een distinct privacyrisico in hybride agenten, waarbij de door de LC samengestelde payload (niet alleen de ruwe prompt) restanten van eerdere taken en taak-irrelevante staat blootlegt.
2. Formulering: Een formulering van taak-gescopeerde openbaarmakingscontrole als een payloadmediatieprobleem op de LC→CLM-grens, waarbij de payload wordt ontleed in getypeerde units met bronprovenance.
3. Systeemontwerp: Het ontwerp van PRIVSCOPE, dat lokale binding van exacte waarden, provenance-bewuste noodzaakfiltering en taak-voldoende abstractie combineert. Dit zorgt ervoor dat exacte private staat lokaal blijft terwijl een geminimaliseerd taakoverzicht aan de CLM wordt blootgesteld.
4. Evaluatie: Implementatie en evaluatie op 100 medische-boeking-aanbiederontdekkingsworkflows over drie commerciële CLM's en vijf lokale backbones.

Experimentele Resultaten

De evaluatie vergelijkt PRIVSCOPE met een onbeschermde baseline (Vanilla), prompt-gebaseerde herschrijving (PEP) en deterministische redactie (Presidio).

• Privacy:
  • Profiellekage: PRIVSCOPE elimineert profiellekage volledig (0,0%), vergeleken met 17,7% voor de onbeschermde baseline.
  • Risico op Heridentificatie (RIR): PRIVSCOPE reduceert de herwinning van private waarden door aanvallen tot 23,1%, meer dan de helft van de onbeschermde baseline (64,3%) en beter dan PEP (39,6%) en Presidio (29,3%).
  • Injectielekage: Het reduceert ongevraagde staatinjectie met een orde van grootte (0,3% versus 5,1% in Vanilla).
• Nuttigheid:
  • Kandidaat-herinnering: PRIVSCOPE bereikt de hoogste kandidaat-herinnering over alle geteste cloud LLM's (bijv. 54,1% op GPT-4o-mini, 69,6% op Gemini 2.5 Flash), aanzienlijk beter dan Presidio (25,5% op GPT-4o-mini) dat vaak taakkritische context verwijdert.
  • Taaksucces: Op GPT-4o-mini en Gemini 2.5 Flash blijven de taaksuccespercentages dicht bij de onbeschermde baseline (82–86%), terwijl Presidio aanzienlijke dalingen veroorzaakt door over-redactie.
• Efficiëntie:
  • Latentie: Het systeem voegt ongeveer 3,13 seconden aan lokale mediatielatentie toe op handelsapparatuur (MacBook M2 Pro) met een lokaal model van 3B parameters.
  • Cloudkosten: PRIVSCOPE reduceert cloud-API-kosten met 13–23% vergeleken met prompt-gebaseerde herschrijving, omdat het de payloadgrootte minimaliseert in plaats van deze uit te breiden voor duidelijkheid.

Betekenis en Beweringen

Het artikel beweert dat PRIVSCOPE een sterkere privacy-nuttigheids-kostentrade-off biedt dan bestaande benaderingen. In tegenstelling tot redactiemethoden die taaknuttigheid breken of prompt-herschrijving die breekbaar en modelafhankelijk is, zorgt de gestructureerde, provenance-bewuste mediatie van PRIVSCOPE ervoor dat:

1. Privacy wordt behouden door te voorkomen dat de cloud onnodige identificatoren en restanten van eerdere workflows ziet.
2. Nuttigheid wordt behouden door gevoelige data alleen te abstraheren tot het niveau dat noodzakelijk is voor de specifieke gedelegeerde subtaak, waardoor de lokale controller de uiteindelijke taak kan oplossen met private staat.
3. Implementeerbaarheid is hoog omdat het werkt als een plug-in op het apparaat, geen cloud-zijde wijzigingen vereist en het bestaande lokale controllermodel hergebruikt voor mediatie.

De auteurs merken op dat hun evaluatie is gericht op informatiezoekende delegaties in het domein van medische boekingen. Zij erkennen dat hoewel het ontwerp breed toepasbaar is op LC–CLM-payloads, toekomstig werk nodig is om impliciete spannen te behandelen, abstractiehiërarchieën dynamisch te leren en adversarische CLM's aan te pakken. Het systeem wordt gepresenteerd als een praktische stap naar het beveiligen van hybride agentische systemen tegen persistent-staat lekken.